BUGKU_WEB_XSS

绕过XSS过滤技巧
最新推荐文章于 2024-08-15 20:02:10 发布
原创 最新推荐文章于 2024-08-15 20:02:10 发布 · 394 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文介绍了一种绕过网站XSS过滤的方法，通过将尖括号<>转换为Unicode编码u003cu003e，成功地执行了XSS攻击并获取了flag。

 

直接传入<script>alert(_key_)</script>后发现尖括号被转义。

在i春秋看视频的时候也遇到过这种问题，将<替换为\u003c，>替换为\u003e即可绕过

于是我们就可以构造payload为?id=\u003cscript\u003ealert(_key_)\u003c/script\u003e

上传后果然获得了flag，快乐

BugkuCTF Web篇
2201_75891821的博客
07-30 2187
Bug ku CTF web篇
[Bugku] web-CTF靶场系列详解①！！！
muyuchen110的博客
07-30 1519
平台为“山东安信安全技术有限公司”自研CTF/AWD一体化平台，部分赛题采用动态FLAG形式，避免直接抄袭答案。
XSS——bugku
weixin_34138377的博客
07-16 723
刚刚做了bugku的题目，现在整理一下 写出解题思路，希望能够帮助到那些需要帮助的人 所有的wp都是以一题一篇的形式写出 主要是为了能够让读者更好的阅读以及查找， 希望你们不要责怪！！共勉！！！ Challenge 645 Solves XSS 100 http://103.238.227.13:10089/ Flag格式:Flag:x...
bugku xss
rommel的博客
08-29 2808
XSS注入测试 1、请注入一段XSS代码，获取Flag值 2、必须包含alert(_key_)，_key_会自动被替换 题解： 首先我们查看源代码 发现可以通过xss注入  所以我们只需将转义即可  于是我们构造?id=\u003cscript\u003ealert(_key_)\u003c/script\u003e 即可获得flag 如有疑问请联系qq：834368404
BugKu -- XSS
小水池
08-11 2355
XSS 100 http://103.238.227.13:10089/ Flag格式:Flag:xxxxxxxxxxxxxxxxxxxxxxxx 打开页面提示XSS注入，但是没有注入点啊。。。百度提示在url上加id参数。。 试试 ?id=1，有回显1，这下有注入点了    构造xss   http://103.238.227.13:10089/?id=&lt;scri...
bugku(XSS)
欢迎光临
07-20 1198
    先试试是不是反射性注入   查看源代码     先试试&lt;script&gt;alert(/xss/)&lt;/script&gt;   查看源代码发现&lt;&gt;被过滤了 利用unicode编码绕过 &lt;  \u003c   &gt;  \u003e   再利用onerror事件 如果在加载图片时发生错误则执行 JavaScri...
bugku 简单xss
Daniel的博客
07-23 1100
先看一下题目描述 题目说注入一段规定的xss代码就能获得flag，那就先按照题目要求进行注入 这个时候发现_key_并没有被替换掉，查看一下源代码 发现注入的xss代码中尖括号被过滤了，这就好办了，可以使用Unicode编码进行绕过，（本来我是采用的url编码，发现绕不过。。。） 发现什么都没有，再次查看源代码 就能看到flag
Bugku Web专项（持续更新）
weixin_69065643的博客
07-30 560
点击网址访问网址，他让我们输入一个flag参数我们查看页面源代码他告诉我们有经常设置secret_key 变量可以知道要传入一个名为flag的参数，又说我们经常设置一个secret_key我们传入参数 /?得到flag进入网址和第一关一样，让我们输入一个flag参数，查看页面源代码没有什么有用的信息，我们看一下config。
bugku web题集锦
skysys的研究小屋
06-01 1594
变量1 <?php error_reporting(0); include "flag1.php"; highlight_file(__file__); if(isset($_GET['args'])){ $args = $_GET['args']; if(!preg_match("/^\w+$/",$args)){ die("args error!"); } eval("var_dump($$args);"); } ?> 正则在线测试：ht
bugkuctf解题-WEB
05-04
本文主要针对"bugkuctf解题-WEB"这一主题，结合描述中的CTF菜鸟的解题经验分享，深入探讨Web解题的关键知识点。 首先，我们需要理解Web安全的基础概念。Web应用是基于HTTP/HTTPS协议的，其安全性主要取决于服务器端...
bugku-xss-反射型
m0_62094846的博客
11-19 1604
XSS Platform (xsscom.com) 直接使用XSS平台 创建项目后，把代码复制到第一行空格去 再把加入代码后的url复制到第二行空格 就可以在xff网页看到flag了
【Bugku-web】alert
weixin_73625393的博客
01-24 543
3.翻到页面最末尾会有一个HTML实体编码，用在线工具。2.按"Ctrl+U"查看源代码。后，得到flag值。
Bugku，Web：alert
Pai_Space
10-26 398
1. 进入场景 反复出现显示，无法关掉 查看F12，无法显示 禁用JavaScript，刷新得到被注释的提示 含&#的HTML编码 直接解码得到flag
【愚公系列】2023年06月 Bugku-Web（alert）
时光隧道
06-25 6202
Unicode是一种字符集标准，它定义了世界上几乎所有的字符，包括字母、数字、符号以及特殊字符等等。Unicode编码是将这些字符都映射到一个唯一的数字值的过程，这个数字值可以被计算机识别和储存。加密解密Unicode编码可以使用一些常见的加密算法，比如AES、RSA等。加密的过程通常是将Unicode编码转化为二进制数，然后通过各种加密算法，对这些二进制数进行加密。解密则是将加密后的二进制数解密为原始的Unicode编码。需要注意的是，Unicode编码并不是一种加密方式，它只是一种字符集标准。
BugKu_alert
Kobalos的博客
07-27 835
alert 直接访问地址，发现alert弹窗 发现这个弹窗一直在循环，没办法进行其他操作，所以尝试在url前面加上view-source:来查看源码 在源码中发现一段unicode编码后的密文 解码后发现flag
bugku——web 做题记录
小锤队长的博客
10-14 1782
Table of Contents 2，秋名山车神： 3，速度要快 4 welcome to the bugkuctf 1，login1（sql约束攻击） sql约束攻击： 2,过狗一句话 3，细心 4,求getshell 5，INSERT INFO (sql注入 之 X - F -F 头注入) 6，这是一个神奇的登陆框 7 多数（sql 注入） 8，PHP_...
Bugku web-alert解题过程
最新发布
2401_86440467的博客
08-15 855
打开发现不断弹窗，屏蔽alert弹窗后(点击不再提示)，查看页面源代码，发现最后又一行。看到应该为ascii编码，去解码，得到flag，提交成功。
BUGKU_CTF WEB(10-19)writeUP
热门推荐
单核CPU的小朋友的博客
10-20 4万+
第11题：web5 查看页面源代码，发现被隐藏掉的代码。怀疑是javascript代码。网上试了各种解密和解压缩方法都不行。试了试直接在console控制台运行。成功运行并拿到flag。 第12题：头等舱。 查看页面源代码和web请求。发现什么都没有，空空如也。于是开了bt抓包。通过网页的response发现了headers中藏有flag值 第13题：网站被黑 首先查看网站源代码。发现网站没有什...
bugku 密码题笔记
gbxiaowang的博客
03-30 1059
散乱的密文 lf5{ag024c483549d7fd@@1} 一张纸条上凌乱的写着2 1 6 5 3 4 这么一看觉得可能就是每6个一组，然后每组按照给出的提示重排字母。但是前面6个按给出的顺序排就是 flga5{ 好像不对，但先试试吧，题目都这么说了呢： 写代码令我头大。。。 import re string='lf5{ag024c483549d7fd@@1}' a=list(re.find...
Bugku CTF WEB解题技巧分享与讨论
WEB题目涉及的常见漏洞包括但不限于：SQL注入、XSS跨站脚本攻击、CSRF跨站请求伪造、SSRF服务器端请求伪造、文件包含、目录遍历、命令注入等。每种漏洞都有其特定的利用条件和方法。 - SQL注入：通过在SQL查询中...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值