• webgoat——XSS


    Stage 1: Stored XSS(存储XSS攻击 黑别人)

    实验内容:主要是用户“Tom”(攻击者)在自己的个人资料中添加了恶意代码(比如最简单的<script>alert('121212');</script>),然后保存。在被攻击者“Jerry”查看Tom的资料的时候,会执行Tom写的恶意代码。

    步骤:

    首先Tom登录,在自己资料(ViewProfile)的任意地方添加代码:<script>alert('121212');</script>,如图1:

    图·1

    如果实验成功,在保存资料的时候,会弹出框,则证明成功,如图2。但是不知道为什么我成功了却不现实成功。

    Stage 5: Reflected XSS(自己搞自己玩)

    上一个实验是在个人资料中添加恶意代码,然后别人在查看的时候,就可以执行恶意代码。而在Stage 5中,是你在搜索的时候,本来应该输入用户名(例如Tom),但是现在你直接输入一段代码(例如<script>alert('123')</script>),点击搜索就会弹出提示框。如图3、4。

    图3

    图4

    stored XSS Attacks 

    实验内容:实验中,用户在输入永久存储的信息(message)的时候,如果输入的是一些指令、代码,在查看详情的时候,就不是展示内容,而是执行指令、代码。

    步骤:输入title:test3,输入message时,输入一堆代码(例如:<script>alert('111')</script>):如图:

    图5

    图6

    Reflected XSS Attacks:

    实验内容:在这次实验中,我们在输入框中输入一些代码,而浏览器又不会对用户输入做格式验证,因此就会导致浏览器执行非法代码,进而能完成一些不好的事情。

    步骤:在Enter your three digit access code: 输入代码<script>alert('Bang!')</script>,点击Purchase,会执行代码。如下图:

    图7

    图8

    参考http://blog.csdn.net/gr912308719/article/details/72499462;

      http://blog.csdn.net/baishileily/article/details/50488332

  • 相关阅读:
    python 单下划线/双下划线使用总结
    error connection reset by peer 104
    变形课
    求并联电阻值
    HDU2054:A == B ?
    Do the Untwist
    开门人和关门人
    关于HEXO安装失败的解决方法
    代码高亮显示——google-code-prettify
    网站图标——favicon
  • 原文地址:https://www.cnblogs.com/beautifullife4e/p/8581575.html
Copyright © 2020-2023  润新知