XSS DOM易受攻击

-2

我测试了漏洞（文件夹/服务联系人）站点和可能的XSS DOM问题（使用Kali Linux，Vega和XSSER）。不过，我尝试使用'alert'脚本手动测试url，以确保它很脆弱。我用XSS DOM易受攻击

www.babyland.nl/service-contact/alert("test") 没有提示框/弹出窗口被显示，只有html代码显示在联系表单框中。

我不确定我是否使用了正确的代码（我是菜鸟）或做了正确的解释。服务器是Apache，使用javascript/js。

你能帮忙吗？

谢谢！

来源

2016-01-13 Jim

看起来该网站不容易受到XSS（至少通过你建议的载体）。听起来像是扫描仪中的误报。 – Gray

这对XSS来说并不容易，无论你在URL中写什么，都是在下面的表单部分（Vraag/opmerking）。如果你尝试另一个有效负载<script>alert(/xss/)</script>这也不起作用，因为这不反映既不存储。你会看到输出为文本在Vraag/opmerking。不要依赖于在线扫描仪，手动测试，DOM基于XSS ..检查接收器和信号源并分析它们

来源

2016-01-31 04:21:24

该工具是正确的。网站上存在XSS漏洞，但概念证明（PoC）代码错误。一个< textarea的>的内容只能包含character data（见<textarea> description on MDN）。所以你<script>alert("test")</script>被解释为文本而不是HTML代码，但你可以关闭< textarea的>标签，之后插入JavaScript代码。

这里是工作的PoC网址：

https://www.babyland.nl/service-contact/</textarea><script>alert("test")</script>

其呈现为：一张小纸条

<textarea rows="" cols="" id="comment" name="comment"></textarea<script>alert("test")</script></textarea>

到测试XSS注射：铬/铬具有XSS防护。所以这段代码不会在这个浏览器中被利用。对于手动测试，您可以使用Firefox或运行Chrome：--disable-web-security（see this StackOverflow Question和this以获取更多信息）。

来源

2016-08-18 15:41:13

XSS DOM易受攻击

回答

相关问题