【漏洞挖掘】——161、输入输出之XSS注入测试

基本介绍

跨站脚本漏洞是Web应用程序在将数据输出到网页的时候存在问题，导致恶意攻击者可以往Web页面里插入恶意JavaScript、HTML代码并将构造的恶意数据显示在页面的漏洞中，攻击者一般利用此漏洞窃取或操纵客户会话和Cookie，用于模仿合法用户，从而使攻击者以该用户身份查看或变更用户记录以及执行事务

跨站一般情况下主要分为存储型跨站、反射型跨站、DOM型跨站，存储型跨站脚本可直接写入服务端数据库，而反射型不写入数据库，由服务端解析后在浏览器生成一段脚本，反射型跨站测试方法主要是在URL或输入框内插入一段跨站脚本，观察是否能弹出对话框，存储型跨站测试方法主要是在网站的留言板、投诉、建议等输入框内输入一段跨站脚本，看是否能插入数据库，插入成功的表现为当网站管理人员查看该留言时会执行跨站语句(例如:弹出对话框)，或者当普通用户再次访问该页面时，会执行跨站语句

测试过程

发现疑似存在跨站链接，在漏洞参数处添加测试漏洞payload，如果达到测试目的则 确定跨站漏洞存在，根据漏洞实际类型分为反射型跨站、存储型跨站

简易案例

Step 1：登录XXXX平台之后进入工作台修