双写绕过的具体实现【小短篇】

双写绕过的具体实现【小短篇】

在一些注入操作中，我们常常需要使用双写来绕过关键字删除，那么，双写绕过具体是怎样实现的？我们如何根据自己的情况构造合适的双写语句？

一、使用环境

以XSSLABS的第七关为例，我们输入了"><a href=javascript:alert('123')>aaaaaaaa</a>//，然而服务器会将其中的href和script做以删除。
打入的payload：

被网页解释器读到的：

这样的情况下，我们就需要使用双写被删除的关键词来绕过服务器的防护。

双写：顾名思义，将同一个关键词写两次（实际上是使用一个关键词包裹同样的关键词），当服务器将最内层的关键词删去后，外层的关键词又可以组成原有关键词。
举例：服务器删除关键词admin，那么双写就是adadminmin或aadmindmin等，这样，当服务器使用字符对比语句检测到中间的关键词admin并删除后，外边的ad和min又可以组成新的“admin”。

二、构建步骤

这是一个常见的XSS语句，使用a标签中的href执行js操作，并将Href做了大小写变换：

"><a Href=javascript:alert('123')>aaaaaaaa</a>//

我们在这个语句的基础上构造双写操作。

1 查找删除字符，它们也是双写的对象

要使用双写绕过删除，我们需要知道服务器都删除了些什么，一般是删除了其中的关键字。
我们将上面的XSS语句打入注入点。

"><a Href=javascript:alert('123')>aaaaaaaa</a>//
//删除前
"><a =java:alert('123')>aaaaaaaa</a>//">
//删除后

对比我们原有语句可以看到，服务器删除了href和script两处，它们就是我们要进行双写的对象。

2 将字符串复制后放入原字符串中

我们直接把要双写的字符丢进注入点中，：

返回的值是空，说明被删除了。
在本文中，此注入点会直接将服务器删除后的payload返回输入框中，在现实中，我们可以右击查看源代码，或是针对特定网页寻找针对方法来查看服务器删除后的payload结果。
我们复制一份字符，直接放入原字符其中。

返回值是一个完整的"href"，说明我们的双写成功了。

同样地，将字符script也双写。

将双写后的字符放入payload。
构建结果：

"><a hrhrefef=javascscriptript:alert('123')>aaaaaaaa</a>//

成功绕过。

3 应对方法

服务器使用循环删除，多次删除就可以避免双写绕过。