PHPMyWind用户留言板XSS漏洞

最新推荐文章于 2025-06-30 09:06:11 发布

原创

最新推荐文章于 2025-06-30 09:06:11 发布 · 1.7k 阅读

0 ·

CC 4.0 BY-SA版权

友链：https://cutt.ly/7777aaaa

文章标签：

#xss

本文探讨了PHPMyWind用户留言板存在的DOM XSS漏洞，通过解析`createElement`、`appendChild`和`setAttribute`等DOM方法的工作原理，展示了如何利用这些方法设置属性导致安全问题。文中还给出了一个具体的例子，说明了如何通过注入恶意代码，当管理员查看留言时，捕获其cookie信息。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

欢迎扫码关注微信公众号
在这里插入图片描述

首先我们来介绍一下DOM中的几个方法
createElement(name)

	name参数用来规定此元素节点的名称

	此方法会返回一个Element节点，具有指定的标签名name

appendChild()方法

该方法会返回被添加的节点
可以看一下这段代码实例：

<!DOCTYPE html>
<html>
<body>

<ul id="myList"><li>Coffee</li><li>Tea</li></ul>

<p id="demo">请点击按钮向列表中添加项目。</p>

<button onclick="myFunction()">亲自试一试</button>

<script>
function myFunction()
{
var node=document.createElement("li");
var textnode=document.createTextNode("Water");
node.appendChild(textnode);
document.getElementById("myList").appendChild(node);
}
</script>

<p><b>注释：</b>首先创建 LI 节点，然后创建文本节点，然后把这个文本节点追加到 LI 节点。最后把 LI 节点添加到列表中。</p>

</body>
</html>