XXS

首页 > TAG信息列表 > XXS

安全测试，CSRF, XXS

【浏览器同源问题，如果支持跨域，则会导致CSRF(cross-site request forgery)跨站请求伪造】【为什么不支持跨域，浏览器的同源策略：如果两个URL的protocol、port和host都相同的话，则这两个URL是同源】如果支持跨域，则会出现出现一些危险场景比如CSRF攻击，跨站请求伪造(cross-site r

XXS level6

(1输入框输入与第五关相同的payload 查看页面源代码，发现“href"变成了”hr_ef“ (2)查看PHP源代码 <?php ini_set("display_errors", 0);$str = $_GET["keyword"];$str2=str_replace("<script","<scr_ipt",$str);$str3=str_replace("on"

XXS level3

（1）用level1和2的方法都行不通，查看PHP源代码，发现url与输入框内容都进行了过滤 <?php ini_set("display_errors", 0);$str = $_GET["keyword"];echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"."<center><fo

XXS level1

level1 （1）查看PHP源码，发现可以通过调用window,alert()完成任务 window.alert = function() { confirm("完成的不错！"); window.location.href="level2.php?keyword=test"; } （2）可在url后面的参数内输入脚本,回车 name=<script>window.alert()</script> 点击“确定即可到