本文详细记录了一次网络安全实验课中的XSS挑战过程，从level1到level20，涉及各种字符过滤、编码绕过、事件利用等实战技巧，包括实体编码、大小写绕过、注释符和伪协议利用等方法。
前言
写这篇博文起源来自于一次网络安全实验课，在实验虚拟环境里有一个xss挑战，估计是搬别人的xss挑战进来，我觉得挺有意思，就记录一下。有些关卡不能再虚拟环境实践，我在自己物理机上找到那个xss挑战平台进行实现。
level1
未进行过滤，直接输入payload
payload:
level2
发现对html特殊符号进行了实体编码，
payload:" οnclick=alert(/xss/)><"
当然需要点击一下触发
level3
编码了双引号，但是源码里用的单引号，用单引号构造即可
payload:'οnclick=alert(/xss/)><'
level4
过滤了<>符号，我们只能用事件绕过，这里利用浏览器的容错特性，不闭合直接注释也能执行
payload:" οnclick=alert(/xss/)//
level5
有两处输出的地方，第一处对特殊符号进行了实体编码，第二处将on开头的事件全部替换加下斜杠，也将
最低0.47元/天 解锁文章
扫一扫
1659
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
