Как я не взломал «Хабрахабр» или 10+ активных XSS

А помните, когда DIY открылся и поехали флешки с деревянным корпусом? :) Там тему закрыл вот этот пост habrahabr.ru/post/85766/
Очень надеюсь, что этот пост тоже закроет эту тему.

В конце же написано :)

ага, а пользователю перед подсовыванием тоже просить резать?)) я искал чем реально можно воспользоваться

Это активные XSS, фильтры не умеют их резать, иначе фильтровался бы любой JS который написан разработчиками. Суть как в том что я и искал те, которые не отфильтруются, писал в самом первом абзаце :) Тот же XSS Auditor просматривает только различные браузерные заголовки + GPC.

Пример:

1. Пасивная XSS, фильтруется Аудитором

index.php?1=<script>alert(123);</script>

<?php
echo $_GET[1];
?>

2. Активная XSS ничем не отличается от обычного js-а, код уже изначально встроен в тело страницы, он не передается ни в каких параметрах, поэтому никак не может быть отфильтрован.

<?php
#где-то тут мы, например из базы, но не GPC (get,post,cookies) параметром получили $a 
#и в ней уже <script>alert(123);</script>
... 
echo $a;
?>