ctf xss利用_Csrf+Xss组合拳

本文首发于“合天智汇”公众号，作者： 影子

各位大师傅，第一次在合天发文章，请多多关照

今年年初的疫情确实有点突然，打乱了上半年的所有计划（本来是校内大佬带我拿奖的时刻，没了

，学长毕业了，就剩下我这个小垃圾带着下一届去搞ctf了，难啊，难啊）

• 0x01

这个站是我疫情时候在线上网课的平台，本着对信息安全做贡献的目的下去做的这个渗透工作（咳咳，这个平台有个签到，每次签到我都在与大脑作斗争，最后争不过大脑，选择了睡觉，最后旷课太多，不搞要挂科。）

• 0x02

这个站简单的先用手机看了下，这种网课站我感觉xss比较好寻找一些，所以我找到的都是一些存储型xss，

先看一下第一个基本没鸟用的xss

用户个人资料处

更改姓名

Payload为<script>alert()</script>

（这个地方字数有限制，最长为24个字符）

保存，刷新页面

成功显示弹窗
经测试

1.学号

2.身份

3.学校

4.姓名处均存在存储型xss并能够弹窗

确实这个地方感觉确实没什么用，字数有限制，顶多就是在老师打开页面的时候弹出一个弹框，没鸟用啊，回头想想自己旷课的次数，md，拼了

• 0x03

发布新话题

测试发现

将上面全部代码进行复制

在下面编辑框中进行黏贴，直接解析为html

内容处可以执行html代码

测试发布时</