Ciao! Come ho fatto prima e ho anche letto in molti siti web, semplicemente scrivendo:
javascript:alert(document.cookie);
dovrebbe funzionare su qualsiasi pagina web. Ma ora, non ero in grado di eseguirlo. L'ho controllato con Firefox e Chrome. Perché non è possibile farlo?
javascript: gli URL sono stati usati abbastanza frequentemente in modo malevolo ("Ehi! C'è questa nuova cosa interessante! Vai alla tua posta in arrivo di Gmail e copia e incolla questo nella barra degli indirizzi!") che le recenti versioni del browser hanno preso provvedimenti per cambiare il loro modo di lavorare.
In Chrome (testato v20 su OS X), una copia e incollata "javascript: alert (document.cookie)" url ha la javascript: porzione rimossa (MSIE 9 a quanto pare fa lo stesso). La ri-aggiunta manuale lo fa funzionare come mi aspetto, e mostra i cookie (disponibili per Javascript) per la pagina.
In Firefox, a partire da ~ Firefox 6.x, javascript: (e data :) gli URL non ereditano più il contesto di sicurezza del documento nella scheda corrente.
Vedi Mozilla Bug 656433 - Disallow javascript: e data: gli URL inseriti nella barra degli indirizzi ereditano il principale del pagina attualmente caricata per ulteriori informazioni e alcuni dibattiti.
Alcune alternative a javascript: URL:
Strumenti del browser come la "console Web" di Firefox integrata o "Scratchpad" può essere usato per ispezionare ed eseguire Javascript nel contesto del documento corrente.
Firebug è un meraviglioso plugin per browser che offre Javascript ispezione / esecuzione e altro.
In Chrome, gli Strumenti per sviluppatori e la console JavaScript possono essere molto utile.
Leggi altre domande sui tag javascript xss