Быстрый вопрос относительно XSS (quick question regarding XSS)

[LottoTheGoat]

English:
Hello, im wondering if anyone can link any good XSS payloads to test for vulnerabilities, and a few to upload a deface to a vulnerable website. ive been learning XSS for a couple days and i want to try my first deface but i cant seem to find any vulnerable websites, i cant even find a payload to use.
If your able to help feel free to comment below or send me a PM, Thanks for your time.


Russian:
Здравствуйте, мне интересно, может ли кто-нибудь связать некоторые полезные нагрузки XSS для проверки уязвимостей и несколько для загрузки дефейса на уязвимом веб-сайте. Я изучаю XSS пару дней и хочу попробовать свой первый дефейс, но я не могу найти уязвимых веб-сайтов, я даже не могу найти полезную нагрузку для использования.
Если вы можете помочь, не стесняйтесь комментировать ниже или отправить мне PM, спасибо за ваше время.

 

[c0d3x]

XSS Filter Evasion - OWASP Cheat Sheet Series

Website with the collection of all the cheat sheets of the project.

cheatsheetseries.owasp.org

Cross-Site Scripting (XSS) Cheat Sheet - 2025 Edition | Web Security Academy

Interactive cross-site scripting (XSS) cheat sheet for 2025, brought to you by PortSwigger. Actively maintained, and regularly updated with new vectors.

portswigger.net

and a few to upload a deface to a vulnerable website

Что значит для загрузки дефейса? Дефейс это по сути замена файлов сайта на свои файлы, например оригинальный index.html вами удаляется, и вместо него вы загружаете свой index.html с изображениями голых мужчин обмазывающихся маслом. Это самый простой вариант. Для дефейса необходим доступ к файлам на сервере, а именно к директории где лежат файлы сайта. Доступ этот можно получить многими способами, через SQLi, через разные RCE, через XSS (путем раскрутки до RCE), через различные unrestricted file upload вульны, которые позволяют залить шелл путем замены расширения загружаемого файла. Тут могу посоветовать только гуглить, смотреть что для вас проще и легче для изучения и начинать с чего то одного, иначе за двумя зайцами погонишься - ни одного не поймаешь.

 

[xanthopsia]

XSS Filter Evasion - OWASP Cheat Sheet Series

Website with the collection of all the cheat sheets of the project.

cheatsheetseries.owasp.org

Cross-Site Scripting (XSS) Cheat Sheet - 2025 Edition | Web Security Academy

Interactive cross-site scripting (XSS) cheat sheet for 2025, brought to you by PortSwigger. Actively maintained, and regularly updated with new vectors.

portswigger.net

Что значит для загрузки дефейса? Дефейс это по сути замена файлов сайта на свои файлы, например оригинальный index.html вами удаляется, и вместо него вы загружаете свой index.html с изображениями голых мужчин обмазывающихся маслом. Это самый простой вариант. Для дефейса необходим доступ к файлам на сервере, а именно к директории где лежат файлы сайта. Доступ этот можно получить многими способами, через SQLi, через разные RCE, через XSS (путем раскрутки до RCE), через различные unrestricted file upload вульны, которые позволяют залить шелл путем замены расширения загружаемого файла. Тут могу посоветовать только гуглить, смотреть что для вас проще и легче для изучения и начинать с чего то одного, иначе за двумя зайцами погонишься - ни одного не поймаешь.

если есть persistent xss, не обязательно менять index.html, можно дефейсить наподобие этого -

<script>document.body.style.background=”http://asdasdasd.jpg“;</script>

 

[c0d3x]

если есть persistent xss, не обязательно менять index.html, можно дефейсить наподобие этого -

<script>document.body.background=”http://asdasdasd.jpg“;</script>

Спасибо. Пойду тоже изучать вместе с ТС.

 

[LottoTheGoat]

XSS Filter Evasion - OWASP Cheat Sheet Series

Website with the collection of all the cheat sheets of the project.

cheatsheetseries.owasp.org

Cross-Site Scripting (XSS) Cheat Sheet - 2025 Edition | Web Security Academy

Interactive cross-site scripting (XSS) cheat sheet for 2025, brought to you by PortSwigger. Actively maintained, and regularly updated with new vectors.

portswigger.net

Что значит для загрузки дефейса? Дефейс это по сути замена файлов сайта на свои файлы, например оригинальный index.html вами удаляется, и вместо него вы загружаете свой index.html с изображениями голых мужчин обмазывающихся маслом. Это самый простой вариант. Для дефейса необходим доступ к файлам на сервере, а именно к директории где лежат файлы сайта. Доступ этот можно получить многими способами, через SQLi, через разные RCE, через XSS (путем раскрутки до RCE), через различные unrestricted file upload вульны, которые позволяют залить шелл путем замены расширения загружаемого файла. Тут могу посоветовать только гуглить, смотреть что для вас проще и легче для изучения и начинать с чего то одного, иначе за двумя зайцами погонишься - ни одного не поймаешь.

Спасибо за ваш ответ, я прочитаю документы, на которые вы ссылаетесь.

English: Thank you your answer, ill give a read through the papers you linked