网络安全毕业实习实训Day4 总结

<script>alert(1)</script>

<img src=ganyu οnerrοr=alert(1)>

<svg οnlοad=alert(1)>

<a herf=javascript:alert(1)>

<iframe src="javascript:alert(1)"></iframe>

3.1 Level 1

按提示点击图片后，F12查看网站源码，可以发现get传参给name的值“test”插入到了html（h2标签）里，还回显了payload的长度。

其实这里都可以看到第二关的触发条件：在script内，如果alert函数被调用执行，则会弹出提示框，并window.location.href 重定向到level2。

那么直接在url的name参数进行xss注入。构造payload：

 <script>alert(1)</script>

成功弹窗，并跳转Level2！

当然传其他的东西也能过关，可以参考XSS常见的触发标签

3.2 Level 2

先插一个payload试试，没成功，查看源码：

可以看到我们插入的payload被嵌套到value属性中，所以我们需要闭合input标签。构造payload：

 "><script>alert(1)</script>

成功过关！这关其实是htmlspecialchars($str) 将字符串中的特殊字符转换为了HTML实体，我们只需要闭合掉双引号构造payload即可。

3.3 Level 3

先插再说，插入<script>alert(1)</script>，查看源码：

因为htmlspecialchars() 默认是只编码双引号的，单引号无论如何都不转义。可以看到，相对于上一关，这里是单引号闭合。我们可以构造一个事件，使得事件发生时，则执行JavaScript。可以联想到鼠标点击事件onclinck。构造payload：

 ' onclick='alert(1)

添加payload回车后，输入框的就会被添加 onclick属性。点击一下输入框，即可弹窗过关：

3.4 Level 4

查看源码：

可以看到这关是双引号闭合，所以继续利用onfocus事件，构建payload：

 " onclick="alert(1)

而后点击输入框即可过关：

3.5 Level 5

先提交查看源码：

试试构造payload为【" οnfοcus=javascript:alert() "】。

发现鼠标事件被加了下划线。那么可用a href标签法，同时还需要闭合input标签。构造payload：

"><a href=javascript:alert(1)>

点击“>"触发a标签href属性。成功弹窗，过关！

3.6 Level 6

插入level5的payload试试：

发现把href属性给过滤了，但没过滤大小写，可通过大小写进行绕过。构造payload：

"><a HrEf=javascript:alert(1)>

3.7 Level 7

先传关键字试试：" OnFocus <sCriPt> <a hReF=javascript:alert()>

查看源码发现，进行了小写转化，并将检测出来的on，script，href给删掉了，我们可以利用双拼写来绕过。构造payload：

"><scrscriptipt>alert(1)</scrscriptipt>

3.8 Level 8

分析发现，我们在输入框输入的内容会被带入到友情链接href属性中，想到是不是可以直接输入javascript:alert(1)，然后再点击友情链接。但当输入后发现javascript被过滤了。于是使用HTML实体编码（即Unicode编码）绕过。

将【javascript:alert(1)】通过在线Unicode编码解码进行实体编码，构造payload：

&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#49;&#41;

将其插入href里面：

插入完成后，点击”友情链接“，成功弹窗通关！

3.9 Level 9

思路跟上一关一样，先进行编码绕过。发现之前的绕过方式，但是看到一个友情链接，写上一个正确的http网址可以看到输出在了href属性中，看后台代码发现其实就是http协议校验，于是想到可以巧用js代码中的注释符号 // 。

又发现进行转义了，那就结合编码跟js语言的注释符//配合使用：

&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#34;&#106;&#97;&#100;&#101;&#110;&#34;&#41;//http://www.baidu.com

插入href后点击”友情链接“：

3.10 Level 10

没发现输入框，于是查看源代码，看到有hidden把输入框给隐藏了。

把type属性的hidden为text，则会出现输入框。

根据三个input框的name值进行传值发现，t_sort传的值以作为value属性的值渲染到页面上。所以针对name属性为t_sort的input标签进行注入，可以闭合属性，构造新的属性，同时把type="hidden"属性替换。构造payload如下：

?keyword=1&t_sort=" onclick="alert(1)

四、《漏洞利用之XSS注入》解释

例1：

<a href="%6a%61%76%61%73%63%72%69%70%74:%61%6c%65%72%74%28%31%29"></a>

结果：不执行

解释：首先，浏览器会对HTML进行解析，但在该示例中，href属性内没有HTML编码的内容，因此直接将内容交给URL模块处理。由于URL模块无法识别被编码的javascript:协议类型，解码失败，脚本未被执行。

例2：

<a href="javascript%3aalert(3)"></a>

结果：不执行

解释：在这个示例中，javascript:协议被URL编码为%3a（即:字符），当浏览器解析href属性时，会首先将内容交给URL模块处理。然而，由于javascript:协议的冒号（:）部分被编码，URL模块无法正确识别这个协议类型，解码失败，导致脚本无法被执行。这种情况下，与前面的例1相同，浏览器无法正确理解并执行编码后的内容。

例3：

<textarea><script>alert(6)</script></textarea>

结果：不执行

解释：<textarea>是一个RCDATA元素，这意味着它可以容纳文本和字符引用，但不会解析其中的HTML标签。浏览器在解析<textarea>标签时，只会将其中的内容视为纯文本，而不会创建新的DOM元素或执行其中的JavaScript代码。因此，虽然在<textarea>标签内部包含了一个<script>标签，但这个<script>标签仅被当作文本处理，JavaScript代码不会被执行。

例4：

<script>\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0031\u0029</script>

结果：不执行

解释：在这个例子中，JavaScript代码中的字符通过Unicode转义序列进行了编码。这些序列解码后应该对应于alert(11)函数调用。然而，由于11被解析为字符串，而不是有效的数字，并且没有适当的引号将其封闭，因此导致JavaScript语法错误，脚本无法正确执行。

例5：

<script>alert('13\u0027')</script>

结果：不执行

解释：在这个示例中，'\u0027'代表的是单引号字符。在JavaScript解析过程中，Unicode转义序列\u0027会被解码为普通的单引号字符。然而，由于这个单引号与其他字符串引号冲突，导致字符串没有被正确关闭，进而引发语法错误，导致脚本无法执行。这种情况下，浏览器会将其视为无效的JavaScript代码。