xss-labs通关，xss漏洞详解

---

前言

XSS 的原理是 WEB 应用程序混淆了用户提交的数据和 JS 脚本的代码边界，导致浏览器把用户的输入当成了 JS 代码来执行。XSS 的攻击对象是浏览器一端的普通用户。

XSS 又叫 CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往 Web 页面里插入恶意 html 代码，当用户浏览该页之时，嵌入其中 Web 里面的 html 代码会被执行，从而达到恶意用户的特殊目的。它与 SQL 注入攻击类似，SQL 注入攻击中以 SQL 语句作为用户输入，从而达到查询 / 修改 / 删除数据的目的，而在 xss 攻击中，通过插入恶意脚本，实现对用户游览器的控制，获取用户的一些信息。

---

一、XSS详解

XSS分为：存储型 、反射型 、DOM型XSS

存储型

存储型XSS，持久化，代码是存储在服务器中的，如在个人信息或发表文章等地方，插入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，用户访问该页面的时候触发代码执行。这种XSS比较危险，容易造成蠕虫，盗窃cookie

反射型

非持久化，需要欺骗用户自己去点击链接才能触发XSS代码（服务器中没有这样的页面和内容），一般容易出现在搜索页面。反射型XSS大多数是用来盗取用户的Cookie信息。

DOM型

不经过后端，DOM-XSS漏洞是基于文档对象模型(Document Objeet Model,DOM)的一种漏洞，DOM-XSS是通过url传入参数去控制触发的，其实也属于反射型XSS。

二、xss-labs通关

第1关：
通过get传参然后显示在页面，可以判断是反射型xss，而且没有做任何过滤，可直接在url中最后面加入代码

<script>alert(1)</script>

第2关：
正常输入是不行的，因为源码中加了个引号

既然使用引号，我们就可以加个引号。让他闭合即可

"><script>alert(1)</script>

第3关：
这里要了解一下HTML中的onclick 事件
参考连接：https://www.runoob.com/jsref/event-onclick.html
看页面源码发现又是引号

按照第一关的闭合试试，发现还是不行，代码仍然在引号里面

看源码是单引号闭合的，但是这里看到尖括号被实例化

用onclick鼠标点击事件

第4关：
分析源码，尖括号被做了替换

跟上一关一样，利用onclick事件，闭合换成了单引号

第5关：
分析源码，仍是做了替换，on也被替换成了，且全部转为小写

这里就要用到另一标签了

"> <a href=javascript:alert('xss')>xss</a>//

看到代码被嵌入到了html源码中

点击页面上的xss即可

第6关：
分析源码，闭合为双引号，全都做了替换，但是发现没有限制大小写

大小写绕过，s换成S，前面的h2闭合，两种都可以

"/h2> <Script>alert('xss')</Script>
"> <a Href=javascript:alert('xss')>xss</a>//

第7关：
双写绕过

" oonnfocus=javascscriptript:alert('xss')//
"><scscriptript>alert("xss")</scscriptript>//
"> <a hhrefref=javascscriptript:alert('xss')>xss</a>//

第8关：
分析源码，前面的都用不了

这关需要进行编码转换，将 javascript:alert(‘xss’) 转化为实体字符

第9关：
继续使用上关的编码，发现不可以

查看源码，源码里检测是否含有http://那就在里面加个http://

javascript:alert('xss')//http://
前面的编码后就成了
<a href="javascript:alert('xss')//http://">友情链接</a>

第10关：
这里要连接一下HTML中hidden影藏属性，看源码可以找到表单中有三个影藏属性

将其中一个type的值改为text，后面加上onclick即可

第11关：
referer检查，这里需要用bp修改一下数据包，伪造一个referer再发送出去

之后就可以看到一个文本框

第12关：

第13关：

第14关：

第15关：

第16关：

第17关：

第18关：

第19关：

第20关：

总结

1-9关都是一些绕过方法，感觉有点像sql注入，绕过的方法有大小写转换，字符编码，双写，HTML特殊表单，onclick， <a href=” “//，