目录
xsslabs是练习xss的靶场,本身类似ctf并且内容轻松有趣,对于熟悉xss语句的练习有所帮助。
Level1
从url中发现name是一个可控变量,会接受参数并且回显。
注入js语句进行测试过关。
Leval2
直接输入语句发现被""包含在标签里面,因此无法直接xss
构造语句,将标签闭合起来,"><script>alert(%2Fxss%2F)<%2Fscript>
Leval3
利用了html实体化函数和过滤"=进行xss过滤,利用dom事件绕过即可
leval4
利用了html实体化函数和过滤"=进行xss过滤,利用dom事件绕过即可,鼠标划过即可过关。
leval5
和之前一样的方法绕过,其中还可以用其他event来触发进行过关,例如onmousedown, onmouseup,onclick等等
Level6
一样的玩法,闭合value的引号在标签内添加dom事件。爱玩的可以多尝试几种payload
Level7
换一种事件来进行过关,此时点击搜索框就可以过关了。
Level8
和上一关一样的来试试看
但是这关其实是想要让我们这样过的,因为这里有个链接跳转的路由,我们可以更改这路由并且使得他得以跳转到我们想要跳转的路径。添加一个js脚本后点击链接直接过关。
Level9
和上一关一个玩法,路由区添加事件
Level10
这关没有搜索框,在代码中看到隐藏的元素,将其暴露出来,是三个搜索框。
如图所示:
修改t_sort标签,添加事件pass。