Web應(yīng)用程序?qū)τ脩糨斎氲臄?shù)據(jù)未進行嚴(yán)格過濾或轉(zhuǎn)義導(dǎo)致攻擊者能將惡意腳本注入到網(wǎng)頁中并被瀏覽器執(zhí)行。常用手段若沒有任何過濾可以采取scriptalert(1)/script部分可能需要js符號閉合則采取scriptalert(1)/script會過濾script但未存在大小寫過濾則可采取Scriptalert(1)/Script會有大小寫過濾且會過濾script未有重寫法過濾則可采取Scrscriptiptalert(1)/scrscriptipt若過濾了實體轉(zhuǎn)義的空格則可用回車代替a%0Aherfjavascript:alert(1)若存在html實體轉(zhuǎn)義則可采取事件監(jiān)聽常用事件監(jiān)聽方法錯誤觸發(fā)img srcx onerroralert(1)鏈接點擊a herfjavascript:alert(1)鼠標(biāo)移動onmouseoveralert(1)“第一關(guān)第一步觀察環(huán)境urlhttp://xss/level1.php?nametest頁面顯示第二步查看源碼按F12第三步構(gòu)造payloadscriptalert(1)/script即可驗證是否含有xss漏洞第二關(guān)第一步觀察環(huán)境urlhttp://127.0.0.1/xss-labs-master/level2.php?keywordtest頁面顯示輸入scriptalert(1)/script結(jié)果沒有顯示查看源碼發(fā)現(xiàn)輸入符號明顯發(fā)現(xiàn)做了過濾但是沒有完全過濾那就直接閉合value參數(shù)執(zhí)行XSS語句輸入scriptalert(1)/script即可第三關(guān)輸入“scriptalert(1)/script”源代碼顯示采用第二關(guān)方法是可行的但是徹底過濾了那就不采用script轉(zhuǎn)為使用javascript的onmouseover屬性輸入 οnmοuseοveralert(1)因為源代碼使用了htmlspecialchars函數(shù)過濾輸入把預(yù)定義的字符轉(zhuǎn)換為 HTML 實體。第四關(guān)輸入“scriptalert(1)/script”顯示發(fā)現(xiàn)變?yōu)榭崭竦梢蚤]合value值在輸入 οnmοuseοveralert(1)即可第五關(guān)輸入scriptalert(1)/script代碼顯示則script過濾為scr_ipt輸入 οnmοuseοveralert(1)代碼顯示則onmouseover也被過濾那就采用閉合超鏈接輸入a hrefjavascript:alert(1),然后點擊超鏈接即可第六關(guān)輸入scriptalert(1)/script代碼顯示則script過濾為scr_ipt輸入 οnmοuseοveralert(1)代碼顯示則onmouseover也被過濾那就采用閉合超鏈接輸入a hrefjavascript:alert(1)代碼顯示發(fā)現(xiàn)超鏈接長度不夠爆破那就采用閉合大小寫混用方式看過濾是否嚴(yán)格輸入scRiptalert(1)/scRipt即可第七關(guān)輸入“scriptalert(1)/script”代碼顯示則script完全過濾為空輸入scRiptalert(1)/scRipt代碼顯示則大小寫混用也被過濾那就采用閉合復(fù)寫看是否過濾script輸入scscriptriptalert(1)/scscriptript即可第八關(guān)發(fā)現(xiàn)超鏈接點擊進去看到輸入的值即為herf值考慮讓連接中包含javascript的偽協(xié)議來運行alert(1)進行彈窗達成xss攻擊則輸入javascript:alert(1)再點擊超鏈接顯示script再次嚴(yán)格過濾那就考慮把語句改為unicode編碼看是否能繞過輸入ascii碼轉(zhuǎn)unicode語句即可第九關(guān)也是包含超鏈接那就直接輸入javascript:alert(1)顯示被轉(zhuǎn)義了在采用上輪輸入發(fā)現(xiàn)也被轉(zhuǎn)義默認(rèn)輸入也被轉(zhuǎn)義那就看直接的http協(xié)議是否能訪問輸入http://www.baidu.com發(fā)現(xiàn)可以那就先將上輪輸入轉(zhuǎn)義再在后面注釋掉http協(xié)議即可第十關(guān)在url的keyword后輸入1再看源碼發(fā)現(xiàn)隱藏表單那就將隱藏表單的type改為text讓我們能看到回顯在keyword后輸入123t_linktypetextt_historytypetextt_sorttypetext,多了個輸入框且源碼變?yōu)檎f明僅接受t_sort的值那就在t_sort文本框輸入t_sorttypetext οnmοuseοveralert(1)即可第十一關(guān)在url的keyword后輸入123再看源碼發(fā)現(xiàn)隱藏表單那就將隱藏表單的type改為text讓我們能看到回顯在keyword后輸入123t_linktypetextt_historytypetextt_sorttypetextt_reftypetext,發(fā)現(xiàn)失敗因為雙引號被過濾了但是t_ref參數(shù)這個參數(shù)有點像http的請求頭的refer值。隱藏表單確實有值那就跟之前一樣閉合打開hackbar點擊load url再勾選referer將referer:后內(nèi)容改為typetext οnmοuseοveralert(1)點擊執(zhí)行后點擊輸入框即可第十二關(guān)前車之鑒直接看源碼發(fā)現(xiàn)這個Ua跟請求頭里的user_agent一樣那么就用之前的方法在hackbar上修改useragent的值typetext οnmοuseοveralert(1)點擊執(zhí)行點擊輸入框即可第十三關(guān)前車之鑒查看源碼發(fā)現(xiàn)有個cook類似于請求頭的cookie那就用之前發(fā)放在hackbar上修改cookie的值usertypetext οnmοuseοveralert(1)點擊執(zhí)行點擊輸入框第十四關(guān)頁面引用了exif.js讀取圖的元數(shù)據(jù)包括注釋且沒有過濾因此在圖的注釋/描述字段上傳帶有惡意代碼的scriptalert(1)/script再將該圖上傳即可第十五關(guān)稍作嘗試發(fā)現(xiàn)本身具有HTML實體編碼把實體轉(zhuǎn)義了直接構(gòu)造無法執(zhí)行腳本F12發(fā)現(xiàn)有個ngInclude相當(dāng)于前端的include把返回頁面通過innerHTML方法嵌入html頁面加載內(nèi)部的html時會自動執(zhí)行其中語句外部不會執(zhí)行其中語句但不會執(zhí)行script標(biāo)簽內(nèi)容因此考慮在上傳本地頁面中添加惡意語句payload可以構(gòu)造為事件報錯監(jiān)聽?srclevel1.php?nameimg src1 onerroralert(1)或者用戶交互事件監(jiān)聽?srclevel1.php?namea hrefXXXX onmouseoveralert(1)把鼠標(biāo)移到這里/a或者點擊超鏈接?srclevel1.php?namea hrefjavascript:alert(1)第十六關(guān)F12查看源代碼發(fā)現(xiàn)test是插入到center標(biāo)簽中沒必要閉合測試關(guān)鍵字,輸入scriptalert(1)/script輸入a hrefXXX οnmοuseοveralert(1)發(fā)現(xiàn)script和空格都被實體化了故只能采用用戶交互時間監(jiān)聽不準(zhǔn)用空格就用回車%0Apayload為a%0Aonmouseoveralert(1)將鼠標(biāo)移動到這里/a或者a%0Aonmouseoveralert(1)用戶在滑動過程中必定會觸碰更隱蔽第十七關(guān)F12查看源代碼embed標(biāo)簽定義一個區(qū)域可以放圖片、視頻、音頻等內(nèi)容但是當(dāng)打不開文件時會存在錯誤區(qū)域可以綁定各種事件嘗試各種標(biāo)簽發(fā)現(xiàn)會對字符轉(zhuǎn)義為html實體導(dǎo)致無法執(zhí)行其中語句只能采用事件監(jiān)聽但是注意embed標(biāo)簽不支持onerror事件故構(gòu)造payload%20onmouseoveralert(1)本關(guān)需要使用chrome瀏覽器firefox不支持embed標(biāo)簽第十八關(guān)基本同第十七關(guān)只是將空格轉(zhuǎn)移為了html實體導(dǎo)致無法執(zhí)行后續(xù)語句故構(gòu)造payload%0aonmouseoveralert(1)第十九關(guān)和第二十關(guān)采用flash觸發(fā)的xss漏洞但目前已經(jīng)全面停用暫且難以復(fù)現(xiàn)后面兩關(guān)