2201_75701682的博客

本文通过vulhub环境复现了两个XSS漏洞：CVE-2017-12794和CVE-2019-6341。第一个漏洞通过创建用户时注入恶意脚本，利用数据库唯一约束错误触发未转义的用户名显示实现XSS攻击。第二个漏洞针对Drupal内容管理系统，通过构造特定PoC样本上传并访问触发XSS弹窗。实验过程中涉及环境搭建、漏洞下载、参数配置和PoC验证等步骤，成功复现了两种不同场景下的跨站脚本攻击。

这篇笔记总结了BurpSuite XSS漏洞练习16-20题的解题步骤和知识点。内容包括利用SVG标签绕过HTML过滤（题16）、通过闭合脚本标签注入恶意代码（题18）、使用转义符突破单引号限制（题19）以及处理HTML编码和反斜杠转义（题20）。笔记详细分析了每种攻击方式的原理，如利用SVG动画属性onbegin事件（题16）和JavaScript注释符规避语法错误（题19），并提供了具体的测试步骤和验证方法。这些案例展示了如何通过特殊字符组合和编码技术绕过常规防护机制，成功触发XSS漏洞。

这篇笔记总结了BurpSuite XSS漏洞练习11-15题的解题步骤和关键知识点。主要内容包括：1）11题利用AngularJS表达式绕过HTML编码，通过$on.constructor执行alert；2）12题通过反斜杠和注释符绕过JSON转义；3）13题使用双重尖括号突破过滤机制；4）14题利用iframe和body onresize事件触发XSS；5）15题通过自定义标签绕过标签过滤。文章详细解析了每种攻击手法的原理和实现方式，如模板注入、事件触发、标签闭合等XSS技巧，并提供了BurpSuite操

本文介绍了BurpSuite XSS漏洞练习6-10题的解题方法。主要包括：1）使用iframe和onload事件构造恶意代码；2）通过onmouseover事件触发弹窗；3）利用单引号闭合绕过过滤机制；4）通过URL参数注入JavaScript代码；5）使用DOMXSS和location.search进行攻击。文章详细解析了每种方法的实现原理，包括代码拼接、事件触发、字符过滤绕过等技巧，并提供了具体的实验操作步骤和效果验证方法，帮助读者理解XSS漏洞的多种利用方式。

本文介绍了使用Burp Suite进行XSS漏洞测试的基础知识，重点讲解了四种常见的XSS注入方式：1)通过<script>标签执行JavaScript代码；2)利用SVG的onload事件触发脚本；3)通过img标签的onerror事件执行代码；4)使用javascript:伪协议获取cookie信息。实验部分展示了五种XSS攻击场景：1)反射型XSS；2)存储型XSS；3)DOM型XSS利用document.write；4)DOM型XSS利用innerHTML；5)jQuery锚点属性XSS