xss挑战心得（简单易懂）

作为一个呢刚刚学习web渗透的小菜鸟，一开始也是在老师的带领下接触到了xss挑战，个人感觉是很经典的题目嗷，以后就会在这里进行再学习了，这两天挑战也是记录了不少，所以希望可以记录下来，菜鸟的自我记录，大神勿喷噢

----------------------------------------------------------------------------------------------------------------------

 level 1   

   

相信不少人和我一样看到第一张图，没有可以点击和键入的地方，都是一脸懵的。先说一下，xss挑战通关条件就是能够在网页中成功弹窗即可。

level1 关卡中是没有任何键入和点击的地方的，所以只能将突破口投入网址中

 

body下是整个网页的主体内容，而修改name后的值可以更改payload的长度，所以可以将网址中name后test更换为<script>alert(/xss/)</script>，命令返回时可以弹出窗口，捕捉到弹窗 如图：

level2

可以看到level2出现了一个搜索框，在搜索框中输入值后可以发现是input函数，value后的值去，所以只需要将input函数闭合后，输出xss代码即可  "><script>alert(/xss/)</script>  如图

level3

 第三关和第二关一样，都有一个搜索框，也是input函数，所以自然而然想到将input闭合。但是输入之后不可弹窗，这时候就需要查看网页源代码

可以发现value后的值其实使用的是单引号，但是因为显示问题在页面上显示双引号，只需要将双引号修改即可 ， ' οnmοuseοut='alert(/xss/)