Security 解释如何将反射的XSS负载从HTTP请求回显到HTML文档

解释如何将反射的XSS负载从HTTP请求回显到HTML文档

---

我需要一些帮助

自反XSS有效负载是关于未正确清理的用户输入的，现在您可以插入一些代码

假设我们有一个网站

vulnerable.com

，在那里你有一个搜索栏，你可以搜索博客文章。如果您搜索

bar-foo

，结果页面将呈现，您在那里写下：

12个bar-foo结果

，您的输入将反映在页面上，这是查找自反XSS的第一步

现在怎么办？如果您尝试搜索

警报（1）

，它会反映在页面上吗？如果确实如此，您从浏览器中收到一个警告，说

1

，并且您发现了一个反身XSS，恭喜您！否则，它可能会被消毒，方法是用

替换，以避免插入像

脚本这样的新HTML标记

基本上，您的输入被发送到服务器，他们使用您的输入构建了一个页面，然后将其发送回您，作为对您请求的响应

一些帮助链接：