XSS攻击(3), 实战XSS注入思路

XSS注入, XSS实战思路

一, 可以输入文本或直接在url后面提交参数.

网页源码:

<input name=keyword value="">

对于这种input标签, 首先可以考虑使用 onclick 等事件来执行js.
先输入 <> , " , onclick() 等等提交, 查看页面源代码.
如果输入的符号没有被转义或替换, 说明前面可以闭合, 进一步测试.

1. 首先考虑用 onclick() 等事件来执行js.

查看源码:

<input name=keyword value="<>">

输入payload:

" οnclick="alert(1)

查看源码:

<input name=keyword value="" onclick="alert(1)">

这时前面的value被闭合, 后面多了一个事件, 单机文本框即可弹出.

2. 事件不能用时, 考虑用

你可能感兴趣的:(渗透测试,xss,前端,javascript,渗透测试)