4.2.8. WAF Bypass

• 利用<>标记

• 利用html属性

  • href

  • lowsrc

  • bgsound

  • background

  • value

  • action

  • dynsrc

• 关键字

  • 利用回车拆分

  • 字符串拼接

    • window["al" + "ert"]

• 利用编码绕过

  • base64

  • jsfuck

  • String.fromCharCode

  • HTML

  • URL

  • hex

    • window["\x61\x6c\x65\x72\x74"]

  • unicode

  • utf7

    • +ADw-script+AD4-alert('XSS')+ADsAPA-/script+AD4-

  • utf16

• 大小写混淆

• 对标签属性值转码

• 产生事件

• css跨站解析

• 长度限制bypass

  • eval(name)

  • eval(hash)

  • import

  • $.getScript

  • $.get

• .

  • 使用 。 绕过IP/域名

  • document['cookie'] 绕过属性取值

• 过滤引号用 `` ` `` 绕过