WebGoat (A7) Cross Site Scripting (XSS)

目录

一、比较EASY的闯关

第2页

第7页

第10页

第11页

第12页

二、 课程思维图

---

一、比较EASY的闯关

第2页

虽然这页好简单，但是强迫症不写就是不爽╮(╯-╰)╭

这页问了个问题：WebGoat范围内多个页面cookie是否一样？

虽然很想直接yes，但还是走一遍流程吧

第1个页面，打开开发者工具（我用的chrome），在Console中输入document.cookie

发现cookie是"JSESSIONID=KDno80WzTKHgbTZZ2SP0-xQmVR7M5m5GTNGHHrBp"

第2个页面，打开开发者工具，在Console中输入alert(document.cookie)，发现cookie和第一个页面一样。

（输入document.cookie还是alert(document.cookie)都无所谓，就是体验一下不同方式~(￣▽￣)~）

流程的最后，我们来填个yes

第7页

这一页要求用alert()或者console.log()来试哪里有XSS

由于XSS最终是要浏览器渲染的，因此，可以先按下Purchase，看看哪个输入是会回显的

从上图可知，电话号码哪个输入框的输入参数是会回显的

在这个输入框中尝试输入

<script>alert('I win this game')</script>

告警弹出，顺利过关