Come avviare il codice XSS da un tag HTML INPUT al caricamento della pagina?

Naviga le tue risposte
19

Supponiamo che abbia un sito Web con il seguente codice: 

<input type="text" id="search-text" name="query" value="?" />

Le virgolette doppie non sono sottoposte a escape, quindi posso uscire dall'attributo value, tuttavia, non posso rompere il tag HTML stesso come '<' e > vengono filtrati.

Il mio obiettivo qui è quello di far apparire un popup javascript.

  • Esiste l'attributo onfocus quindi suppongo che se qualcuno ha fatto clic sulla casella di immissione del testo, potrebbe essere visualizzato un popup javascript.
  • Tuttavia c'è un modo per far apparire un popup javascript quando la pagina viene caricata per la prima volta?
posta neubert 22.08.2015 - 20:38
fonte

2 risposte

37

Prova questo: 

" onfocus="alert(1)" autofocus="

Si espanderà in: 

<input type="text" id="search-text" name="query" value="" onfocus="alert(1)" autofocus="" />

Che causerà una finestra di avviso, dimostrando XSS.

    
risposta data 22.08.2015 - 22:00
fonte
-2

Puoi effettuare il checkout anche per questo

onload = alert ( 'XSS')

Che produrrà una finestra di avviso quando la pagina viene caricata.

    
risposta data 24.08.2015 - 12:48
fonte

Leggi altre domande sui tag

Differenza tra XSS e CSRF? [chiuso] Le password comuni sono particolarmente a rischio?