我测试了网站是否存在漏洞（文件夹 /service-contact），并且出现了可能的 XSS DOM 问题（使用 Kali Linux、Vega 和 XSSER）。但是，我尝试使用“警报”脚本手动测试 url，以确保它容易受到攻击。我用过
www.babyland.nl/service-contact/alert("test") 没有显示警报框/弹出窗口，只有 html 代码显示在联系表单框中。
我不确定我是否使用了正确的代码（我是新手）或是否做出了正确的解释。服务器是 Apache，使用 javascript/js。
你能帮忙吗？
谢谢！
【问题讨论】：
标签： xss
这不会受到 XSS 的影响，无论您在 URL 中写入的内容都将出现在表单下方部分 (Vraag/opmerking) 中。并且双引号 (") 被转义。如果您尝试另一个像 <script>alert(/xss/)</script> 这样的有效负载，那也不起作用，因为这既不反映存储。您将在 Vraag/opmerking 中看到输出为文本。不要依赖在在线扫描仪上，手动测试，对于基于 DOM 的 XSS ..检查 Sink 和 Sources 并分析它们。
【讨论】：
工具是对的。网站上有一个 XSS 漏洞，但概念证明 (PoC) 代码是错误的。
这是有效的 PoC URL：
https://www.babyland.nl/service-contact/</textarea><script>alert("test")</script>
呈现为：
<textarea rows="" cols="" id="comment" name="comment"></textarea<script>alert("test")</script></textarea>
XSS 注入测试的一点注意事项：Chrome/Chromium 具有 XSS 保护。所以这段代码不会在这个浏览器中被利用。对于手动测试，您可以使用 Firefox 或通过以下方式运行 Chrome：--disable-web-security（see this StackOverflow Question 和 this 了解更多信息）。
【讨论】：