用途
HTML 注入测试技能用于识别和利用 HTML 注入漏洞。此类漏洞允许攻击者向 Web 应用注入恶意 HTML 内容。该技能面向教育目的或经授权的安全评估，仅限授权使用。
授权与确认要求
该技能设有强制确认关卡。在运行任何会探测、利用、更改、持久化、提取数据或尝试访问目标凭据的命令之前，必须完成以下步骤：
- 要求用户说明确切的目标 URL、IP、账户或资源。
- 要求用户确认书面授权及允许的范围。
- 展示确切的命令并解释其预期效果。
- 在当前对话中等待明确确认。
若未获得上述确认，应保持只读状态，仅提供防御性指导。建议优先使用沙箱、一次性虚拟机或受控实验环境。
前置条件
所需工具：
- 带开发者工具的 Web 浏览器
- Burp Suite 或 OWASP ZAP
- Tamper Data 或类似代理
- 用于测试载荷的 cURL
所需知识：
- HTML 基础
- HTTP 请求/响应结构
- Web 应用输入处理
- HTML 注入与 XSS 的区别
约束与限制
攻击限制：
- 现代浏览器可能会对某些注入进行净化
- CSP 可能阻止内联样式和脚本
- WAF 可能拦截常见载荷
- 某些应用会正确转义输出
测试注意事项：
- 区分 HTML 注入与 XSS
- 在浏览器中验证视觉影响
- 在多个浏览器中测试
- 检查存储型与反射型
严重性评估：
- 严重性低于 XSS（无脚本执行）
- 与钓鱼结合时影响更高
- 考虑页面篡改/声誉损害
- 评估凭据窃取可能性
使用方式
该技能适用于执行概述中描述的工作流程或操作。在执行前应阅读详细指南，其中保留了完整流程和参考资料。其安全、前置条件和验证要求应视为强制性的。对于聚焦工作，可加载相关章节；对于端到端工作，应完整阅读指南。
适用场景
适用于经授权的安全评估、防御性验证或受控教育环境中的 HTML 注入漏洞测试。
限制
该技能仅限授权使用。滥用该工具是非法的，并严格禁止。未获得明确书面授权时不得使用。