🏘️个人主页: 点燃银河尽头的篝火(●’◡’●)
如果文章有帮到你的话记得点赞👍+收藏💗支持一下哦
【靶场】Pikachu—XSS Cross-Site Scripting(前五关)
第一关 反射型xss(get)
-
先输入
<script>alert(1)</script>
试试,发现文本框有长度限制
-
查看网页源代码,发现长度限制为20
-
将
maxlength
长度改大,比如改成100:
-
然后在输入框中输入payload:
<script>alert(1)</script>
第二关 反射型xss(post)
-
查看提示发现要先用admin账号密码登录
登进去之后发现和上一关一样且文本框没有长度限制 -
输入payload:
<script>alert(document.cookie)</script>
第三关 存储型xss
输入payload:
<script>alert(document.cookie)</script>
提交之后出现弹窗,点击确定
。
点确定
之后就变成下图这样(留言内容不显示),但是多了个删除
,说明确实多了一条留言
第四关 DOM型xss
-
先输入
<script>alert(1)</script>
试试。
出现"what do you see?"
-
查看网页源代码中
what do you see?
对应代码
发现我们输入的并未执行,可以用onclick绕过
-
在文本框写入onclick语句
' onclick="alert('nihao')">
- 点击
click me!
之后发现what do you see?
前多了'>
点击'>what do you see?
出现弹窗
第五关 DOM型xss-x
-
先输入
<script>alert(1)</script>
试试。
发现出现新窗口
-
查看网页源码,发现和上一题一样,用onclick绕过
且下一步需要点击有些...忘掉了
-
点击
'>就让...随风吧