مختبر · سهل–متوسط · 20 min محلول
XSS مخزّن
اترك تعليقاً يعمل لاحقاً عند عرض القائمة. ما زال داخل الصندوق الرملي فقط.
1) الفكرة
الموقع يحفظ تعليقك ويعرضه لاحقاً كـ HTML. تعليق سيئ واحد يؤثر على كل من يرى الصفحة.
2) جرّب
انشر تعليقاً يستدعي window.__pwned() عند إعادة الرسم.
تلميح 1
نفس فكرة المنعكس — لكنه يُحفظ في قائمة التعليقات الوهمية.
تلميح 2
النص: <img src=x onerror=window.__pwned()>
3) الإصلاح
خزّن نصاً عادياً؛ رمّز عند العرض. فضّل Markdown آمناً. CSP بلا unsafe-inline.
أدوات محاكاة. تعمل فقط على الهدف الوهمي لهذا المختبر داخل الصندوق الرملي — لا حقل هدف، لا شبكة، ولا شيء يغادر متصفحك.
مختبر XSS المخزّنينشر تعليقات اختبارية ويراقب التنفيذ عند العرض.
$ xss-sim --stored
استطلاع (ترويسات ونماذج)يعرض ترويسات وحقول الهدف الوهمي.
$ recon-sim
استخدام أدوات حقيقية ضد مواقع حقيقية بلا إذن غير قانوني. طبّق هذه الأفكار فقط على أنظمة تملكها أو مخوَّل باختبارها.