实战：WEB攻击之网页脚本攻击试验

2019独角兽企业重金招聘Python工程师标准>>>

在试验之前，先给大家抛出本试验的题目，大家在看后续文章前可以自行练习下，练步骤如下：

1、打开http://58.22.105.164:7002/jdha-client/flowassistant/1.jsp

2、随便输入一个昵称，然后点"确定"按钮；

3、在后续的页面上有一个灰色的按钮，是disabled状态，大家有办法把它变成可用状态码？

-----------------------------------------------------------------

答案很简单，在第一个页面的文本输入框中输入以下内容即可搞定：

<script>document.getElementById("btn1").disabled=false;</script>

--------------------------------------------------------------

这个例子给大家有什么感触呢？我的感触是：

1、所有写在页面上的逻辑校验都是假的，后台在接收到前台提交的所有数据后，一定要再做一次必要的逻辑校验；

2、必须对页面提交的所有参数，特别是像本例子一样，将提交的参数显示在页面上的参数，必须对<script> <object> <embed>等关键词进行过滤转换，如将<转换成&lt;

 

再给大家做个引申？ 如果第二个页面上只有一个不可用的按钮，没有任何输入参数，大家是否在客户端让其运行呢？答案是肯定的！破解的方式同12306火车票自动订票插件原理一样，以下是测验网址：

http://58.22.105.164:7002/jdha-client/flowassistant/3.jsp

大家先自行试验一下，破解步骤我后续详细补充！

----------------------------------------------------

补充答案：采用JS插件方式，JS插件在IE、FIREFOX上都有解决方案，我这里讨论的是采用CHROME的JS插件方式实现，实现的详细过程见我的另外一篇博文：http://my.oschina.net/hetiangui/blog/135744

转载于:https://my.oschina.net/hetiangui/blog/135462