ss在执行poc时会直接在页面弹出执行注入的poc代码存储型则是在将poc代码注入用户的系统中后用户访问有存储型xss的地方也会弹出执行的poc代码即如下图所示而使用这种数据接收平台在用户页面就不会再弹出这个窗口但在数据接收平台还是可以获取到用户的cookie以免被用户发觉。

二.BlueLotus_XSSReceiver-master(蓝莲花)

1.靶场搭建

1.下载BlueLotus_XSSReceiver-master后解压放到phpstudy的www目录下

2.在浏览器访问http://127.0.0.1/BlueLotus_XSSReceiver-master会跳转到安装页面直接点击安装

3.默认点击提交就好需要注意的是后台登录默认密码是bluelotus

4.提交后显示安装成功直接点击登录就跳转到登录控制面板输入前面的密码即可登录到XSS接受面板

2.使用

进入“我的JS”模块输入要创建的模板名选择要用的模块点击插入模块之后点击新增按钮

3.新增我的js成功后点击生成payload并复制生成的payload

5.由于改xss数据接收靶场存在一点问题所以这里需要访问一下http://127.0.0.1/BlueLotus_XSSReceiver-master/,再访问http://127.0.0.1/BlueLotus_XSSReceiver-master/admin.php才能看到接收到的dvwa的cookie。

三.XSS在线平台

1.访问xss在线数据接收平台XSS平台-仅用于xss安全测试专用登录账号和密码poilkjmnbQWE123

2.进入到xss在线平台主页

3.我的项目点击创建项目名称和描述随便填之后点击下一步选择需要的模板这里选择“基础默认模块”就好之后点击下一步项目就创建成功了

4.项目创建成功后任意复制一条生成的poc到dvwa靶场的xss模块执行poc

5.在dvwa中执行完poc后点击刚刚创建的项目就可查看到接收到的靶场的cookie