复现一个循环问题和两个循环问题

最新推荐文章于 2022-09-19 18:56:46 发布

Thin Dog

最新推荐文章于 2022-09-19 18:56:46 发布

阅读量99

点赞数

文章标签： servlet

本文链接：https://blog.csdn.net/middlecorn/article/details/126215364

版权

复现单个循环

下面代码是：首先截取#号后面的值，创建一个div，然后将#号后面的值都赋值给div，然后使用querySelectorAll选取div下所有的子元素；然后获取子元素的属性，并将属性全部删除，但是我们在运行的时候会发现一个问题。

<html lang="en">
<head>
<meta charset="UTF-8"/>
<meta http-equiv="X-UA-Compatible" content="IE=edge"/>
<meta name="viewport" content="width=device-width, initial-scale=1.0"/>
<title>Document</title>
</head>
<body></body>
<script>
// http://127.0.0.1/domfilter/demo6.html#<img src=1 οnerrοr=alert(1)>
const data = decodeURIComponent(location.hash.substr(1));
const root = document.createElement("div");
root.innerHTML = data;
//这里模拟了xss过滤的过程，方法是移除所有属性
for (let el of root.queryselectorA11("*")) {
for (let attr of el.attributes){
el.removeAttribute( attr.name);
}
}
document.body.appendChild(root);
</script>
</html>

过滤方式：截取#后面的值，创建一个div，把#后面的值赋值给div，然后使用querySelectorAll抓div的子元素，获取它的属性，再把子元素的属性全部删除。

我们先输入<img src=1 οnerrοr=alert(1)>试一下，但是运行后得出的结果是它只删除了一个src，把onerror留了下来

从获取到第一个src后，就获取不到onerror了，最后跳出了循环，没有删除onerror。

在进行循环的过程中，attr首先匹配到的是src元素，然后在循环过后直接删除，删除了之后，剩余的哪个onerror自动往前移动，onerror替代了src第一个的位置，它就变成了第一个，但是我在刚刚循环的时候，已经把第一个给循环了，我要去循环下一个的时候它没有了，所以我就结束循环了。所以我们可以利用这一机制，将img标签中放入其他的属性，删除其他的属性来让我们要输出有用的属性进行输出。下面来验证这一想法

可以看到我们的想法确实可以实现，但是src也被删除了，所以我们再添加一个属性，然后换个位置，输入<img x=1 src=1 title=aaa onerror=alert(1)>

可以看到输出了哦我们要输出的属性并且成功弹窗

两次循环问题

<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<meta http-equiv="X-UA-Compatible" content="IE=edge">
<meta name="viewport" content="width=device-width， initial-scale=1.0"><title>Document</title>
</head>
<body>

</body>
<script>
const data = decodeURIComponent(location.hash.substr(1));;const root = document.createElement( 'div ' );
root.innerHTML = data;
//这里模拟了xss过滤的过程，方法是移除所有属性，sanitizer
for (let el of root.querySelectorA11('*')) {
let attrs = [];
for (let attr of el.attributes){attrs.push(attr.name);
}
for (let name of attrs) {el.removeAttribute(name);}
}
document.body . appendchild(root);
</script>
</html>

1.不仅循环

2.进循环不删除

先使用上面那种一次循环的方法看看