通过 base64 编码的 JSON 进行 XSS

这是我在测试应用程序跟踪系统时非常有趣且出乎意料的发现之一。

假设目标是 target.com，范围内只有一个子域，让我们称之为sub.target.com。现在，每当您访问 sub.target.com 时，它都会重定向到 sub.target.com/members/index.php，并且在登录后，基本 URL 将类似于 sub.target.com/members/modules/。

所以我对应用程序进行了一些基本的步行，几乎一周都找不到任何有价值的东西，但后来我想模糊一下，不仅仅是上面提到的基本 URL，还有这个 sub.target.com/ 使用常见的 php 文件名 wordlist 并找到一个有趣的端点 sub.target.com/i.php 看起来像：

目标端点

我们可以在页面底部看到一个名为“设置”的 GET 基本 URL 参数，它似乎采用 base64 编码的 JSON 让我们验证一下：

解码 Base64

很酷，现在让我们尝试在解码后的 JSON 中的一些值中输入一些 HTML，并将其编码回 base64：

JSON 中的 XSS Paylaod

现在我们使用 URL into settings 参数中上述 JSON 的 base64 编码值来获取 XSS 弹窗：

XSS 弹窗