omniscience的博客

原创 【网络攻防技术】XSS攻击手实验——Cross-Site Scripting (XSS) Attack Lab

可以利用www.example60.com，image_www文件夹下的apache_csp.conf文件有这些网站的根目录信息，可以把代码保存在www.example60.com，让代码调用这个网站的JavaScript代码。self表示只允许从同一域名加载资源，*.example.com表示只允许加载该域名的子域名的资源，unsafe-inline允许内联脚本（一般指script标签的JS代码）、onclick等的执行。此任务的目标是发布一条包含JavaScript的恶意消息，以显示一个警报窗口。