如何通過 XSS 在另一個網頁上加載 javascript？

Question

我正在完成一項學校作業。 有一些我需要完成的任務我已經堅持了很長時間了。 這些目標比我將要提出的問題要復雜一些，但是，它將解決我似乎無法弄清楚的潛在問題。 任何幫助將不勝感激。

本質上，我有一個 html 文件，並且在我的 VM 上托管了一個易受攻擊的虛假網站。 它本質上是通過iceweasel 網絡瀏覽器的登錄頁面。 我發現該漏洞是因為字段之一只是與 post 值相呼應。 用戶打開我的頁面，很簡單地向假網站發出發布請求，然后我將腳本插入到所述輸入的 value 屬性中。 看起來像這樣：

<input type="someType" name="someName" value=""/><script>alert('Hello');</script>"> 

我遇到的問題是此警報發生在我的網頁上，我希望它在加載易受攻擊的網頁后執行警報。 有誰知道如何完成這樣的壯舉？

編輯第 3 部分（最后自己解決了 2）：

一旦我按照你的建議轉義雙引號和 < 和 > 符號，我就能夠成功地在易受攻擊的網頁上執行警報。 我還成功地通過腳本（第 2 部分）發送了一個函數，這是另一個語法錯誤。

對於我要處理的下一部分，我不希望用戶看到加載時打印到頁面的“>”。有沒有辦法擺脫該文本？

例如：

<input type="someType" name="someName" 
value=""&quot;/&gt;&lt;script&gt;alert('Hello');&lt;/script&gt;"/>

"> 打印到頁面上。我該如何擺脫/隱藏它？

Answer 1

正如@misorude 所提到的，在作業開始時，您的引號超出了需要的數量。 如果您保留 type=text，那么您的假網站將在轉換前幾毫秒顯示一個文本矩形。 隱藏它（類型=隱藏）。