2021-07-29

记一次某网站后台的存在XSS漏洞

发现某网站后台管理系统某功能点存在存储型XSS漏洞。
首先登陆网站后台

点击新增
这里我将JavaScript代码插入到了类型框中，其他的随便填写，然后保存数据。
保存数据后，成功弹框。

测试一下是不是存储型XSS漏洞，我们只要刷新页面，查看是否有弹框即可。
刷新页面后发现，弹框存在。说明是存储型XSS漏洞。代码被写到了数据库中。
这里我们可以将JavaScript代码修改成盗取对方cookie信息或者其他的，只要用户访问，就可以盗取其cookie信息。
写的不是很好，只是记录一下学习成果。大家一起共同进步。