function.com/

靶场练习地址https://xss.pwnfunction.com/

题目源码

,,-,!,\,[,]并且过滤了弹窗函数alert,这样的一个正则我们必须知道弹窗最常用的三个函数为alert、prompt、confirm三个函数都能实现弹窗。

payload:prompt(1337);payload:confirm(1337);

因为这里是作者编写的失误所以导致绕过过于简单实际上过滤了alert也会过滤掉其他弹窗函数

方法一匿名函数

因为JavaScript是严格区分大小写的所以我们可以将大写的ALERT转为小写然后执行

Function(/ALERT(1337)/.source.toLowerCase())()

ok执行成功

所以我们可以将alert先用三十进制转换为数字然后再转回为字符串

至于为什么是三十进制0-9占十位a-t占二十位如果小于三十进制的话当它从数字转回为字符串时字符会丢失(例如asert用29进制转换为数字然后再转回为字符串时会变为aser少了一个t)转回字符串的原因数字无法运行。

parseInt(alert,

结果为数字8680439也就是说我们利用parseInt函数将关键字变为一串数字但数字肯定无法运行我们还需要再变回去要将一个数字转换为特定的

radix

eval(8680439..toString(30))(1337)

ok成功弹窗

https://developer.mozilla.org/en-US/search?qURL#search-results-close-container;

https://developer.mozilla.org/en-US/search?qURL#search-results-close-container

https:

#search-results-close-container

我们可以看到location.hash是取url中#后面的部分

而#后面的部分不会算作get传参的内容所以我们可以将代码写在location.hash的位置然后用eval函数来执行。

注意location.hash第一个位置是#所以我们还得使用一个slice函数来进行切割

slice(index)index为索引

eval(location.hash.slice(1))#alert(1337)

ok完成