pikachu漏洞练习之XSS漏洞

原创 已于 2024-08-29 14:48:07 修改 · 298 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#web安全 #运维

于 2024-08-29 14:44:16 首次发布

pikachu漏洞练习之XSS漏洞

反射型XSS（get）

输个kobe测试
在这里插入图片描述

仿造script属性插入原先的标签中（如

标签中可以插入其他的标签）

修改长度

在这里插入图片描述

在这里插入图片描述

看到插入的script标签被插入到p标签中

在这里插入图片描述

反射型XSS（post）

  • 利用BurpSuite抓包查看信息
    在这里插入图片描述

  • 用前面得到的账号密码登录

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

  • 这里插入一个a（超链接）标签，导向百度的网址

在这里插入图片描述

点击可以跳转百度

在这里插入图片描述

也可以弹cookie

在这里插入图片描述

存储型XSS

获取cookie

在这里插入图片描述

DOM型XSS

输入1测试，发现是超链接属性

在这里插入图片描述

则使用该payload触发XSS

javascript:alert(document.cookie)
  • 点击获取cooike

在这里插入图片描述

也可以鼠标移入触发弹窗获取cookie

'><img src="#" onmouseover="alert('xss')">

原理是闭合a标签，再添加新的触发事件(在img标签中使用鼠标移入触发事件）
在这里插入图片描述

Miseasry
关注
pikachu靶场下的xss漏洞练习
记录学习，一起进步
12-07 810
pikachu靶场进行xss漏洞练习及分析
pikachu漏洞练习平台XSS
m0_55854679的博客
05-09 5558
XSS案例 get方式获取cookie图解 pkxss管理后台使用介绍 在绝对路径D:\phpstudy_pro\WWW\pikachu-master\pkxss下找到pkxss管理后台。 也可以点击，pikachu靶场的左侧漏洞栏最下面的管理工具下的xss后台，并进行初始化安装。 初始化安装后，输入页面提示的用户名和密码，即可成功进入pkxss管理后台。 get方式获取cookie方法 在目录D:\phpstudy_pro\WWW\pikachu-master\pkxss\xcookie下找
Pikachu漏洞靶场系列之XSS
weixin_45868644的博客
09-10 5417
文章目录概述跨站脚本漏洞常见类型XSS漏洞的测试流程搭建XSS后台一、反射型XSS(Get)实验案例-获取Cookie二、反射型XSS(Post)三、存储型XSS实验案例-钓鱼攻击实验案例-键盘记录什么是跨域跨域-同源策略为什么要同源策略四、DOM型XSS五、DOM型XSS-X六、XSS之盲打七、XSS之过滤转换的思路编码的思路XSS之htmlspecialcharsXSS常见防范措施XSS之href输出XSS之js输出总结XSS常见Payload 概述 1、XSS就是攻击者在web页面插入恶意的Scri
pikachu漏洞练习平台使用笔记-XSS（反射型XSS）
donghongzhe的博客
05-24 1998
在表单里直接输入xss语句，会发现限制字符长度，我们可以审查元素，把长度20改大一点，就恶意输入更多字符了，但是每次刷新后还会重新变为20，所以还是直接在网址框里输入吧 我们输入一个简单的XSS语句 <script>alert("XSS")</script> 发现可以解析，即存在XSS漏洞 接下来，我们简单利用一下这个反射型XSS漏洞，来获取用户cookie 我们需要一个接收cookie的服务器（127.0.0.1:80），来接收受害主机的cookie 下..
Pikachu漏洞练习平台实验——XSS（二）
dishan4749253的博客
09-21 2987
概述 反射型XSS(get) XSS案例：盗取Cookie 反射型XSS(post) 存储型XSS XSS案例：钓鱼攻击 XSS案例：键盘记录 DOM型XSS DOM型XSS-X XSS之盲打 XSS之过滤 XSS之htmlspecialchars XSS常见防范措施 XSS之href输出 XSS之js输出 XSS常见Payload ...
pikachu漏洞练习第二章节xss之过滤练习收获
kaka6764的博客
08-28 237
xss过滤指前端限制攻击者绕过，直接抓包重放，或者修改html前端代码。
Pikachu靶场之XSS漏洞详解
Nai_zui_jiang的博客
08-22 1421
跨站脚本攻击是指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览页面时，攻击者插入在页面的Script代码会被解析执行，从而达到恶意攻击的目。
pikachu漏洞练习第二章节xss之盲打练习收获
kaka6764的博客
08-28 280
在一些输入内容的文本框使用环境下，文本输入后被保存在后端。只有后端才能看到前端输入的内容，从前端无法判断是否存在xss。在未知后端代码的情况下，作为攻击者直接往里使用xss代码可能能利用上后端的xss漏洞。
pikachu漏洞练习第二章节反射型xss（get，post）练习收获
kaka6764的博客
08-27 2373
观察输入错误回答时弹出的提示，我们可发现弹出的提示中会把我们输入的内容（比如这里输入了错误答案x）连带提示信息一起输出在网页上。这样对比可知，利用我们保存下来的网址，我们成功利用网页xssget漏洞制造了一个执行脚本，用户点击我们保存的网址并不会像正常的网页一样显示网页提示，而是显示我们设定好的提示xssget。先在网页输入内容测试可见在输入空数据时网页提示和输入错误数据时网页提示，当根据网页提示输入kobe时，网页返回提示和图片。提交后可见网页弹出提示框，内容为xssget，即我们输入的代码内容。
pikachu漏洞练习平台之xss（持续更新中）
m0_55854679的博客
05-04 2369
概述 XSS（跨站脚本） Cross-Site Scripting 简称为“CSS”，为避免与前端叠成样式表的缩写"CSS"冲突，故又称XSS。一般XSS可以分为如下几种常见类型： 1.反射性XSS; 2.存储型XSS; 3.DOM型XSS; XSS漏洞可以用来进行钓鱼攻击、前端js挖矿、用户cookie的获取，甚至可以结合浏览器自身的漏洞对用户主机进行远程控制等。 XSS是一种发生在web前端浏览器端的漏洞，所以其危害的对象也是前端用户。 形成XSS漏洞的主要原因是程序对输入和输出没有做合适的处理，导致“
小迪安全_第4天：基础入门-30余种加密编码进制&Web&数据库&系统&代码&参数值|小迪安全笔记|网络安全|
weixin_45635831的博客
12-30 609
综合性加密平台：支持大部分常见加密算法，但部分特殊加密需要借助其他平台主要功能：提供MD5、SHA1等加密算法的反向查询服务数据库规模：记录约90万亿条，占用硬盘超过500TB查询成功率：全球领先，达95%以上，部分复杂密文仅该平台可查运营时间：自2006年运行至今，国内外享有盛誉识别能力：掌握各种加密方式的识别方法和特征应用场景：了解不同加密算法在实际中的应用场景解决思路：明确解密所需条件和可能遇到的限制。
Web安全之SQL注入-CSRF-XSS
AI大模型/Python/Java/MySQL技术栈，快来和我一起学习吧 ~
12-29 1067
攻击者通过在用户输入中嵌入恶意 SQL 片段，绕过应用逻辑，直接操作数据库。 示例（危险代码）： → 可导致：数据泄露、删除表、提权、远程命令执行（如 PostgreSQL 的 COPY TO）攻击者诱导已登录用户访问恶意网站，该网站自动向目标站点（如银行）发起带 Cookie 的请求（如转账），利用用户身份执行非意愿操作。 前提：用户已登录目标站 + 请求无二次验证。攻击者将恶意脚本（JavaScript）注入网页，当其他用户浏览时执行，窃取 Cookie、会话、钓鱼等。 分类：示例：
【要闻周报】网络安全与数据合规 12-31
最新发布
专注于制造仓库、生产线边仓、物流仓储等人工拆零拣选辅助系统以及前沿技术。
12-31 943
国家网信办发布《网络数据安全风险评估办法（征求意见稿）》、国家计算机病毒应急处理中心检测发现69款违法违规收集使用个人信息的App、《贵州省大数据发展应用促进条例》自2026年1月1日起施行、湖南省网信办发布2025年度湖南省汽车数据报送工作的通知、上海发布5起不履行个人信息保护义务的典型案例、欧盟：欧盟委员会依据DSA对X处以1.2亿欧元罚款、爱尔兰：CnaM对LinkedIn和TikTok展开DSA潜在违法调查。
新规解读：2025 年修正版《中华人民共和国网络安全法》核心变化解读
meidaoliha的博客
12-30 720
强化新兴技术安全监管：将人工智能纳入法律框架，明确技术研发与伦理规范并行的发展路径。强化关键主体责任：针对关键信息基础设施运营者、网络产品服务提供者设置更严格的义务与处罚标准。强化法律体系衔接：与《数据安全法》《个人信息保护法》《人工智能法（草案）》形成协同，构建全方位的网络安全法治体系。对行业而言，修正版的实施将推动网络运营者加大安全投入，加速人工智能安全技术的研发与应用，同时倒逼企业完善数据治理与合规管理体系，为我国数字经济高质量发展筑牢安全屏障。新修正法规见上篇文章。
网络安全等级保护：合规基石与风险管理核心
jiedaodezhuti的博客
12-31 547
网络安全等级保护，简称“等保”，其核心要义在于根据信息系统对国家安全、社会秩序、公共利益以及公民、法人和其他组织合法权益的重要性，及其一旦遭到破坏、丧失功能或数据泄露可能造成的危害程度，实施分级、分类的安全保护与监督管理。3. 建设整改：依据对应等级的安全要求，对信息系统的技术防护措施（如网络边界防护、访问控制、加密传输）和安全管理体系（如制度、人员、运维流程）进行建设和整改，以满足标准。5. 监督检查：公安机关及行业主管部门依法对定级备案、等级测评、安全整改等落实情况进行定期或不定期的监督、检查、指导。
计算机网络 （郑烇） 8 网络安全
qq_44845100的博客
12-28 183
小迪安全笔记_第4天|扩展&整理|30+种加密编码进制全解析：特点、用处与实战识别指南|小迪安全笔记|网络安全|
weixin_45635831的博客
12-30 1057
"32位MD5/NTLM，40位SHA1，64位SHA256；Base64带=，URL带%，Hex无符号，JSFuck全符号！"MD5存密码？漏洞在手！Base64当加密？直接解码走！NTLM看ccef，SHA256更安全！
第2天：基础入门-Web应用&架构搭建&漏洞&HTTP数据包&代理服务器|小迪安全笔记|网络安全|
weixin_45635831的博客
12-28 777
26:07。
7. 网络安全-等保
princemilo的博客
12-29 848
国家要求信息系统（网站、APP、云平台等）进行分等级的保护。
搭建phpstudy上的pikachu漏洞练习靶场
资源摘要信息:"pikachu-master.zip是用于在phpstudy环境下搭建pikachu漏洞练习靶场的必备源码文件。" 在信息安全领域，漏洞靶场（Vulnerability靶场）是一种专门用于安全研究、学习和模拟攻击的平台。它提供了模拟...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值