xss漏洞 xss-labs部分关卡

Web应用程序对用户输入的数据未进行严格过滤或转义导致攻击者能将恶意脚本注入到网页中并被浏览器执行。常用手段若没有任何过滤可以采取scriptalert(1)/script部分可能需要js符号闭合则采取scriptalert(1)/script会过滤script但未存在大小写过滤则可采取Scriptalert(1)/Script会有大小写过滤且会过滤script未有重写法过滤则可采取Scrscriptiptalert(1)/scrscriptipt若过滤了实体转义的空格则可用回车代替a%0Aherfjavascript:alert(1)若存在html实体转义则可采取事件监听常用事件监听方法错误触发img srcx onerroralert(1)链接点击a herfjavascript:alert(1)鼠标移动onmouseoveralert(1)“第一关第一步观察环境urlhttp://xss/level1.php?nametest页面显示第二步查看源码按F12第三步构造payloadscriptalert(1)/script即可验证是否含有xss漏洞第二关第一步观察环境urlhttp://127.0.0.1/xss-labs-master/level2.php?keywordtest页面显示输入scriptalert(1)/script结果没有显示查看源码发现输入符号明显发现做了过滤但是没有完全过滤那就直接闭合value参数执行XSS语句输入scriptalert(1)/script即可第三关输入“scriptalert(1)/script”源代码显示采用第二关方法是可行的但是彻底过滤了那就不采用script转为使用javascript的onmouseover属性输入 οnmοuseοveralert(1)因为源代码使用了htmlspecialchars函数过滤输入把预定义的字符转换为 HTML 实体。第四关输入“scriptalert(1)/script”显示发现变为空格但可以闭合value值在输入 οnmοuseοveralert(1)即可第五关输入scriptalert(1)/script代码显示则script过滤为scr_ipt输入 οnmοuseοveralert(1)代码显示则onmouseover也被过滤那就采用闭合超链接输入a hrefjavascript:alert(1),然后点击超链接即可第六关输入scriptalert(1)/script代码显示则script过滤为scr_ipt输入 οnmοuseοveralert(1)代码显示则onmouseover也被过滤那就采用闭合超链接输入a hrefjavascript:alert(1)代码显示发现超链接长度不够爆破那就采用闭合大小写混用方式看过滤是否严格输入scRiptalert(1)/scRipt即可第七关输入“scriptalert(1)/script”代码显示则script完全过滤为空输入scRiptalert(1)/scRipt代码显示则大小写混用也被过滤那就采用闭合复写看是否过滤script输入scscriptriptalert(1)/scscriptript即可第八关发现超链接点击进去看到输入的值即为herf值考虑让连接中包含javascript的伪协议来运行alert(1)进行弹窗达成xss攻击则输入javascript:alert(1)再点击超链接显示script再次严格过滤那就考虑把语句改为unicode编码看是否能绕过输入ascii码转unicode语句即可第九关也是包含超链接那就直接输入javascript:alert(1)显示被转义了在采用上轮输入发现也被转义默认输入也被转义那就看直接的http协议是否能访问输入http://www.baidu.com发现可以那就先将上轮输入转义再在后面注释掉http协议即可第十关在url的keyword后输入1再看源码发现隐藏表单那就将隐藏表单的type改为text让我们能看到回显在keyword后输入123t_linktypetextt_historytypetextt_sorttypetext,多了个输入框且源码变为说明仅接受t_sort的值那就在t_sort文本框输入t_sorttypetext οnmοuseοveralert(1)即可第十一关在url的keyword后输入123再看源码发现隐藏表单那就将隐藏表单的type改为text让我们能看到回显在keyword后输入123t_linktypetextt_historytypetextt_sorttypetextt_reftypetext,发现失败因为双引号被过滤了但是t_ref参数这个参数有点像http的请求头的refer值。隐藏表单确实有值那就跟之前一样闭合打开hackbar点击load url再勾选referer将referer:后内容改为typetext οnmοuseοveralert(1)点击执行后点击输入框即可第十二关前车之鉴直接看源码发现这个Ua跟请求头里的user_agent一样那么就用之前的方法在hackbar上修改useragent的值typetext οnmοuseοveralert(1)点击执行点击输入框即可第十三关前车之鉴查看源码发现有个cook类似于请求头的cookie那就用之前发放在hackbar上修改cookie的值usertypetext οnmοuseοveralert(1)点击执行点击输入框第十四关页面引用了exif.js读取图的元数据包括注释且没有过滤因此在图的注释/描述字段上传带有恶意代码的scriptalert(1)/script再将该图上传即可第十五关稍作尝试发现本身具有HTML实体编码把实体转义了直接构造无法执行脚本F12发现有个ngInclude相当于前端的include把返回页面通过innerHTML方法嵌入html页面加载内部的html时会自动执行其中语句外部不会执行其中语句但不会执行script标签内容因此考虑在上传本地页面中添加恶意语句payload可以构造为事件报错监听?srclevel1.php?nameimg src1 onerroralert(1)或者用户交互事件监听?srclevel1.php?namea hrefXXXX onmouseoveralert(1)把鼠标移到这里/a或者点击超链接?srclevel1.php?namea hrefjavascript:alert(1)第十六关F12查看源代码发现test是插入到center标签中没必要闭合测试关键字,输入scriptalert(1)/script输入a hrefXXX οnmοuseοveralert(1)发现script和空格都被实体化了故只能采用用户交互时间监听不准用空格就用回车%0Apayload为a%0Aonmouseoveralert(1)将鼠标移动到这里/a或者a%0Aonmouseoveralert(1)用户在滑动过程中必定会触碰更隐蔽第十七关F12查看源代码embed标签定义一个区域可以放图片、视频、音频等内容但是当打不开文件时会存在错误区域可以绑定各种事件尝试各种标签发现会对字符转义为html实体导致无法执行其中语句只能采用事件监听但是注意embed标签不支持onerror事件故构造payload%20onmouseoveralert(1)本关需要使用chrome浏览器firefox不支持embed标签第十八关基本同第十七关只是将空格转移为了html实体导致无法执行后续语句故构造payload%0aonmouseoveralert(1)第十九关和第二十关采用flash触发的xss漏洞但目前已经全面停用暂且难以复现后面两关