javascript表单劫持用户密码（后门免杀）

试验开始 javascript表单劫持

其实应该可以留有很多后门，但是我暂时只想到这一种，还希望社区的大神能够完善这篇文章·~~~~

原理：在正常的登陆页面，留下一段恶意JS代码，在登陆账号密码的同时，也会把账号密码悄悄的发送到我们的站点上~~~

test.html 正常页面

test2.php 用来验证账号密码数据的正常页面

test3.php 攻击站点用来接收账号密码的页面

http://127.0.0.1  你自己的攻击站

RSA 2017安全大会·密码学专场研讨会

实用入侵指南：真·现场开锁教程

正常页面 Test.html

原始的界面，自己简化了，代码内容如下

[AppleScript]  纯文本查看  复制代码

?

1 2 3 4 5 6 7 8 9

< form action = "test2.php" method = "POST" id = "form" >      < input type = "text" name = "user" >      < input type = "password" name = "pass" >      < input type = "submit" >   < / form >

一般的情况下输入密码，数据提交给test2.php，很正常的一个页面~~

现在我们要在test.html里插入一段代码，用JS动态的创建一个iframe，包含表单里账号密码的值，把表单里的值发送到test3.php（我们的恶意接收站点）里