SRC挖掘漏洞XSS

Markdown是一种轻量级标记语言,创始人为约翰·格鲁伯(John Gruber)。它允许人们使用易读易写的纯文本格式编写文档,然后转换成有效的 XHTML(或者HTML)文档。这种语言吸收了很多在电子邮件中已有的纯文本标记的特性。

self型XSS的原理

1.功能需要支持Markdown语法
2.能执行html标签写法

(DOM型XSS另一个名字罢了)

1.看到这个#、##、-、``发现能支持是Markdown语法

Markdown语法是可以直接执行html标签的!!!也就是能尝试JavaScript代码

2.用户输入:1 ---> 渲染导图 -> 页面显示:1 (符合XSS原理)

3.用户输入:JS ---> 渲染导图 -> 页面显示:JS (JS代码被执行)

<font color="red">红色</font>

4.1 第一步:用户输入:JavaScript代码 :<img src="x">

4.2 第二步:用户点击:渲染导图

4.3 第三步:浏览器网站:插入到HTML标签,显示在网页上

4.4 第四步:浏览器网站:网页执行JavaScript弹窗代码

Don型XSS总结

原理:用户输入的内容(在前端:构造的JavaScript代码内容!!!) -> 被前端代码执行(在前端:被网页JavaScript代码解析执行构造的JavaScript代码内容!!!) -> 最后又在前端显示

没看够~?欢迎关注!

免费领取安全学习资料包!

渗透工具

技术文档、书籍

面试题

帮助你在面试中脱颖而出

视频

基础到进阶

环境搭建、HTML,PHP,MySQL基础学习,信息收集,SQL注入,XSS,CSRF,暴力破解等等

应急响应笔记

学习路线

相关推荐
城南vision15 分钟前
计算机网络——TCP篇
网络·tcp/ip·计算机网络
Ciderw43 分钟前
块存储、文件存储和对象存储详细介绍
网络·数据库·nvme·对象存储·存储·块存储·文件存储
知孤云出岫1 小时前
web 渗透学习指南——初学者防入狱篇
前端·网络安全·渗透·web
mushangqiujin1 小时前
ctfshow web文件上传 web166-170
网络安全
Tony聊跨境2 小时前
独立站SEO类型及优化:来检查这些方面你有没有落下
网络·人工智能·tcp/ip·ip
2403_875736872 小时前
道品科技智慧农业中的自动气象检测站
网络·人工智能·智慧城市
Suckerbin4 小时前
Hms?: 1渗透测试
学习·安全·网络安全
Tassel_YUE4 小时前
网络自动化04:python实现ACL匹配信息(主机与主机信息)
网络·python·自动化
Diamond技术流4 小时前
从0开始学习Linux——网络配置
linux·运维·网络·学习·安全·centos
Spring_java_gg4 小时前
如何抵御 Linux 服务器黑客威胁和攻击
linux·服务器·网络·安全·web安全