XSS DOM型靶场复现(1-8关)

最新推荐文章于 2024-08-18 18:22:45 发布
最新推荐文章于 2024-08-18 18:22:45 发布
阅读量379 收藏 4
点赞数 3
文章标签： xss 前端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Sesessep/article/details/141286646
版权

文章目录

XSS DOM型靶场复现(1-8关)

登录靶场

https://xss.pwnfunction.com/

在这里插入图片描述

1.Ma Spaghet!

在这里插入图片描述

要求

  • 要弹出1337警告；

  • 不能有用户交互；

  • 不能使用
    https://sandbox.pwnfunction.com/?html=&js=&css=

  • 在Chrome下测试

代码

<h2 id="spaghet"></h2>
<script>
    spaghet.innerHTML = (new URL(location).searchParams.get('somebody') || "Somebody") + " Toucha Ma Spaghet!"
</script>

Let’s go!

在这里插入图片描述
这句的意思是获取这个url中的get参数，并存储到innerHTML中，也就是h2标签里。如果有就设置h2的值为get传参的值，如果没有就设置h2的值为“Somebody”

那么首先我们先试试往somebody传参试试

https://sandbox.pwnfunction.com/warmups/ma-spaghet.html?somebody=sesessep

这里存在一个问题，somebody传谁就显示谁，那么尝试传递报错代码给h2试试

https://sandbox.pwnfunction.com/warmups/ma-spaghet.html?somebody=<script>alert(1)</script>

在这里插入图片描述
可以看到并没有报错弹窗，这么反常的原因是innerHTML因为安全性的问题不能执行插入的<script></script>标签，所有不能弹出报错弹窗
在这里插入图片描述
所有我们不能使用<script></script>标签，可以替换成<img>

https://sandbox.pwnfunction.com/warmups/ma-spaghet.html?somebody=<img src=1 onerror="alert(1337)">

在这里插入图片描述
成功弹窗，第一关结束。

1.innerHTML中不能使用<script></script>标签
2.最好把innerHTML替换成有相同效果的innerText，以第一关为例，将innerHTML替换成innerText后，直接将语句当作字符串输出，所有innerText的安全系数要比innerHTML要高

 <script>
    spaghet.innerText = (new URL(location).searchParams.get('somebody') || "Somebody") + " Toucha Ma Spaghet!"
</script>

在这里插入图片描述

2.Jefff

在这里插入图片描述

要求

  • 要弹出1337警告；

  • 不能有用户交互；

  • 不能使用
    https://sandbox.pwnfunction.com/?html=&js=&css=

  • 在Chrome下测试

代码

<h2 id="maname"></h2>
<script>
    let jeff = (new URL(location).searchParams.get('jeff') || "JEFFF")
    let ma = ""
    eval(`ma = "Ma name ${jeff}"`)    ---其中的动作为给变量ma赋值。
    setTimeout(_ => {
        maname.innerText = ma
    }, 1000)
</script>

Let’s go！

在这里插入图片描述
这句的意思是获取这个url中的get参数，如果有就设置h2的值为get传参的值，如果没有就设置h2的值为“JEFFF”
在这里插入图片描述
一个空值
在这里插入图片描述
命令执行代码
在这里插入图片描述
一个一次性定时器，表示在1秒后执行定时器中的动作

可以看到这里使用的是安全性更高的innerText而不是innerHTML，所有我们的入手点可以转换到eval上

方法1

尝试闭合双引号，相当于先执行了ma = "Ma name sesessep，之后再执行alert(1337)，最后再加一个双引号进行闭合
在这里插入图片描述
在这里插入图片描述

方法2

在js中有一个特殊的连接符 " - "

https://sandbox.pwnfunction.com/warmups/jefff.html?jeff=sesessep%22-alert(1337);-%22

在这里插入图片描述

3.Ugandan Kunckles

在这里插入图片描述

要求

  • 要弹出1337警告；

  • 不能有用户交互；

  • 不能使用
    https://sandbox.pwnfunction.com/?html=&js=&css=

  • 在Chrome下测试

代码

<div id="uganda"></div>
<script>
    let wey = (new URL(location).searchParams.get('wey') || "do you know da wey?");
    wey = wey.replace(/[<>]/g, '')
    uganda.innerHTML = `<input type="text" placeholder="${wey}" class="form-control">`
</script>

Let’s go！

在这里插入图片描述
与第二关不同的是过滤了 " <> "

input里面有一个典型的问题，单引号闭合实现onclick，也就是在input里加一个onclick函数，函数里执行要执行的函数

我们同样可以先闭合一下看看
在这里插入图片描述

在这里插入图片描述
虽然成功弹窗，但是这里需要点击一下输入框，也就是进行了用户交互，不符合要求

那么有没有在input里不需要进行用户交互就可以实现动作的函数呢？
onfocus 函数，也就是获取焦点的意思，获取焦点以后就可以触发它的动作（弹窗）
在这里插入图片描述
按下tab后将焦点移到输入框上就可以实现弹窗
在这里插入图片描述
那如果在加上 autofocus 函数，自动聚焦，就可以不用用户按tab来触发弹窗，符合没有用户交互的要求了
在这里插入图片描述
在这里插入图片描述

4.Ricardo Milos

在这里插入图片描述

要求

  • 要弹出1337警告；

  • 不能有用户交互；

  • 不能使用
    https://sandbox.pwnfunction.com/?html=&js=&css=

  • 在Chrome下测试

代码

<form id="ricardo" method="GET">
    <input name="milos" type="text" class="form-control" placeholder="True" value="True">
</form>
<script>
    ricardo.action = (new URL(location).searchParams.get('ricardo') || '#')
    setTimeout(_ => {
        ricardo.submit()
    }, 2000)
</script>

Let’s go！

在这里插入图片描述
这里是通过一次性定时器进行form表单的自动提交

action表单的触发可以使用 javascript （提交触发）

https://sandbox.pwnfunction.com/warmups/ricardo.html?ricardo=javascript:alert(1337)

在这里插入图片描述

5.Ah That’s Hawt

在这里插入图片描述

要求

  • 要弹出1337警告；

  • 不能有用户交互；

  • 不能使用
    https://sandbox.pwnfunction.com/?html=&js=&css=

  • 在Chrome下测试

代码

<h2 id="will"></h2>
<script>
    smith = (new URL(location).searchParams.get('markassbrownlee') || "Ah That's Hawt")
    smith = smith.replace(/[\(\`\)\\]/g, '')
    will.innerHTML = smith
</script>

Let’s go！

在这里插入图片描述
这里过滤了很多东西
在这里插入图片描述
这里使用了innerHTML，可不可以使用第一关的方法

=<img src=1 onerror="alert(1337)">

显然是不行的，因为“（）”被过滤了

那我们可以使用实体编码 %28 %29 来替换“（）”

可以利用location加javascript伪协议，将“符号”、“变量名”、“函数名”统统变成“字符串”，在字符串中我们可以使用所有js里可以使用的编码，去构造payload

=<img src="1" onerror=location="javascript:alert(1337)">
=<img src="1" onerror=location="javascript:alert%281337%29">

在这里插入图片描述

6.Ligma

在这里插入图片描述

要求

  • 要弹出1337警告；

  • 不能有用户交互；

  • 不能使用
    https://sandbox.pwnfunction.com/?html=&js=&css=

  • 在Chrome下测试

代码

<h2 id="will"></h2>
<script>
	balls = (new URL(location).searchParams.get('balls') || "Ninja has Ligma")
	balls = balls.replace(/[A-Za-z0-9]/g, '')
	eval(balls)
</script>

Let’s go！

在这里插入图片描述
过滤了所有字母和数字，和php相似，通过编码来解

我们要使用一个网站：https://jsfuck.com/
在这里插入图片描述
我们可以看到它可以将alert(1)编码成没有数字和字母，但我们仍需要进行urlcode进行编码
在这里插入图片描述

之后将url编码后的进行传参就可以了

7.Mafia

在这里插入图片描述

要求

  • 要弹出1337警告；

  • 不能有用户交互；

  • 不能使用
    https://sandbox.pwnfunction.com/?html=&js=&css=

  • 在Chrome下测试

代码

<h2 id="will"></h2>
mafia = (new URL(location).searchParams.get('mafia') || '1+1')
mafia = mafia.slice(0, 50)
mafia = mafia.replace(/[\`\'\"\+\-\!\\\[\]]/gi, '_')
mafia = mafia.replace(/alert/g, '_')
eval(mafia)

Let’s go！

在这里插入图片描述
这里限制了最长50个字符
在这里插入图片描述
同样进行了过滤

方法1

这一关通过构造一个匿名函数
在这里插入图片描述
这样不可以，因为alert被过滤了，所有我们可以改成大写
在这里插入图片描述
但是这样就识别不了alert函数，所有我们要加上一个小写转换，将大写转换成小写
在这里插入图片描述
在这里插入图片描述

https://sandbox.pwnfunction.com/warmups/mafia.html?mafia=Function(/ALERT(1337)/.source.toLowerCase())()

在这里插入图片描述

方法2

利用两个函数，parseInt和toString来实现，两个函数都是进制转换，互为相反
在这里插入图片描述
先使用parseint函数将alert转化为30进制的数
在这里插入图片描述

在这里插入图片描述

再使用toString方法还原

https://sandbox.pwnfunction.com/warmups/mafia.html?mafia=eval(8680439..toString(30))(1337)

在这里插入图片描述

方法3

location.hash.slice(1)

location.hash取的是“#”后面的值，再加一个slice(1)方法截取(从#后第一位开始截取)，就可以直接将alert(1337)截取出来
在这里插入图片描述

8.Ok, Boomer

在这里插入图片描述

要求

  • 要弹出1337警告；

  • 不能有用户交互；

  • 不能使用
    https://sandbox.pwnfunction.com/?html=&js=&css=

  • 在Chrome下测试

代码

<h2 id="boomer">Ok, Boomer.</h2>
<script>
    boomer.innerHTML = DOMPurify.sanitize(new URL(location).searchParams.get('boomer') || "Ok, Boomer")
    setTimeout(ok, 2000)
</script>

Let’s go！

在这里插入图片描述
这里使用DOMPurify框架进行了过滤（任何标签都会被过滤），这个框架很难去绕过
在这里插入图片描述
而下面只有一个setTimeout定时器函数，而函数里面得ok也是个未定义的变量

这里涉及了DOM破坏
DOM破坏说简单一点就是对元素或者属性的覆盖
我们可以通过DOM破坏来使不存在未定义的ok变量出现

=<a id=ok href="javascript:alert(1337)">

利用a标签中的自带的toString方法，当调用a标签的时候，href中的字符串会覆盖a标签。
id等于ok是为了setTimeout可以获取到我们写的a标签

没有反应
在这里插入图片描述
是因为JavaScript是DOMPurify框架中的黑名单，被过滤了，所有我们去到框架的白名单替换其中一个就行了
在这里插入图片描述
我们这里使用xmpp来代替JavaScript

https://sandbox.pwnfunction.com/warmups/ok-boomer.html?boomer=%3Ca%20id=ok%20href=%22xmpp:alert(1337)%22%3E

在这里插入图片描述
成功

world war 3没做完…………求放过

Sesessep
关注
  • 3
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
WEB渗透学习-XSS-labs靶场
04-20
**XSS（跨站脚本攻击）学习指南：XSS-labs靶场详解** XSS，全称为Cross-Site Scripting，是网络安全领域常见的漏洞类型之一。它允许攻击者通过注入恶意脚本到Web页面中，进而对用户浏览器进行操控。XSS-labs是一个...
xss-labs-master.zip（xss注入通关游戏/靶场）
03-21
`xss-labs-master.zip`包含了一个专门用于学习和实践XSS注入的通关游戏或靶场，对于网络安全测试人员来说，这是一个极好的学习资源。 **XSS分类** 1. **存储型XSS**：也称为持久型XSS，攻击者将恶意脚本存入服务器...
Pikachu靶场：DOM型XSS以及DOM型XSS-X
witwitwiter的博客
04-17 3523
Pikachu靶场：DOM型XSS以及DOM型XSS-X 实验环境以及工具 Firefox浏览器、Burp Suite、Pikachu靶场 实验原理 要改变页面的某个东西，JavaScript就需要获得对HTML文档中所有元素进行访问的入口。这个入口，连同对HTML元素进行添加、移动、改变或移除的方法和属性，都是通过文档对象模型来获得的（DOM )。所以，你可以把DOM理解为一个一个访问HTML的标准编程接口。 跨站脚本漏洞测试流程 1.在目标站点上找到输入点，比如查询接口,留言板等; 2.输入一组“特殊字
复现DOM型XSS攻击（1-8关）
m0_68498873的博客
08-18 669
首先是定义一个表单，ID为“ricardo”，使用GET方法提交数据，然后在表单中添加一个文本输入框，名称为“milos”，默认值为“True”，设置表单的提交地址为当前URL中名为“ricardo”的查询参数的值，如果没有该参数，则默认为“#”，并且在2秒后自动提交表单，提交到指定的URL。过滤框架对获取的内容进行清理，会把你的危险属性过滤完了，最后将结果赋值给ID为“boomer”的元素的内部HTML。总的来说就是从 URL 中获取参数 "jeff"，生成一个字符串并在 1 秒后显示在网页上。
[ pikachu ] 靶场通关之 XSS (四) --- DOM 型
qq_51577576的博客
01-15 1838
???? 博主介绍 ????‍???? 博主介绍：大家好，我是_PowerShell，很高兴认识大家~ ✨主攻领域：【渗透领域】【数据通信】 【通讯安全】 【web安全】【面试分析】 ????点赞➕评论➕收藏 == 养成习惯（一键三连）???? ????欢迎关注????一起学习????一起讨论⭐️一起进步????文末有彩蛋 ????作者水平有限，欢迎各位大佬指点，相互学习进步！ 一、什么是DOM：（接口） 可以理解为一个访问html的一个标准的接口 Html是由很多的标签组成 在dom里
XSS---DOM破坏靶场复现
qq_64395221的博客
08-17 659
但是没有任何反应，通过F12查看，发现img标签里面只有“src=1”，onerror=”alert(1)”被丢弃了，原因是存在DOMPurify.sanitize过滤框架，并且该框架绕过几率几乎很小。这是因为它的属性移除是在同一个数组上操作的，假如这个数组里有a、b、c三个 属性，当将a删除后，指针会往下走一步，但是由于第一位的a被删除，那么b会往上移一位，所以b不会被删除。将data插到div里， 获取div里面的子函数，拿到标签里面的所有属性，然后将属性进行移除。然而，嵌套结构中，内层的。
pikachu靶场复现记录--持续更新完善优化思路
2201_75375302的博客
12-17 1110
alert(1)、>alert(1)、>alert(1)>等多个尝试，发现被过滤掉了一类的标签；这里存在一个代码漏洞，提交alert(1)，在前面多提交一个是为了将上一个收尾掉。发现url后面变成我输入的东西。老样子，先提交一遍alert(1)
xss-labs靶场复现流程
weixin_62956463的博客
07-13 1841
XSS，全称跨站脚本攻击（Cross-Site Scripting），是一种常见的网络攻击方式。它允许攻击者将恶意脚本注入到其他用户浏览和使用的正常网页中。这些恶意脚本可以在用户的浏览器上运行，窃取用户的会话信息（如登录凭证）、破坏网页内容、劫持用户会话等。存储型XSS（Persistent XSS）：恶意脚本被永久存储在目标服务器上，如数据库、消息论坛、访客留言板等。当浏览器访问这些存储了恶意脚本的资源时，恶意脚本将随资源一同被加载。反射型XSS（Reflected XSS）
[ pikachu ] 靶场通关之 XSS (五) --- DOM型xss-s
qq_51577576的博客
01-15 528
???? 博主介绍 ????‍???? 博主介绍：大家好，我是_PowerShell，很高兴认识大家~ ✨主攻领域：【渗透领域】【数据通信】 【通讯安全】 【web安全】【面试分析】 ????点赞➕评论➕收藏 == 养成习惯（一键三连）???? ????欢迎关注????一起学习????一起讨论⭐️一起进步????文末有彩蛋 ????作者水平有限，欢迎各位大佬指点，相互学习进步！ 目录 ???? 博主介绍 一、DOM型xss-s 1. 输入一个字符串 1111 2. 看源码： 3. 过
渗透测试基础-DOM型XSS原理及实操
weixin_45488495的博客
04-19 4222
渗透测试基础-DOM型XSS原理及实操DOM是什么，DOM型XSS又是什么Dom型XSS靶场演练漏洞总结 只为对所学知识做一个简单的梳理，如果有表达存在问题的地方，麻烦帮忙指认出来。我们一起为了遇见更好的自己而努力????！ DOM是什么，DOM型XSS又是什么 Dom是一个与平台，编程语言无关的【端口】，它允许程序或者脚本动态的访问和更新文档的内容，结果和样式，处理后的结果能够成为显示的一部分，不依赖于提交数据到服务器端，从而客户端获得Dom中的数据在本地执行，如果Dom中的数据没有经过严格的确定，就会产
XSS-复现dom破坏案例和靶场
山月不问人间事
08-18 557
首先是传给wey一个值，然后赋值给变量let wey,然后这里过滤了<>尖括号，最后将我们的变量wey内容传给Uganda，显示在输入框中，Uganda也带一个inner HTML的属性，所以我们不能使用script标签,那就看看其他的思路;可以看到括号丢失 ，因为url在传参时，会将我们的特殊符号进行解码，但我们传递的是html的实体编码，所以问题出现在了这里，那么我们再将实体编码再进行次url编码。所以我们这里只能换一种思路，他不能加标签，那我们看能不能直接闭合ma，之后执行我们的代码。
xss-labs靶场通关
10-13
本篇文章将对xss-labs靶场的六关源码进行详细的分析和总结，并对每一关的xss攻击payload进行解释。 第一关 xss-labs靶场的第一关源码没有做任何过滤，直接上xss payload：<script>alert("XSS")。这关的目的主要是...
xss-lab靶场资源包
07-27
通过使用XSS-Lab靶场资源包，安全从业者和爱好者可以模拟真实环境下的攻击场景，提高对XSS漏洞的识别能力和防御能力，这对于保障网络应用的安全至关重要。在实践中学习和理解这些知识，有助于提升网络安全专业素养，...
XSS盲打与cookie劫持
m0_74249600的博客
08-14 901
本文紧接上篇文章讲述了XSS盲打、cookie劫持以及靶场实践，请关注持续更新（本文部分内容来自课件，如有版权问题请与我联系）
XSS-DOM
最新发布
qq_51502737的博客
08-18 501
我们可以通过这种方式去创建或者覆盖 document 或者 window 对象的某些值，但是看起来我们举的例子只是利用标签创建或者覆盖最终得到的也是标签，是一个HTMLElment对象。可以明显的看到这是个DOM XSS，用户的输入会构成一个新div元素的子结点，但在插入body之前会被移除所有的属性。但是对于大多数情况来说，我们可能更需要将其转换为一个可控的字符串类型，以便我们进行操作。最内层的svg先触发，然后再到下一层，而且是在DOM树构建完成以前就触发了相关事件。先注释掉过滤代码，此时正常弹窗。
xss.function靶场(hard)
丁航航的博客
08-18 250
目前啥也不输入，直接进入查看。
XSS的DOM破坏
m0_67441173的博客
08-17 678
@keyframes x{}
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值