【安全】P 4-10 HTML事件中的XSS

骆驼实验室

于 2021-02-18 23:09:18 发布

阅读量352

点赞数

CC 4.0 BY-SA版权

分类专栏：安全大师文章标签：网络安全信息安全渗透测试

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文链接：https://blog.csdn.net/Z_David_Z/article/details/113855054

安全大师专栏收录该内容

73 篇文章

订阅专栏

本文介绍了HTML事件处理器如何与JavaScript结合，用于响应用户操作。同时，详细探讨了XSS（跨站脚本）漏洞的发现，通过输入独一无二的字符串来查找潜在的漏洞。针对XSS攻击，文章提出了两种闭合思路，包括利用HTML事件触发和闭合输入标签。最后，给出了实际的Payload示例，如οnclick事件触发的XSS漏洞。本文对于理解并防止XSS攻击具有一定的指导价值。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

目录

0x01 HTML事件介绍
0x02 XSS漏洞发现
0x03 闭合思路分析
0x04 Payload触发XSS漏洞

0x01 HTML事件介绍

在现代浏览器中都内置有大量的事件处理器。这些处理器会监视特定的条件或用户行为，例如鼠标单击或浏览器窗口中完成加载某个图像。通过使用客户端的 JavaScript，可以将某些特定的事件处理器作为属性添加给特定的标签，并可以在事件发生时执行一个或多个 JavaScript 命令或函数。
在这里插入图片描述

0x02 XSS漏洞发现

设置独一无二字符串提交，在响应中寻找。

在这里插入图片描述

0x03 闭合思路分析

1、通过HTML事件来触发XSS,

” onmouseover=”alert(document.domain)

2、闭合input标签，加入

<script>alert(document.domain);</script>

0x04 Payload触发XSS漏洞

" οnclick="alert(document.domain)"

在这里插入图片描述
----E-----N-----D-----
😄如有问题，请各位师傅斧正，你的支持是我最大的动力。

评论

被折叠的条评论为什么被折叠?

到【灌水乐园】发言

查看更多评论

添加红包

成就一亿技术人!

hope_wisdom

发出的红包

实付元

使用余额支付

点击重新获取

扫码支付

钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。