Elysia Tools
导航
Security
检测输入字符串中的XSS（跨站脚本）攻击向量
详情
此工具帮助识别输入中潜在的XSS漏洞：
检测类别：
风险等级：
执行
填写表单、运行工具，并在同一页面查看结果。
案例
相关内容
等待运行
工具使用指南
XSS Payload检测器是一款专业的安全辅助工具，旨在快速识别并分析输入文本中潜在的跨站脚本（XSS）攻击向量，帮助开发者和安全人员及时发现代码中的安全隐患。
背景
在开发用户评论功能时，担心用户提交包含<script>标签的恶意内容导致页面被篡改。
问题
需要一种快速方法验证输入内容是否包含可执行的XSS脚本。
如何使用
将用户输入的评论内容粘贴到工具中，勾选“检查脚本标签”和“检查事件处理程序”，点击分析。
checkScriptTags: true, checkEventHandlers: true, decodeEntities: true结果
工具成功识别出<script>标签并标记为“高”风险，提示开发者进行转义处理。
背景
在进行渗透测试时，发现攻击者使用了URL编码后的Payload来绕过简单的关键词过滤。
问题
手动解码分析效率低下，且容易遗漏复杂的嵌套结构。
如何使用
输入编码后的字符串，开启“解码并分析”功能，并将最大分析深度设置为5。
checkEncoded: true, decodeEntities: true, maxDepth: 5结果
工具自动还原了编码内容，并精准定位到隐藏在其中的onerror事件处理程序，判定为“严重”风险。
支持检测脚本标签、事件处理程序（如onclick）、危险协议（如javascript:）、iframe注入、SVG攻击及DOM型XSS等多种常见向量。
开启此选项后，工具会先对输入内容进行HTML实体和URL解码，从而识别出通过编码隐藏的恶意Payload。
风险分为低、中、高、严重四个等级，分别对应无脚本的HTML标签、事件处理程序、脚本标签以及完整的可执行Payload。
不可以。本工具仅用于开发阶段的辅助检测与安全审计，不能替代生产环境中的实时防护措施。
该参数用于控制嵌套模式分析的递归深度，数值越高，对复杂嵌套结构的识别能力越强，但分析耗时也会相应增加。