XSS Challenge靶场练习
实验目的
学习xss的基础知识及利用方式。
实验原理
XSS
- 跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意ｓｃｒｉｐｔ代码，当用户浏览该页之时，嵌入其中Web里面的ｓｃｒｉｐｔ代码会被执行，从而达到恶意攻击用户的特殊目的。
XSS种类
- 一类是来自内部的攻击，主要指的是利用程序自身的漏洞，构造跨站语句，如:dvbbs的showerror.asp存在的跨站漏洞。
- 另一类则是来自外部的攻击，主要指的自己构造XSS跨站漏洞网页或者寻找非目标机以外的有跨站漏洞的网页。如当我们要渗透一个站点，我们自己构造一个有跨站漏洞的网页，然后构造跨站语句，通过结合其它技术，如社会工程学等，欺骗目标服务器的管理员打开
实验内容
XSS20题库挑战
实验环境描述
虚拟机：H006003001win701
- 账号：admin
- 密码：123456
实验步骤
1、打开桌面上的xampp，然后点击启动apache,mysql，然后打开浏览器输入localhost地址进入实验页面
- 此靶场中所有的Payload均不唯一，课件中提供的Payload仅供参考
-
可以用快捷键F12调用Firefox的插件Hackbar，如下：
2、打开我的电脑，然后进入D:＼phpstudy＼xsschallenge＼下，用记事本打开level.php查看代码，(后面的关卡同样打开对应关卡的level.php查看源码)
我们发现payload提交后，并未弹窗，查看源代码可知，这里使用双引号闭合，我们把payload换为双引号，页面出现一个超链接，点击即可。
将payload输入到输入框中，点击提交即可弹框。
将payload输入到输入框中，点击提交即可弹框。
