两分钟速获首个HTML注入漏洞：新手挖坑实战指南

大家好！希望各位一切顺利。作为一名初入漏洞挖掘领域的新手，能够发现有效漏洞无疑令人兴奋不已——当第一份漏洞报告被确认采纳时，那种肾上腺素飙升的感觉简直难以言喻。

本文将分享我在短短两分钟内发现首个有效漏洞的完整经历！

漏洞发现过程

在一个晴朗的早晨，当我随意浏览目标网站时，意外发现了人生第一个漏洞：“HTML注入”。

根据OWASP的定义：“HTML注入是一种注入类漏洞，当用户能够控制输入点并向易受攻击的网页注入任意HTML代码时就会发生。这种漏洞通常由于用户输入未经过正确清理且输出未进行编码而导致，攻击者能够向受害者发送恶意HTML页面。”

我在网站上发现了一个聊天框——就是那种位于网站侧边栏、用作客户支持的常见聊天窗口。注意到它似乎可以自由接受用户输入后，我决定测试常见漏洞。

首先尝试输入基础HTML语法：

1

<i>test</i>

令人惊讶的是，这些代码竟然在页面上直接渲染显示，没有任何验证机制！

随后我测试了更多标签，并尝试升级到XSS（跨站脚本攻击）但未能成功。虽然网站会渲染HTML标签，但对script标签进行了有效清理或编码，阻止了完整的XSS攻击。

最终我构造了用于概念验证的Payload：

1
2
3


<h1>HTML注入验证</h1>
<h2 style="background:red;color:black;">由0xbasak注入</h2>
<a href="phishing.com">点击此处更新账户</a>

正如预期的那样，代码在没有任何清理的情况下被完整渲染。

这就是我在两分钟内发现首个HTML注入漏洞的全过程。我将漏洞报告提交至HackerOne平台，几小时内就获得了"已解决"的状态标记。尽管这只是个VDP（漏洞披露计划）项目，但这次经历带来了巨大的激励和满满的成就感。

今天的分享就到这里。感谢阅读！

可以通过LinkedIn和Facebook与我联系。

相关标签： 漏洞赏金、HTML注入、黑客技术、HackerOne