Come si fa a sfruttare lo scripting incrociato?

Quindi la risposta è che non esiste una risposta esatta esatta a meno che qualcuno qui non abbia sfruttato lo stesso identico problema in un modo quasi esattamente simile prima. A meno che non ci siano assolutamente protezioni contro XSS sul sito, di solito è un po 'un gioco di gatti e gatti tra l'amministratore del server e l'attaccante (tu). L'amministratore del server tenterà di contrastare i tuoi attacchi usando metodi come le intestazioni HTTP impostate sul server web, Content Security Policy (CSP), l'input dell'utente in uscita, la convalida dell'input dell'utente, la disinfezione dell'input dell'utente e molti altri.

In questo caso, sembra che ci siano alcune protezioni in atto, quindi è necessario imparare come funziona il codice per essere in grado di attaccarlo correttamente. Consiglierei di guardare il codice sorgente, usando un proxy come Burp Suite, guardando le intestazioni HTTP e facendo un po 'di googling.

Dato che in questo caso mi mancano le informazioni circostanti, non sono in grado di dirti esattamente come sfruttare il sito con XSS.

Ma in aggiunta, qualsiasi modifica che stai facendo non viene elaborata sul server. XSS è un attacco lato client che viene caricato ed eseguito nel browser, ma nel caso di XSS persistente viene semplicemente memorizzato sul server e servito ai client.