6.30 pikachu靶场xss漏洞

相关链接

 (5条消息) 什么是xss盲打_xss盲打是什么_wangxin0314的博客-优快云博客
pikachu--XSS盲打 - gxy* - 博客园 (cnblogs.com)
XSS过滤的测试方法 - Yangsir34 - 博客园 (cnblogs.com)

xss

xss漏洞是owasp top10排名前3的漏洞

xss防范：对输入进行过滤和对输出进行转义的方式进行处理

反射型get：

打开f12发现是get型

可以在地址栏和输入框进行构建参数

<img src="#" οnerrοr=alert('xss')>

反射型post：

输入用户和密码进入

打开f12发现是post型

可以在输入框进行构建参数

<img src="#" οnerrοr=alert('xss')>

存储型 ：

在留言板输入

<img src="#" οnerrοr=alert('xss')>

DOM型xss

输入后查看源代码

对于html元素进行操作因此使用查看源代码的方式进行看哪些可以闭合进行

xssDOM盲打：

在留言框输入xss代码，当管理员查看了这个内容，就会触发，当这块内容是存在xss漏洞，就会执行这个代码

进入后台：

 xss过滤：