Pikachu靶场:XSS过滤
实验环境以及工具
Firefox浏览器、Burp Suite、Pikachu靶场
实验原理
0,前端限制绕过,直接抓包重放,或者修改html前端代码
1,大小写,比如:
<SCRIPT>aLeRT(111)</sCRIpt>
2,拼凑:
<scri<script>pt>alert(111)</scri</script>pt>
3,使用注释进行干扰:
<scri<!--test-->pt>alert(111)</sc <!--test--> ript>
具体步骤
1.找到注入点进行输入尝试
尝试弹窗
发现什么也没发生
2.尝试绕过
改动下大小写
说明过滤了小写的
<script></script>
总结
XSS的绕过姿势很多,取决于个人的思路和前端技术的掌控程度。