1.隐藏表单内没有看见http协议的头部特征
查看源码后发现读取了我们的cookie的user值，并且进行传递给了一个input标签
2.那很明显还是http头部插入，但是这次利用的是cookie
burpsuite抓包查看cookie
修改成插入恶意属性，然后放行
返回浏览器看到出现了我们插入的按钮
点击后触发了我们插入的javascript代码
xss-labs level 13
管理员
2020-03-12 PM
256℃
3条
非特殊说明，本博所有文章均为博主原创。
如若转载，请注明出处：http://0verflow.cn/index.php/archives/1749/
[…] xss-labs level 13 […]
1
1