WebGoat实验-XSS（跨站脚本攻击）

信安实验，安排在WebGoat上面的XSS实验。简单记录一下实验过程。

Stage 1: Stored XSS（存储XSS攻击）

实验内容：主要是用户“Tom”（攻击者）在自己的个人资料中添加了恶意代码（比如最简单的<script>alert('121212');</script>），然后保存。在被攻击者“Jerry”查看Tom的资料的时候，会执行Tom写的恶意代码。

步骤：

首先Tom登录，在自己资料（ViewProfile）的任意地方添加代码：<script>alert('121212');</script>，如图1：

图·1

如果实验成功，在保存资料的时候，会弹出框，则证明成功，如图2。但是不知道为什么我成功了却不现实成功。

图2

Stage 2、4、6，需要开发版的，我暂时没装，所以暂时不能做。

Stage 3：因为Stage 2不能做，因此Stage 3其实做不做都一样。步骤如Stage 1。

Stage 5: Reflected XSS

前面几个，都是在个人资料中添加恶意代码，然后别人在查看的时候，就可以执行恶意