本文介绍了XSS盲打的概念，即在未知后台是否过滤XSS攻击代码的情况下，通过广泛尝试提交XSS语句。通过实战案例展示了如何在投诉功能中进行XSS盲打，成功获取管理员Cookie并进入后台。文章还列举了常见的XSS盲打点，如投诉建议、留言评论等，提醒网络安全的重要性。
什么是XSS盲打
简单来说，盲打就是在一切可能的地方尽可能多的提交XSS语句，然后看哪一条会被执行，就能获取管理员的Cooike。趁着没过期赶紧用了，这样就能直接管理员进后台。然后再上传一句话，Getshell。
盲打只是一种惯称的说法，就是不知道后台不知道有没有xss存在的情况下，不顾一切的输入XSS代码在留言啊，feedback啊之类的地方，尽可能多的尝试XSS的语句与语句的存在方式，就叫盲打。
"XSS盲打"是指在攻击者对数据提交后展现的后台未知的情况下，网站采用了攻击者插入了带真实攻击功能的XSS攻击代码（通常是使用script标签引入远程的js）的数据。当未知后台在展现时没有对这些提交的数据进行过滤，那么后台管理人员在操作时就会触发XSS来实现攻击者预定好的“真实攻击功能”。
通俗讲就是见到输入框就输入提前准备的XSS代码， 通常是使用script标签引入远程的js代码，当有后台人员审核提交数据时候，点击了提交的数据，触发获取到有价值信息 。
实战案例，一次XSS盲打
一次晚上，懒得开电脑就拿手机搜一个问题，于是就弹出了以下页面：
我试着看了会儿——正当看的我血脉喷张，想了解下面的剧情，点进去一看，居然要充值。不行，作为一名技术人员，对付这种网页白嫖才是王道
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
