Loading... ## 前言 接着写XSS的第二关，第一关在这里： <div class="preview"> <div class="post-inser post box-shadow-wrap-normal"> <a href="https://jsong.cn/archives/651.html" target="_blank" class="post_inser_a "> <div class="inner-image bg" style="background-image: url(https://cdn.jsdelivr.net/gh/jsongmax/img/img/20200810114531.jpg);background-size: cover;"></div> <div class="inner-content" > <p class="inser-title">【网络安全】Webug4.0 反射型XSS注入</p> <div class="inster-summary text-muted"> 前言Webug4.0靶场的注入已经写了几关了，接着尝试一下XSS的关卡吧用处构造跨站语句，抓取本次访问的cooki... </div> </div> </a> <!-- .inner-content #####--> </div> <!-- .post-inser ####--> </div> ### 用处 一个招聘网站分为企业用户和个人用户，只有企业用户能下载个人简历，而个人简历的自我描述存在XSS注入，所以可以构造语句获取访问了此简历的企业账户信息，然后拿去下载简历。 ## 解题过程 首先打开靶场看一下：  除了底部有一个评论外，没有找到其他的点了，所以在这里试一下吧 `<script>alert(document.cookie)</script>`  好吧，水了一篇 <hr class="content-copyright" style="margin-top:50px" /><blockquote class="content-copyright" style="font-style:normal"><p class="content-copyright">版权属于：JsOnGmAX</p><p class="content-copyright">本文链接：<a class="content-copyright" href="https://jsong.cn/archives/654.html" target="_blank" >https://jsong.cn/archives/654.html</a></p><p class="content-copyright">博客内容遵循 署名-非商业性使用-相同方式共享 4.0 国际 (CC BY-NC-SA 4.0) 协议 如有侵权 请联系本人删除</p></blockquote> 最后修改：2020 年 08 月 10 日 03 : 37 PM © 允许规范转载 赞赏 如果觉得我的文章对你有用，请随意赞赏 ×Close 赞赏作者 扫一扫支付 支付宝支付 微信支付
