web for pentester 之xss 篇

1、很明显了，地址栏里name=hacker。直接name=<script>alert(1)</script>。

2、还是先试一下<script>alert(1)</script>，，输出只有alert，script不见了，先换大小写试一下，成功了。。

3、还是先试一下<script>alert(1)</script>，发现还是只输出了alert（1），换大小写也没有用，我的<script>和</script>呢，肯定是后台被注释掉了，那就这样<scri<script>pt>alert(1)</sc</script>ript>。

这样他注释掉一个我们还有一个。

4、你会发现中间插多少script都不管用了，，，他一旦发现一个script，直接就error，不执行了。那就是说不能用script了。我们还有其他方法，比如<img>。像这样，<img src=x οnerrοr=alert(1)>。给图片一个不存在的src，出错之后自然执行onerror，就alert了、。

5、这个就更惨了，alert都不能用，出现alert直接给你gg。。当时实在是没办法，查到一个alert的替代函数，confirm。可以弹窗，但是申神说不是每个函数都有替代的，还是用eval通用性好，正常使用方法如下：<script>eval(String.fromCharCode(97,108,101,114,116,40,39,97,39,41))</script>。