声明:
由于笔者能力有限,难免出现各种错误和漏洞。全文仅作为个人笔记,仅供参考。
笔记内容来源于各类网课。
环境:
XSS Challenges Stage #15:http://xss-quiz.int21h.jp/ ,FireFox(Stage #16打不开)
一、概述
unicode绕过过滤触发XSS。
二、Unicode
Unicode (统一码、万国码、单一码)是计算机科学领域里的一项业界标准, 包括字符集、编码方案等。Unicode是为了解决传统的字符编码方案的局限而产生的,它为每种语言中的每个字符设定了统一并且唯一的二进制编码,以满足跨语言、跨平台进行文本转换、处理的要求。
我在线测试一下,测试地址,Unicode转换地址。
wirte通过unicode编码,可以正确的输出对于的字符。
三、XSS探测
大部分步骤我们同基础18一样,我们直接测试Unicode编码绕过。
\\u003cscript\\u003e alert(document.domain); \\u003c\\u002fscript\\u003e
脚本成功执行。