11.11科协作业 xss心得体会

何为xss

恶意攻击者往 Web 页面里插入恶意 Script 代码，当用户浏览该页
面时，嵌入 Web 里面的 Script 代码会被执行，从而达到恶意攻击用户的目的。

我对于xss题目的理解
我认为解题步骤大致分为三步，首先要找到xss的位置；其次是分析网站在该位置的防御手段（如：一些符号的实体化，一些标签的注释等等等等）；最后根据分析所得，构造恰当的恶意代码，完成题目。

一些常见的payload

onfous=javascript:alert(‘xss’)
<a href=javascript:alert(‘xss’) > xss
οnclick="alert(‘xss’)
更多可见：https://swisskyrepo.github.io/PayloadsAllTheThingsWeb/

一些做题心得

1. level2 从此题出现了对尖括号的实体化，所以payload切记生搬硬套，而是要针对性的修改
   此题的解题策略是提前闭合 *
2. level3-4*这两题出现了引号和尖括号实体化，但是htmlspecialchars()，考虑构造 onfous=javascript:alert(‘xss’)
3. level5-7 实体化 分割 删除过多时，可以考虑换payload，或者对关键词进行大小写，双写
4. level8-9 若大小写 双写也被替换，还有另一种方式。可以对js代码进行编码，然后输入
5. level10从此题开始出现多个input标签，可构造代码找到可改变的input标签 ，然后针对该标签注入恶意代码
6. level11在10的基础上，多了一处对引号的实体化。可以使用hackbar，加入referer，然后就可以插入恶意代码
7. level12-13与上题较为相似

小结
初次尝试xss题目，感到有些难以入手，虽然能够跟着看懂答案，听懂分析，但是距离独立完成题目还有差距。此外，我认为想要做到轻车熟路，需要不断积累的过程，不能急于求成。