這個XSS爲什麼不起作用？

可能很簡單的解決方案，但我不明白爲什麼我試圖在我的歡迎頁上通過索引頁上的XSS輸入運行此警報腳本不起作用。這個XSS爲什麼不起作用？

我有一個簡單的index.htm頁面的表單：

<!DOCTYPE html> 
<html> 
<body> 
    <form method="post" action="welcome.php"> 
     Name: <input type="text" name="name"> 
     <input type="submit"> 
    </form> 
</body> 
</html>

而且文件的welcome.php：

<!DOCTYPE html> 
<html> 
<body> 

    <h3> Welcome <?php echo $_POST['name']; ?> </h3> 

</body> 
</html>

身爲外國訪客的index.php頁面，在名稱現場我試圖進入： <腳本>警報（「PWNED」）< /腳本>

來源

2017-02-26 JSStuball

這有什麼好處理PHP本身，因爲大多數瀏覽器都具有XSS auditor將盡力保護從知道XSS攻擊

運行你的例子會導致用戶在：

的XSS審計拒絕'http://localhost:9093/welcome.php執行腳本'因爲它的源代碼是在請求中找到的。由於服務器未發送「X-XSS-Protection」標頭，因此啓用了審覈程序。

欲瞭解更多信息，可以檢查this question

來源

2017-02-26 09:21:33

感謝您的答覆，但我使用的方法=「後」，而不是方法=「獲取」，所以我不認爲這有什麼用XSS審計員在我的情況。 – JSStuball

@JSStuball仔細閱讀鏈接問題的答案，它說「當你把它放在請求的URL或當服務器返回HTML輸出」 – niceman

@niceman哈哈我希望你不會解釋，改變'和'字'或'然後使用引號。 – JSStuball

這個XSS爲什麼不起作用？

回答

相關問題