Pikachu靶场-xss href输出

在输入框中输入javascript:alert(1),点击submit,打开web开发者工具，找到href属性，我们可知这又是一个类似于DOM型的内容，点击”阁下.......",可现实弹窗。

关于此靶场的提示内容的回答如下：

<a> 标签 href 属性
功能：指定超链接目标地址，用于实现页面跳转。可以链接到网页、文件、邮箱地址（ mailto:  协议）、电话号码（ tel:  协议）等 。
安全风险：易受跨站脚本攻击（XSS），恶意用户可能构造恶意链接，诱导用户点击执行恶意脚本；也存在开放重定向风险，将用户重定向到钓鱼网站等。

 <img> 标签 src 属性
功能：指明图片资源的路径，浏览器据此加载并显示图片，路径可以是相对路径或绝对路径，支持多种图片格式如  .jpg 、 .png  等 。
安全风险：存在跨站请求伪造（CSRF）风险，攻击者可利用该属性加载恶意图片，诱导用户访问恶意链接；也可能被用于探测用户信息，比如通过加载不同域名下的图片，分析请求头获取用户相关信息。