XSS DOM易受攻擊

-2

我測試了漏洞（文件夾/服務聯繫人）站點和可能的XSS DOM問題（使用Kali Linux，Vega和XSSER）。不過，我嘗試使用'alert'腳本手動測試url，以確保它很脆弱。我用XSS DOM易受攻擊

www.babyland.nl/service-contact/alert("test") 沒有提示框/彈出窗口被顯示，只有html代碼顯示在聯繫表單框中。

我不確定我是否使用了正確的代碼（我是菜鳥）或做了正確的解釋。服務器是Apache，使用javascript/js。

你能幫忙嗎？

謝謝！

來源

2016-01-13 Jim

看起來該網站不容易受到XSS（至少通過你建議的載體）。聽起來像是掃描儀中的誤報。 – Gray

這對XSS來說並不容易，無論你在URL中寫什麼，都是在下面的表單部分（Vraag/opmerking）。如果你嘗試另一個有效負載<script>alert(/xss/)</script>這也不起作用，因爲這不反映既不存儲。你會看到輸出爲文本在Vraag/opmerking。不要依賴於在線掃描儀，手動測試，DOM基於XSS ..檢查接收器和信號源並分析它們

來源

2016-01-31 04:21:24

該工具是正確的。網站上存在XSS漏洞，但概念證明（PoC）代碼錯誤。一個< textarea的>的內容只能包含character data（見<textarea> description on MDN）。所以你<script>alert("test")</script>被解釋爲文本而不是HTML代碼，但你可以關閉< textarea的>標籤，之後插入JavaScript代碼。

這裏是工作的PoC網址：

https://www.babyland.nl/service-contact/</textarea><script>alert("test")</script>

其呈現爲：一張小紙條

<textarea rows="" cols="" id="comment" name="comment"></textarea<script>alert("test")</script></textarea>

到測試XSS注射：鉻/鉻具有XSS防護。所以這段代碼不會在這個瀏覽器中被利用。對於手動測試，您可以使用Firefox或運行Chrome：--disable-web-security（see this StackOverflow Question和this以獲取更多信息）。

來源

2016-08-18 15:41:13

XSS DOM易受攻擊

回答

相關問題