bugku(XSS)

最新推荐文章于 2022-07-22 12:08:27 发布
最新推荐文章于 2022-07-22 12:08:27 发布
阅读量1.1k 收藏 1
点赞数
分类专栏： bugku 文章标签： XSS注入 XSS bugku
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_30464257/article/details/81139852
版权

 

 

先试试是不是反射性注入

 

查看源代码

 

 

先试试<script>alert(/xss/)</script>

 

查看源代码发现<>被过滤了

利用unicode编码绕过

<  \u003c

 

>  \u003e

 

再利用onerror事件

如果在加载图片时发生错误则执行 JavaScript :

<img src="image.gif" οnerrοr="myFunction()">

 

 

成功弹窗

 

然后得出flag

 

 

可乐'
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
BugKu -- XSS
小水池
08-11 2255
XSS 100 http://103.238.227.13:10089/ Flag格式:Flag:xxxxxxxxxxxxxxxxxxxxxxxx 打开页面提示XSS注入，但是没有注入点啊。。。百度提示在url上加id参数。。 试试 ?id=1，有回显1，这下有注入点了    构造xss   http://103.238.227.13:10089/?id=&lt;scri...
XSS——bugku
weixin_34138377的博客
07-16 627
刚刚做了bugku的题目，现在整理一下 写出解题思路，希望能够帮助到那些需要帮助的人 所有的wp都是以一题一篇的形式写出 主要是为了能够让读者更好的阅读以及查找， 希望你们不要责怪！！共勉！！！ Challenge 645 Solves XSS 100 http://103.238.227.13:10089/ Flag格式:Flag:x...
bugku 简单xss
Daniel的博客
07-23 1010
先看一下题目描述 题目说注入一段规定的xss代码就能获得flag，那就先按照题目要求进行注入 这个时候发现_key_并没有被替换掉，查看一下源代码 发现注入的xss代码中尖括号被过滤了，这就好办了，可以使用Unicode编码进行绕过，（本来我是采用的url编码，发现绕不过。。。） 发现什么都没有，再次查看源代码 就能看到flag
bugku xss
rommel的博客
08-29 2741
XSS注入测试 1、请注入一段XSS代码，获取Flag值 2、必须包含alert(_key_)，_key_会自动被替换 题解： 首先我们查看源代码 发现可以通过xss注入  所以我们只需将转义即可  于是我们构造?id=\u003cscript\u003ealert(_key_)\u003c/script\u003e 即可获得flag 如有疑问请联系qq：834368404
BUGKU_WEB_XSS
308宿舍的鶸
08-12 304
  直接传入&lt;script&gt;alert(_key_)&lt;/script&gt;后发现尖括号被转义。 在i春秋看视频的时候也遇到过这种问题，将&lt;替换为\u003c，&gt;替换为\u003e即可绕过 于是我们就可以构造payload为?id=\u003cscript\u003ealert(_key_)\u003c/script\u003e 上传后果然获得了fla...
bugkuctf解题-WEB
05-04
本文主要针对"bugkuctf解题-WEB"这一主题，结合描述中的CTF菜鸟的解题经验分享，深入探讨Web解题的关键知识点。 首先，我们需要理解Web安全的基础概念。Web应用是基于HTTP/HTTPS协议的，其安全性主要取决于服务器端...
bugku笔记刷题目的整理
04-12
【BugKu笔记刷题目的整理】是一份全面总结BugKu平台上的网络安全与Web安全实战练习题的资料。BugKu，作为一个知名的网络安全训练平台，提供了丰富的靶场环境，帮助用户提升对网络安全攻防的理解和技能。这份笔记旨在...
BugKu 2021 CTF AWD 排位赛 真题 S2 AWD排位赛-7.zip
12-07
【标题】"BugKu 2021 CTF AWD 排位赛 真题 S2 AWD排位赛-7.zip" 指的是2021年BugKu网络安全平台举办的AWD（Attack-Defend，攻防）CTF（Capture The Flag，夺旗）排位赛的实战题目，其中的"7"可能代表该赛事的第七个...
BugKu 2021 S1 AWD排位赛-7.zip
12-07
【BugKu 2021 S1 AWD排位赛-7.zip】是一个与网络安全相关的挑战，源自2021年BugKu CTF（Capture The Flag）比赛的 Automated Web Defense (AWD) 排位赛阶段。CTF是一种网络安全竞赛，参赛者通过解决各种安全问题来...
S2 AWD排位赛-9.zip
12-07
【S2 AWD排位赛-9.zip】这个压缩包文件是BugKu在2021年举办的一场CTF（Capture The Flag）攻防战排位赛的真实题目集合。CTF是一种网络安全竞赛，参赛者通过解密、逆向工程、漏洞挖掘等技术手段获取“旗标”（Flag）...
bugku-xss-反射型
m0_62094846的博客
11-19 1517
XSS Platform (xsscom.com) 直接使用XSS平台 创建项目后，把代码复制到第一行空格去 再把加入代码后的url复制到第二行空格 就可以在xff网页看到flag了
linux搭建xss平台,一个漏洞平台的搭建
weixin_35689877的博客
05-15 478
最近刚入门web安全，学习了很多漏洞以及攻击手法。但是苦于没有地方练手，无意中看到学弟的一篇文章，一个名为BWVS的漏洞平台的搭建，据说这个平台包含很多漏洞，是居家旅行、练手必备的神器啊，于是乎我便开始动手搭建这个环境，嘿嘿嘿。现附上原文章的链接：http://zone.secevery.com/article/1020先简单介绍一下BWVS这个平台，BWVS(BugKu Web Vulnerab...
bugku 密码题笔记
gbxiaowang的博客
03-30 808
散乱的密文 lf5{ag024c483549d7fd@@1} 一张纸条上凌乱的写着2 1 6 5 3 4 这么一看觉得可能就是每6个一组，然后每组按照给出的提示重排字母。但是前面6个按给出的顺序排就是 flga5{ 好像不对，但先试试吧，题目都这么说了呢： 写代码令我头大。。。 import re string='lf5{ag024c483549d7fd@@1}' a=list(re.find...
BUGKU_CTF WEB(10-19)writeUP
热门推荐
单核CPU的小朋友的博客
10-20 4万+
第11题：web5 查看页面源代码，发现被隐藏掉的代码。怀疑是javascript代码。网上试了各种解密和解压缩方法都不行。试了试直接在console控制台运行。成功运行并拿到flag。 第12题：头等舱。 查看页面源代码和web请求。发现什么都没有，空空如也。于是开了bt抓包。通过网页的response发现了headers中藏有flag值 第13题：网站被黑 首先查看网站源代码。发现网站没有什...
bugku中的多次题目以及学到的异或注入
mylyylmy的博客
08-01 3164
首先我们判断一下是什么注入类型 注意输入的是英文字符'，中文不会转变为%27，报错，说明是字符注入 这时候我们就要判断一下SQL网站过滤了什么内容，我们可以使用异或注入来判断哪些字符串被过滤掉了 http://120.24.86.145:9004/1ndex.php?id=1%27^(0)%23 正常运行，我们在输入 http://120.24.86.145:9004/1nde...
ctf xss利用_TCTF/0CTF2018 XSS Writeup
weixin_29923451的博客
01-14 500
作者：LoRexxar'@知道创宇404实验室刚刚4月过去的TCTF/0CTF2018一如既往的给了我们惊喜，其中最大的惊喜莫过于多道xss中Bypass CSP的题目，其中有很多应用于现代网站的防御思路。其中bl0g提及了通过变量覆盖来调用已有代码动态插入Script标签绕过strict-dynamicCSP的利用方式。h4xors.club2则是通过Script Gadgets和postmes...
bugkuCTF Writeup （Web）41-44
Troublor的博客
02-07 1870
这是一个神奇的登陆框 登陆框注入 之前注入的分隔符都用的是单引号‘，这道题特立独行用的是双引号。 又发现有报错的回显，于是报错注入： 一开始使用的updatexml和extractvalue这两个函数来进行的报错注入，后来发现这两个函数的报错注入有缺陷，报错信息的长度不超过32位，对于这道题来说，flag是一个md5摘要，长度正好32位，而又会用到concat函数来连接，就会显示不
BUGKU 留言板
qq_56313338的博客
07-22 2万+
bugku 留言板的解题思路 web
XSS漏洞详解
xcxhzjl的博客
11-18 2万+
一、XSS漏洞原理 XSS，即跨站脚本攻击，是指攻击者利用Web服务器中的应用程序或代码漏洞，在页面中嵌入客户端脚本（通常是一段由JavaScript编写的恶意代码，少数情况下还有ActionScript、VBScript等语言），当信任此Web服务器的用户访问Web站点中含有恶意脚本代码的页面或打开收到的URL链接时，用户浏览器会自动加载并执行该恶意代码，从而达到攻击的目的。 当应用程序没有对用户提交的内容进行验证和重新编码，而是直接呈现给网站的访问者时，就可能会触发XSS攻击。 二、XSS漏洞的危
XSS攻击应急响应策略
"XSS应急预案已完成" XSS（Cross-Site Scripting）攻击是一种常见的网络安全威胁，它利用了Web应用程序未能充分验证用户输入的情况，使得恶意代码能够注入到网页中，并在其他用户加载页面时执行。这些攻击可能导致...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值