xss-lab-master过关心得

Wolffy007

已于 2022-04-07 23:43:03 修改

阅读量899

点赞数 2

文章标签： html html5 css

于 2022-03-27 18:21:07 首次发布

遵循CC BY-NC-SA 2.5 CN协议文本

本文链接：https://blog.csdn.net/Wolffy007/article/details/123688655

版权

前言

转载请注明出处，作者以及本文链接。
作者：灰太狼wolffy007
也是总结，实验中去实现alert弹窗动作，主要讨论的就是alert的执行方式，也就是JavaScript脚本的书写位置。
行间和行内以及外部引用。

在标签内部书写，<script></script>中的内部书写方式。
在标签外部书写：<script type="text/JavaScript" src=" "></script>方式。
注意：在外部引用后，内部书写代码会被忽略。
在属性位置书写的方式。
<button onclick="JS代码">
<a href="JavaScript:alert(' ');"></a>
XSS with Data URI Scheme
关于：data的介绍在第六关进行说明。
伪造实体字符实现特殊字绕过–别人叫字符编码，这么叫并不是很准确，我觉得应该叫伪造实体字符。

实际上以上方法总结就够了，以下部分读者自行选择是否阅读。

灰太狼说：
本次测试均在部署的服务器上进行测试，我觉得在本地和在服务器测试有非常大的不同，主要是浏览器对脚本执行的信任程度可能不同。

第一关

简单介绍一下就是一个反射型xss。什么是反射型xss，就是将用户输入带去后端解析，由后端返回到用户的过程。

第二关

类型不多说了。
一：输入

（一）：闭合整个input标签

"><script>alert('xss');</script>

（二）：闭合value属性，使用onclick事件做弹窗。

" οnclick="alert('x');"

这里也不用纠结，最后一个引号可以不打，打上去了也无任何影响。
点击成功跳转

第三关

在这里插入图片描述
此处可见：标签括号两处都被后端做了处理
此处使用onclick事件思路。
注意:在此处后端对双引号做了转换，我们使用单引号闭合。

' alert(1);

以及括号内不使用单引号，引发语法错误。

第四关

在这里插入图片描述
可以看到后端吞掉了尖括号。

在这里插入图片描述
以及匹配图中的闭合方式。
同时注意我们防止onclick内外引号相同带来语法错误，我们换做’ '单引号。

" οnclick='alert(1);'//

弹窗

第五关

H2标签处存在尖括号过滤、双引号过滤
value标签处onclick,scipt过滤
script替换

onclick替换
在使用onclick时发现被替换做o_nclick，导致语法错误。
尝试大小写绕过失败。

由于在value标签处没有尖括号过滤，此处使用在a href 中使用Javascript脚本实现alert，单机ss跳转。

"><a href='javascript:alert(1)'>ss</a>//

在这里插入图片描述

分析：
htmlspecialchars函数过滤特殊符号
strtolower统一小写
str_replace替换文本

第六关

在：
在<h2 align=center>不能使用尖括号，导致不能在这里闭合。
在value标签中，script、onclick、href均遭过滤。
按照upload实验室的经验，面对字符过滤我们考虑。

大小写绕过
双写绕过
编码绕过

测试：大小写可以绕过。

后端代码
条件：源码没有进行统一小写。

使用data方法的xss注入测试：

data：xss 利用"data:"
源于：data uri scheme，也就是数据 URI 方案，将需要的资源：图片、样式，内容打包到单个HTML文件中以进行页面保存。

截至2022年，大多数主流浏览器都完全支持数据 URI，并且在 Internet Explorer 中也部分支持数据 URI。
语法：
data:[<media type>][;base64],<data>
HTML中支持标签属性内嵌入data uri scheme的有：
object iframe anchor img 等

但是要执行js脚本，在object的data属性、iframe的src属性才可以运行。
本次我们写在iframe标签中。

"> <iframe Src="Data:text/html;base64,PHNjcmlwdD5hbGVydCgneHNzJyk8L3NjcmlwdD4="></iframe><

注意：如上我们将src、data进行了大小写混写。
如下：将scrpt语句base64打包，实现弹窗。
![服务器环境测试](https://img-blog.csdnimg.cn/374b34b9206146d6bc9bc88bb067a924.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAV29sZmZ5MDA3,size_20,color_FFFFFF,t_70,g_se,x_1

第七关

输入依次经strtolower、字符替换。
将 script、on、src、data、href 做了替换，但是都替换为了空，由于没有递归过滤，造成了可以双写绕过。
例如：" oonnclick='alert(1);'即可绕过，简要说明即可。

第八关

难度提升，在以上过滤的基础上，增加了对双引号的过滤。
这导致我们不好闭合标签。见如下：

使用HTML 字符实体绕过字符检查

HTML 字符实体

引用：https://www.w3school.com.cn/html/html_entities.asp.

HTML 实体
在 HTML 中，某些字符是预留的。
在 HTML 中不能使用小于号（<）和大于号（>），这是因为浏览器会误认为它们是标签。
如果希望正确地显示预留字符，我们必须在 HTML 源代码中使用字符实体（character entities）。
字符实体类似这样：
&entity_name;
或者
&#entity_number;

也就是怎么说：我们需要滥用字符实体来绕过字符检查。