如何将XSS代码启动到HTML输入字段？

Question

我正在尝试在一个虚假的网站上找到漏洞，我想知道如何在这个输入字段中启动XSS代码？

• 这是网站上的代码：

<form name="friendForm" method="POST" action="/Tunestore/addfriend.do">
  Friend name: <input type="text" name="friend" value="&quot
    <script>alert(1)</script>"><br>
  <input type="submit" value="Submit">
</form>

• 我试过这个，但它不起作用： "> <script>alert(1)</script> " onfocus="alert(1)" " onclick="alert(1)

Answer 1

试试这个：

“onfocus =”alert（1）“autofocus =”

它将扩展为：<'input type =“text”name =“friend”value =“”onfocus =“alert（1）”autofocus =“”/>

这将导致一个警告框，演示XSS。