CTF | 试试XSS

进入合天网安实验室的实验机，打开网址只显示一个输入框，并提示alert document.domain。

尝试在在输入框输入<script>alert(document.domain)</script>

提交以后页面页面刷新了。再尝试输入<、>，’，"符号。发现在输入'和''时，页面多出了一个Img标签。

当输入'zzzzz时，zzzzz成了img标签的一个属性名。

想到了onerror，尝试下输入提示：'οnerrοr=alert(document.domain)

结果没有弹出来。查看源码没有发现被编码。

在多次尝试后发现，’前面的内容为src中的内容，'后面的内容为自定义属性及其内容。

尝试在‘前面加一个随便的路径试下。

执行后

发现弹出了域名信息的，还有出现了flag信息。

总结：该实验相对比较简单，只要发现了引号'出现的img标签，及标签内的值有输入框确定，再加上很明显的提示就可以解决。另外在本实验开始的时候输入最后代码只弹出域名信息却不显示flag信息，查看源代码和对比指导书都没问题，后来发现在'后面要打一个空格，好心累，以后还是对代码书写要严谨些。