XSS

挑战靶场通关level1level2level3level4level5level6level7level8level9level10level11level12level13

XSS

impossible级别的代码先判断name是否为空不为空的话然后验证其token来防范CSRF攻击。

然后再用htmlspecialchars函数将name中的预定义字符

小于和

gt这里我们可以闭合该value参数添加一个onclick属性

onclick

οnclickalert(99)闭合input标签将语句独立出来

scriptalert(/xss/)/scriptlevel3

onclickalert(/wuhu/)

scriptalert(/wuhu/)/script同样页面没有弹框查看页面源代码发现script标签也被添加了下划线。

构造攻击代码如下

hrefjavascript:alert(/xss/)芜湖/a成功弹框

level6

scriptalert(/wuhu/)/script查看页面源码发现script标签被添加了下划线。

使用响应事件来构造攻击代码

me!/a同样页面没有响应查看页面源代码发现响应事件被添加了下划线。

使用伪协议来构造攻击代码

me!/a同样页面没有响应查看页面源代码发现href被添加了下划线。

SCRIPTalert(/wuhu/)/SCRIPTlevel7

先输入攻击代码查看页面响应

scriptalert(/wuhu/)/script页面没有响应查看页面源代码发现我们的script标签被替换为空了。

查看源码

源码中将scriptonsrcdatahref标签及属性转换为空。

这里可以先使input便签进行闭合再双写script进行绕过。

构造攻击代码

scrscriptiptalert(/xss/)/scrscriptiptoonnclickalert(/wuhu/)level8

先输入攻击代码查看页面响应

scriptalert(/wuhu/)/script页面没有响应查看页面源代码

发现将我们构造的攻击代码放到了a标签中并且给script标签添加了下划线。

查看源码

这里将scriptonsrcdatahref“进行了过滤并且在尝试的时候关键字双写不管用。

那么这里直接选择不去闭合标签直接使用伪协议但是发现javascript也被拆开了。

这里可以对伪协议中的字母进行转码。

构造攻击代码

javasc#x72;#x69pt:alert(/xss/)level9

javasc#x72;#x69pt:alert(/xss/)页面没有任何响应查看页面源代码

查看源码

这里查看我们注入的代码中是否有http://如果包含则执行else中的语句将我们构造的攻击代码输入到href中如果不包含则在a标签中的href显示指定字符串。

strpos

javasc#x72;#x69pt:alert(http://)level10

先输入攻击代码查看页面响应

http://127.0.0.1/xsschallenge/level10.php?keywordscriptalert(/wuhu/)/script页面没有任何反应查看网页源代码发现了三个隐藏的输入框参数分别为t_linkt_historyt_sort。

尝试给这三个参数赋值

alert(/xss/)查看页面源代码将之前隐藏的输入框显示出来并且添加了一个数据鼠标点击事件。

然后点击输入框后弹框

str11str11变量获取的是HTTP_PEFERER参数。

typetext