xss盲打：并不是一种xss漏洞的类型，其实说的是一种xss的攻击场景。 开始我们的实验 随便输入后，（并不会在前端输出） 是不是这种输入 不输出在前端就不会有问题呢？ 再输入弹窗试试（还是不在前端输出） 管理员登陆后台，后台的界面会把我们输入的内容输出，后台的管理员会被X到。这种场景被称为xss的 ...
分类：
Web程序 时间：
2020-03-31 22:31:08
阅读次数：
94
将进行下图3个实验，更好的来理解xss的危害和原理 先去修改下Pikachu靶机中的，cookie.php修改成自己的ip 实验1：xss如何获取cookie？ 只需要将 Pikachu靶机中的pkxss文件复制到攻击机中的站点（www）下即可。 登入下 默认没任何数据 1.1 GET型XSS利用： ...
分类：
其他好文 时间：
2020-03-31 14:41:31
阅读次数：
302
XSS简述 Cross-Site Scripting 跨站脚本 简称为“CSS”，为避免与前端叠成样式表的缩写"CSS"冲突，故又称XSS。 XSS是一种发生在前端浏览器端的漏洞，所以其危害的对象也是前端用户。XSS漏洞可以用来进行钓鱼攻击、前端js挖矿、盗取用户cookie，甚至对主机进行远程控制 ...
分类：
其他好文 时间：
2020-03-30 23:13:51
阅读次数：
76
如上图，我们获取到了cookie，接下来利用cookie登录相应的网站。 我用的浏览器是火狐，首先在特定的网站（也就是我们发现XSS漏洞的网站，这里指的是pikachu）F12打开开发者工具，找到控制台，在最下面输入： document.cookie = "PHPSESSID=ku7dfhu5cbi ...
分类：
Web程序 时间：
2020-03-29 18:02:52
阅读次数：
104
一丶XSS漏洞成因及原理 XSS也叫Cross Site Script,因为和CSS重名，所以改名XSS。 通常指黑客通过“HTML注入”纂改了页面，插入了恶意的脚本，从而在用户浏览页面时，控制用户浏览器的一种攻击。在一开始，这种攻击的演示案例是 跨域的，所以叫“跨站脚本”。但是发展到今天，由于Ja ...
分类：
其他好文 时间：
2020-03-24 19:00:48
阅读次数：
182
Catfish(鲶鱼) Blog V1.3.15 代码审计 1，前台存储型xss漏洞 漏洞点：application\index\controller\index.php 调用了filterJs函数对content 参数进行过滤。 继续跟进filterJs函数： 在/application/inde ...
分类：
其他好文 时间：
2020-03-17 21:04:13
阅读次数：
55
1.1 跨站脚本漏洞概述 1）xss漏洞一直被评估为web漏洞中危害较大的漏洞 2）xss是一种发生在web前端的漏洞，所以其危害的对象主要是前端用户 3）xss漏洞可以用来钓鱼攻击，钓鱼攻击，前端js挖矿，用户cookie获取，甚至可以结合浏览器自身的漏洞对用户主机进行远程控制等 1.2 跨站脚本 ...
分类：
其他好文 时间：
2020-03-13 18:53:49
阅读次数：
45
0x00前言 开始从小的漏洞开始练习，搬运项目地址： https://github.com/imsebao/Code Audit 0x01 Catfish(鲶鱼) Blog前台文章评论处存在 存储型xss漏洞。 在 application\index\controller\index.php 文件第 ...
分类：
其他好文 时间：
2020-03-05 13:11:29
阅读次数：
71
Web项目比较常见的安全问题1.XSS(CrossSiteScript)跨站脚本***XSS(CrossSiteScript)跨站脚本***。它指的是恶意***者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。测试方法：在数据输入界面，添加记录输入：，添加成功如果弹出对话框，表明此处存在一个XSS漏洞。或把url请求中参数改为
分类：
Web程序 时间：
2020-03-01 00:45:04
阅读次数：
89
