DNSLog漏洞探测(三)之XSS漏洞实战

DNSLog漏洞探测(三)之XSS漏洞实战

通过前面的学习,我们已经明白了什么是DNSLog平台,那么DNSLog平台到底能为我们做些什么呢?

DNSLog的平台实际使用很长见的一种情况就是针对漏洞无回显的情况,我们通过让受害者的服务器主动发起对DNSLog服务平台的请求去外带一些信息,但更多的使用场景是我们仅仅使用DNSLog去作为探测漏洞是否存在的一种手段。比如XSS(跨站脚本攻击)漏洞、RCE(远程代码执行)漏洞、XXE(XML外部实体注入)漏洞、SSRF(服务器请求伪造)漏洞等。假如目标网站没有存在漏洞,那么DNSLog平台是不会出现解析记录的。这种情况下,我们利用DNSLog平台仅仅是为了验证该漏洞是否存在。

如果我们需要用DNSLog平台去探测一个网站是否存在XSS漏洞,那么我们该怎么操作呢?

首先我们先打开DNSLog平台,点击 Get SubDomain 获取一个子域名

这里我们获取到的子域名是 p9coa4.dnslog.cn

这里我们使用Pikachu的靶场作为演示

接下来,由于这里文本框的长度是有限制的,所以我们先按下 F12,将文本框的长度参数修改为200

然后在文本框提交我们的payload,那么如何构造我们的payload呢?

bash 复制代码
#原始payload
<script src=http://xxxxxx.dnslog.cn></script>
#只需要将xxxxxx.dnslog.cn的内容替换为我们获取到的子域名
<script src=http://p9coa4.dnslog.cn></script>

我们只需要将xxxxxx.dnslog.cn的内容替换为我们获取到的子域名,并放入文本框点击提交就好了

点击提交后

现在我们回到DNSLog服务平台,点击 Refresh Record刷新,然后DNSLog服务平台便会返回给我们DNSLog解析记录,这下我们就通过DNSLog平台验证了该处存在XSS漏洞

相关推荐
安全系统学习22 分钟前
系统安全之大模型案例分析
前端·安全·web安全·网络安全·xss
加密狗复制模拟2 小时前
坚石ET ARM加密狗复制模拟介绍
安全·软件工程·个人开发
galaxylove3 小时前
Gartner发布塑造安全运营未来的关键 AI 自动化趋势
人工智能·安全·自动化
scuter_yu3 小时前
主流零信任安全产品深度介绍
运维·网络·安全
江苏思维驱动智能研究院有限公司3 小时前
Sophos 网络安全:全球领先的自适应安全解决方案提供商
网络·安全·web安全
小能喵5 小时前
Kali Linux Wifi 伪造热点
linux·安全·kali·kali linux
浩浩测试一下10 小时前
渗透信息收集- Web应用漏洞与指纹信息收集以及情报收集
android·前端·安全·web安全·网络安全·安全架构
Fortinet_CHINA13 小时前
工业网络安全新范式——从风险可见性到量化防御的进化
安全·web安全
网安小白的进阶之路15 小时前
A模块 系统与网络安全 第三门课 网络通信原理-3
网络·windows·安全·web安全·系统安全
HumanRisk15 小时前
HumanRisk-自动化安全意识与合规教育平台方案
网络·安全·web安全·网络安全意识教育