【xss-labs-master】靶场通关详解!-----持续更新

XSS基础概念:

跨站脚本攻击XSS(Cross Site Scripting),为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码,当用户浏览该页之时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用户的目的。XSS攻击针对的是用户层面的攻击!

XSS主要分为DOM型、反射性、存储型其中存储型漏洞为还是最致命的。

------------------------------------

less1 :

xss漏洞执行是通过向web页面插入JavaScript恶意代码,待用户浏览该页面时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用户的目的。

xss漏洞通常是通过php的输出函数将javascript代码输出到html页面中,通过用户本地浏览器执行的,所以xss漏洞关键就是寻找参数未过滤的输出函数。

我们将name作为参数,通过修改它看看页面是否变化----------->>>可以看到从test变成了MU

在name参数上尝试用简单的JS代码进行XSS攻击,看到下面代码执行成功

复制代码
?name=<script>alert(1)</script>

----------------------------------------------

less2:

我们还是执行简单JS代码试试看,发现没有相关提示

查看网页源代码,看看有什么提示,可以看到我们执行的语句<>被过滤

尝试从标签中的属性进行突破,将属性中的><进行闭合可以用">闭合之后再使用<script>标签,话可以直接使用onclick来解决。

复制代码
"><script>alert(1)</script>
"onclick="alert(1)

-----------------------------------

less3:

相关推荐
南岸月明4 分钟前
我与技术无缘,只想副业搞钱
前端
gzzeason31 分钟前
在HTML中CSS三种使用方式
前端·css·html
hnlucky44 分钟前
《Nginx + 双Tomcat实战:域名解析、静态服务与反向代理、负载均衡全指南》
java·linux·服务器·前端·nginx·tomcat·web
huihuihuanhuan.xin1 小时前
前端八股-promise
前端·javascript
星语卿1 小时前
浏览器重绘与重排
前端·浏览器
小小小小宇1 小时前
前端实现合并两个已排序链表
前端
yngsqq2 小时前
netdxf—— CAD c#二次开发之(netDxf 处理 DXF 文件)
java·前端·c#
mrsk2 小时前
🧙‍♂️ CSS中的结界术:BFC如何拯救你的布局混乱?
前端·css·面试
jonssonyan2 小时前
我自建服务器部署了 Next.js 全栈项目
前端
A了LONE2 小时前
h5的底部导航栏模板
java·前端·javascript