xss，文件上传绕过

0x

在实战渗透过程中，我们不可能总是一帆风顺，肯定会遇到各种各样的waf、安全狗，那么我们就需要绕过它们来进行渗透。

一 xss绕过

最为简单的测试存在xss漏洞的方法是“见框就插”，常用的xss漏洞测试语句为：

如果测试的目标存在xss，就会弹框，一般情况下，肯定会过滤这个payload，这个时候，我们就需要尝试绕过让浏览器进行弹框。

1、 大小写绕过

网站仅仅只过滤了< script >标签，而没有过滤标签中的大小写，可以用

进行绕过

2、 双写绕过

输入xss语句时发现返回网页 的代码中的< script >标签被去除了，但其余的内容并没有改变，我们可以制造

ipt>alert('1')ipt>

浏览器过滤了一次< script >，剩下的语句又拼接成了

依然会进行弹框

3、 其他标签绕过

若< script >标签被完全过滤，那么，我们可以插入其他标签，里面的代码依然会执行，例如：