漏洞赏金 XSS 漏洞网站负载

Question

我最近开始自学 XSS 漏洞并偶然发现了这个网站进行练习。

https://sudo.co.il/xss/level2.php

但经过多次尝试输入多个有效载荷

Example: <script>alert('XSS')</script>

我无法让 XSS 工作。

Answer 1

该值反映在输入值属性中。 您可以通过以"开头然后添加其他属性来转义它。例如： " onmouseover="alert('XSS')" 。

要减少用户交互，您可以更改样式： " onmouseover="alert('XSS')" style="width: 1000px; height: 1000px" " onmouseover="alert('XSS')" style="width: 1000px; height: 1000px"或者可能有更好的属性可以代替。

Answer 2

您可以通过以"

例如： "><img/src=x onerror=alert(origin)>