发现JavaScript有效负载是否成功运行

Question

我在HTTP库中使用Lua，我正在创建一个脚本来测试XSS，这是我使用的有效负载

<image/src/onerror=prompt(8)>

现在，脚本将对网站执行HTTP请求，并在查询后添加有效负载，如下面的ip/?query=<image/src/onerror=prompt(8)>

如何判断提示符是否成功且有效负载是否正常？

在源代码或HTTP请求中是否有任何提示，以便我现在可以看到该站点易受XSS攻击？

Answer 1

不是的。

只执行请求并检索结果的HTML源就不会执行JavaScript (客户端) prompt(8)调用。

您需要使用浏览器来查看代码是否被执行；在您的示例中，可能是脚本式的浏览器运行程序，如剧作家或Puppeteer。