xss利用flash弹窗钓鱼

1.复制xssaq.com里公共模块中的flash钓鱼的js代码

2.将代码保存为js文件放到www目录下可以访问

3.寻找受害者有xss漏洞的让他引用到我们的这个js文件

4.管理员后台页面执行了我们发过去的引用外部文件的script代码。

5.当管理员信以为真点击立即升级的时候，会让管理员下载一个可执行程序，控制下载文件的代码在1.js中,为了编辑的像一点，我们把文件地址和文件名改成flash.exe

6.当管理员再次点击下载的时候就变成flash.exe

7.上面的flash.exe是我们要让管理员下载运行的病毒文件，当管理员下载运行后我们就能控制管理员电脑了，现在要做的就是如何制作伪装病毒。

8.首先我们要让管理员相信这是一个flash运行程序的话，我们就要搭建一个flash的网站

9.将上面目录中的所有文件，放到家网站的根目录。访问假网站，下载的文件在index.html中修改

10.js中使用真的flash安装包的名字

11.打开kali制作病毒

12.把生成的shell.exe拖到我们假网站的目录下并改成安装包名字

13.这个病毒已经能够正常使用，我们先在kali中当作攻击者对自己的病毒进行监听，看看受害者有没有点击病毒，如果点击，我们会收到这个监听。

14.我们模拟管理员点击立即升级并下载执行该程序

15.kali中受到监听并能控制受害者电脑