xss挑战之旅通关记录

xss挑战之旅通关记录

 

level1

• 没有任何过滤，直接URL后面加XSS测试语句弹窗

exp:

 

http://localhost/xss_test/level1.php?name=123<script>alert('123')</script>;

level2

• 有搜索框，像第一关一样在搜索框测试一下，但是没有像第一关一样弹窗

• 查看源码发现我们的XSS语句被赋值给value并且在input标签里，所以我们需要闭合value和input标签就可以正常弹窗了

 

1"><script>alert('1');</script>

level3

• 转义了尖括号，这里可以用单引号闭合value但是没办法闭合input标签，但是可以注释掉标签然后用事件弹窗

 

1' onclick=alert(1)//

level4

• 跟第三关差不多，过滤了尖括号，用双引号闭合value然后注释掉标签用事件弹窗

 

1" onclick=alert(1)//

level5

• 过滤了script和onclick标签，但是没过滤a标签