1、前言
这是近期在对某项目邮件系统进行渗透测试的时候发现的反射型XSS漏洞问题，过程简单记录一下。
2、测试过程
对某项目邮件系统进行渗透测试，尝试邮件伪造等无果后，从JS中入手查看是否存在未授权接口以及其他接口。在查看JS源码过程中发现mail.js，文件中存在两处查询接口。
查询接口一
查询接口二
遂对两处接口进行测试，尝试SQL注入等无果，使用XSS payload进行测试，页面弹框存在反射型XSS漏洞
同上所述，对接口二进行测试，同样也存在反射型XSS漏洞。
3、总结
渗透测试过程中除了常规测试之外还需要对测试系统进行全局观察和判断。
