XSS-使用PHP执行Javascript
我正在Android中测试XSS漏洞攻击。为此，我开发了一个web视图，其中我加载了一个html文件，其中包含一个用于输入姓名和电子邮件的简单表单。html文件的内容包括：XSS-使用PHP执行Javascript,javascript,php,android,android-webview,xss,Javascript,Php,Android,Android Webview,Xss,我正在Android中测试XSS漏洞攻击。为此，我开发了一个web视图，其中我加载了一个html文件，其中包含一个用于输入姓名和电子邮件的简单表单。html文件的内容包括： <html> <body> <form action="search.php" method="get"> Name: <input type="text" name="name"><br&
<html>
<body>
<form action="search.php" method="get">
Name: <input type="text" name="name"><br>
E-mail: <input type="text" name="email"><br>
<input type="submit">
</form>
</body>
</html>
名称：
电子邮件：
<html>
<head>
<title> You searched for: </title>
</head>
<body>
<?php
echo $_GET['name'];
?>
</body>
</html>
您搜索了：
<script language="Javascript">alert("Hello");</script>
警报（“你好”）；
注意：我担心的是，这不能仅用于emulator/Android设备，因此请不要使用Chrome。尝试使用脚本标记以外的其他标记，例如一些html，如
hello<html>
<head>
<title> You searched for: </title>
</head>
<body>
<script>
<?php
echo $_GET['name'];
?>
<script>
</body>
</html>
您搜索了：
然后您可以发出一个请求，如？name=alert（1），审计员可能不会阻止它 不知道你的问题是什么。你在传递什么？你预计会发生什么，以及实际发生了什么？你的问题不清楚。我的答案是关于Chrome的，但一般来说，你可以用我描述的技术来验证发生了什么。许多现代浏览器都反映了XSS防护技术，所以您可以通过查看常规HTML呈现是否受到XSS防护的影响，而javascript是否被拒绝来测试。嗨，格雷，谢谢您的建议。你是对的，你的建议在Chrome和emulator中都很有效。我怀疑模拟器也有同样的拒绝Javascript的机制。但是对于攻击者来说，服务器php是不可访问的，所以我想知道是否有任何方法可以在不修改服务器文件的情况下执行此操作。为了演示的目的，这只是做的很好，但我真的希望有一种方法可以做到这一点，使用第一种方法类似于在链接中+作为一个攻击者（很好，是一个模拟的攻击者），XSS auditor可能是一个真正的麻烦，但就像web应用程序防火墙一样，你不能把安全软件放在不安全的代码之上而期望安全。审核员通常有很多方法，但这取决于代码的编写方式。没有通用旁路（据我所知），如果你发现了一个，谷歌可能会付给你一笔bug赏金（取决于它的严重程度）。你可以做一个演示，在那里你打破了一个使用引号未编码的属性；我很肯定审计员不会明白的。e、 g.`有效载荷可能类似于
x“onload=alert1（）；alt=“x