众测实战｜某APP存储型XSS完整挖掘&WAF绕过思路复盘
Level718
Level718
陌笙不太懂安全
2026年8月14日 17:00
北京
在小说阅读器读本章
去阅读
免责声明
由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号陌笙不太懂安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉，谢谢！
原文作者:Level718原创链接:https://xz.aliyun.com/news/92642
前言
大家好，今天给大家复盘一次近期众测挖到的某APP存储型XSS漏洞，从前端限制突破、WAF规则绕过、事件FUZZ、字符截断踩坑到最终成功拿洞拿赏金，完整还原每一步测试逻辑，新手也能看懂核心绕过思路。
一、突破前端限制
本次测试目标为某APP个人账户昵称修改功能，属于典型的用户可控输入点，是存储型XSS的高危测试位置。
首次测试发现，前端页面对昵称输入做了字符输入限制，无法直接发送payload。
突破思路：抓包修改绕过前端校验
所有前端校验都是客户端校验，完全可控可绕过。前端的限制仅作用于页面输入，抓包拦截修改接口请求数据包，即可绕过所有前端JS校验，直接向服务端提交恶意载荷。
初步测试 payload：Test
提交后页面正常解析标签、字体生效，证明服务端未过滤HTML标签、前端渲染无转义，存在XSS漏洞基础条件。
二、时间戳校验
重放数据包发现响应修改已经超时，这里猜测服务端可能做了一些时间范围限制。
三、WAF拦截高危事件
在确认标签可解析后，使用常规hover触发payload测试：
提交后直接拒绝连接，初步判定：服务端WAF未拦截HTML标签，但是严格拦截常见高危JS事件。
为验证猜想，单独提交纯标签
四、事件大小写绕过
针对事件做大小写变形测试，例如 OnMouseOver、ONMOUSEOVER 等，结果全部被WAF拦截。该站点WAF对常见高危事件开启了大小写忽略匹配规则，普通大小写混淆的绕过方式完全失效，必须FUZZWAF黑名单缺失的冷门事件。
五、黑名单FUZZ
针对DOM交互事件进行批量FUZZ测试，最终筛选出WAF完全放行、可正常触发JS冷门事件，也是本次漏洞利用的核心关键
OnMouseEnter、onmouseenter、OnMouseLeave、onmouseleave、OnChange、onchange、OnToggle、ontoggle
这类事件属于HTML5小众交互事件，WAF规则库未收录，无拦截策略，是本次绕过的核心突破口。
六、进阶绕过
确定可用事件后，选择兼容性最强、触发最稳定的 ontoggle 事件（details标签专属折叠展开事件）搭配大小写混淆标签：
初步测试 payload：
被WAF拦截
**利用逗号表达式写法：从根源抹除攻击特征**
绕过 payload：
该写法利用 **JS逗号运算符特性**，将「函数定义」和「函数调用」拆分执行，彻底规避WAF特征检测，语法逻辑如下：
第一步：a=alert // 将原生alert函数地址赋值给自定义变量a，**无任何高危特征**
第二步：a(document.cookie) // 调用自定义变量a执行弹窗拿Cookie操作
**关键核心**：整个请求报文里，不存在**alert(**这个高危特征串，WAF只能看到普通变量a的调用，无法通过文本匹配识别恶意行为，直接放行。
## 七、服务端32位字符硬截断
来到昵称这，发现确实解析出了折叠标签，但是没弹窗
站点存在**固定32字符硬截断机制**：超出32位的内容会被直接截断丢弃，不会报错、无提示。
测试 payload：
被服务端强制截断为：
**核心优势&绕过原理**
1. **规避WAF alert() 特征拦截**：常规 payload 会出现明文 alert(，极易被WAF匹配拦截；本载荷采用 **逗号表达式赋值执行**，原文无 alert( 特征，先赋值 a=alert，再调用 a(1)，完美绕过函数特征检测。
2. **小众事件免拦截**：ontoggle 非高危自动事件，无WAF默认拦截规则。
最终提交 payload，页面正常渲染折叠标签，点击展开后成功弹窗，**存储型XSS漏洞验证成功**，成功拿下300元众测赏金。
## 九、漏洞总结&挖洞思路复盘
1. 前端限制全部可被抓包绕过，不要被前端输入拦截迷惑；
2. WAF大多拦截**显性高危特征**，小众HTML5事件、变量赋值调用语法，是高效绕过手段；
3. 遇到无报错不执行的情况，优先排查**服务端字符硬截断**，而非单纯纠结WAF拦截；
4. 逗号表达式伪协议，是规避alert、eval等高危函数特征的通用高阶XSS绕过技巧。
本次漏洞难度不高，但非常适合新手学习「从踩坑、判断环境、FUZZ筛选、适配限制到最终利用」的完整众测思路，所有绕过手法均为实战通用、可复用的技巧。
**后台回复加群加入交流群**
**广告：****cisp pte/pts &nisp1级2级低价报考**
**陌笙安全纷传圈子+陌笙src挖掘知识库+陌笙安全漏洞库+陌笙安全面试题库****简单介绍****（****加入纷传圈子****送****知识库+漏洞库+面试题库****）**
如果觉得合适可以加入,圈子目前价格39.9元，价格只会根据圈子内容和圈子人数进行上调，不会下跌。。。
**圈子福利**
**edu漏洞挖掘1v1指导出洞**
**skill+grok辅助挖掘某企业sr****c****实战效果，能出但是重复多。**
**陌笙src挖掘知识库介绍（内容持续更新中!!!)**
信息收集
src挖掘基础
src挖掘实战
edusrc
经典nday复现
云安全&AI安全
**陌笙安全漏洞库介绍**
**陌笙安全面试库**
**POC库****&&更新适配afrog&&nuclei&&dddd的POC&1day/Nday等&&******dddd二开******工具[助力渗透测试&&红蓝攻防]**
**工具截图**
****
**实战效果**
**poc库【后续持续更新】**
**AI赋能-****skill辅助****漏洞挖掘（免责&&慎用）**
**圈友skill+ai辅助渗透****实战效果****，支持打假！**
证书站
普通站点
**陌笙****纷传****圈子介****绍**
**目前800多条内容，扫描下方二维码查看详情以及加入圈子，持续更新中。。**
**如果觉得合适可以加入，价格不定期会根据圈子内容和圈子人数进行上调。。**
---
信息收集(主域名信息收集,子域名信息收集等&会永久提供fofa-key助力)弱口令漏洞&未授权访问漏洞挖掘任意文件读取&删除&下载&上传漏洞sql注入漏洞url重定向漏洞csrf&ssrf漏洞挖掘XSS&XXE漏洞挖掘等等常见漏洞cors&目录遍历&越权漏洞挖掘EDUSRC(证书站挖掘案例分享&edusrc挖掘技巧分享)CNVD挖掘技巧分享&实战案例报告编写公益漏洞挖掘（公益src挖掘漏洞分享&提供补天1权重资产）SRC挖掘实战(针对各种常见功能总结的常见测试思路等快速提升)经典常见Nday漏洞(常见中间件&以及各种常见框架)复现云安全相关漏洞挖掘（云key扫盲&云存储桶&快速识别云环境&云攻防）AI相关学习（AI基础&AI代码审计实战测试&webLLM攻击等）APP&小程序漏洞挖掘等各模块不在一一介绍
最新漏洞查看1day&0day分享EDU学校相关漏洞Web应用漏洞CMS漏洞OA产品漏洞中间件漏洞云安全漏洞人工智能漏洞其他漏洞
渗透测试基本问题一汇总渗透测试基本问题二汇总渗透测试基本问题三汇总微步护网面试题目长亭科技面试深信服护网面试启明星辰渗透测试面试题目安恒面试题目绿盟笔试题目360面试奇安信护网面试运维面试题目运维面试题库网安面试相关文档大全相关面试文章推荐等等
1、src挖掘思维导图，信息收集思维导图，edusrc挖掘思维导图，以及后续的红队&面试思维导图&自己网安笔记等持续更新2、2025-2026的edusrc实战报告包含证书站和非证书站以及2025之前的各种优质报思路分享3、各种src报告思路分享（内部&外部）4、分享各种src挖掘&edusrc挖掘培训资料&视频5、不定期分享通杀、0day6、有圈子群可以技术交流以及不定期抽取证书&免费rank7.分享各种护网资料各家安全厂商讲解视频&精选实战面试题目8、各种框架漏洞技巧分享9、各种源码分享（泛微、正方系统、用友等）10、漏洞挖掘工具&信息收集工具&内网渗透免杀等网安工具分享11、各种ctf资料以及题目分享12、cnvd挖掘技巧&CNVD资产&src资产分享&补天1权重资产分享&fofakey共用13、免杀、逆向、红队攻内网防渗透等课程分享14、漏洞库&字典以各种内容不在一一说明15、cisp-pte/pts&nisp一级&nisp二级&edusrc证书内部价格15、如果有漏洞挖掘问题或者工具资料需求可以找群主(尽量满足)
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论