XSS过滤实操

第一关——直接输出

第二关——value

第二关需要闭合value，看源码应该是用双引号闭合的，但是发现不行，于是用单引号闭合试了试竟然可以，可能是环境问题吧。。。

第三关——xss过滤简单

   input没有闭合，而且alert没了被过滤了

成功

第四关——xss简单过滤

 报错了，说明我们输入的某些语句触发了报错，一点一点删除语句尝试看看哪里错了

 发现删除alert()函数不报错了，说明程序设置了使用alert报错，我们换个confirm()弹窗语句试试

还得闭合input

  成功

 第五关——xss过滤稍难

还是需要闭合input，发现onmouseover()函数少了on，alert也没了，但是alert没报错，猜测都是被过滤了，双写它们，这里注意如果你用的是confirm()弹窗语句，那么confirm之间的on也需要双写

 成功

第六关——xss过滤困难

闭合input ，发现我们输入的什么都没有了，猜测要么是全部过滤了要么是过滤了最优先级的标签，我们删除image标签，直接引用函数

 

 

 还是不行，猜测on和alert也被过滤了

 双写还是不行，猜测是强过滤，这里分析如果image出现以后被过滤，那么就不会过滤下一个了，即顺序过滤，所以把image插入on和alert

 成功

 第一关

 后边几个题和前边的题型差不多，就不演示了