手工挖XSS漏洞

一、 无过滤的 XSS 注入

访问：https://xss-quiz.int21h.jp

注：提示中的内容需要选中才会显示

例1：首先看一下页面的逻辑结构

输入1，点Search,，显示找不到1

F12查看代码，我们输入的 1被加载到页面中

我们加载<script>alert(document.domain);</script>，然后F12 看一下它在代码中的位置。 （document.domain #该属性是一个只读的字符串，包含了载入当前文档的 web 服务器的主机名。 ）

输入<script>alert(document.domain);</script>，点Search，弹窗