DOM based XSS

最新推荐文章于 2025-07-21 00:58:16 发布

风口的猪2016

最新推荐文章于 2025-07-21 00:58:16 发布

阅读量1.2k

点赞数 1

CC 4.0 BY-SA版权

文章标签： XSS

本文链接：https://blog.youkuaiyun.com/qq_31820885/article/details/72521683

本文通过两个具体实例，详细解析了跨站脚本(XSS)攻击的实现方式。首先介绍了如何构造事件触发弹窗警告，随后展示了如何利用图片标签进行XSS攻击。深入浅出地解释了XSS攻击的基本原理和技术细节。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=GB18030" />
<title>Insert title here</title>
</head>

<script>
function test(){
	var src = document.getElementById("text").value;
	document.getElementById("a").innerHTML = "<a href='"+src+"'> testLink </a>";
}
</script>

<body>
<div id="a"></div>
<input type="text" id="text" value="" />
<input type="button" id="b" value="write" onclick="test()" />

</body>
</html>

1.构造一个新事件：

文本框中输入 ' onclick=alert('xss') //

后点击链接会自动执行alert('xss')

分析：第一个 ' 是为了闭合源码中的 ' 因为自己添加了一个 ' ，所以要用 // 注释掉源码中的 '

2.闭合掉<a :

输入： '><img src=# onerror=alert('xss') /> <'

分析：#是占位符，相当于这个图片的链接是空链接， onerror 在找不到资源是被调用