简单XSS测试脚本
一、实验目的
1、了解XSS的有关知识；
2、了解XSS的实际操作；
3、了解XSS的攻击原理。
二、实验内容
1、在主机上搭建pikachu站点；
2、在站点上进行简单XSS测试脚本。
三、实验内容与步骤
1、在主机上搭建pikachu站点：
1.1、pikachu站点上集成了许多XSS测试的平台，在这里搭建便于对XSS进行测试，将
“pikachu.zip”压缩包解压到phpStudy的WWW文件夹下
1.2、开启phpStudy并开启Apache服务和MySQL数据库。
1.3、根据实际情况修改inc/config.inc.php里面的数据库连接配置，这里我们数据库在之前设置的密码就是root，所以没有改变的话是不用设置的。
1.4、访问127.0.0.1/pikachu，会有一个红的热情提示"欢迎使用,pikachu还没有初始化，点击进行初始化安装!"，点击即可完成安装。
2、在站点上进行简单XSS测试脚本
2.1、点击“Cross-Site Scripting”然后点击反射型XSS（get），打开反射型XSS的测试站点。
2.1.1、看见页面提示“Which NBA player do you like?”我们尝试随便输入一个球员的名
字，点击“submit”，此时我们发现站点回显了“who is Jalen Green,i don't care!”，发现我们刚刚输入的名字在站点上也出现了，证明站点刚刚执行了这一段代码，如果我们将名字换成恶意代码，其他用户点击时就会起到攻击作用。
2.1.2、此时我们输入测试的XSS脚本“<script>alert('xss')</script>”脚本的功能是弹出显示xss的弹框。可是当我们输入时发现不能全部输入进去，原因是站点对输入框长度进行了限制，我们点击F12修改长度即可，将20修改成2000。
2.1.3、然后再次输入<script>alert('xss')</script>，发现成功弹窗。
用phpstudy搭建网站
2.2、点击存储型xss，打开存储型xss的测试站点。
2.2.1、点开发现是一个留言板，当我们随便输入一个值时，发现会一直回显在留言列表上面，也就是说每次打开留言板都会执行刚刚发的留言，如果留言是一个恶意脚本代码的话，有人一打开就会执行起到攻击的作用。
2.2.2、接下来我们输入测试xss脚本<script>alert('xss')</script>，发现有回显弹框xss。
2.2.3、当我们每一次打开留言的时候都会有弹框出现。
2.3、点击DOM型xss，打开DOM型xss的测试站点。
2.3.1、先直接输入测试脚本<script>alert('xss')</script>，然后点击下面的'>what do you see?发现并没有弹框。
2.3.2、我们查看源代码。getElementById获取标签id为text的值传递给str，str通过字符串拼接到a标签中。所以我们要闭合前面的<a>标签。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。