Web應用程序?qū)τ脩糨斎氲臄?shù)據(jù)未進行嚴格過濾或轉(zhuǎn)義導致攻擊者能將惡意腳本注入到網(wǎng)頁中并被瀏覽器執(zhí)行。常用手段若沒有任何過濾可以采取scriptalert(1)/script部分可能需要js符號閉合則采取scriptalert(1)/script會過濾script但未存在大小寫過濾則可采取Scriptalert(1)/Script會有大小寫過濾且會過濾script未有重寫法過濾則可采取Scrscriptiptalert(1)/scrscriptipt若過濾了實體轉(zhuǎn)義的空格則可用回車代替a%0Aherfjavascript:alert(1)若存在html實體轉(zhuǎn)義則可采取事件監(jiān)聽常用事件監(jiān)聽方法錯誤觸發(fā)img srcx onerroralert(1)鏈接點擊a herfjavascript:alert(1)鼠標移動onmouseoveralert(1)“第一關(guān)第一步觀察環(huán)境urlhttp://xss/level1.php?nametest頁面顯示第二步查看源碼按F12第三步構(gòu)造payloadscriptalert(1)/script即可驗證是否含有xss漏洞第二關(guān)第一步觀察環(huán)境urlhttp://127.0.0.1/xss-labs-master/level2.php?keywordtest頁面顯示輸入scriptalert(1)/script結(jié)果沒有顯示查看源碼發(fā)現(xiàn)輸入符號明顯發(fā)現(xiàn)做了過濾但是沒有完全過濾那就直接閉合value參數(shù)執(zhí)行XSS語句輸入scriptalert(1)/script即可第三關(guān)輸入“scriptalert(1)/script”源代碼顯示采用第二關(guān)方法是可行的但是徹底過濾了那就不采用script轉(zhuǎn)為使用javascript的onmouseover屬性輸入 οnmοuseοveralert(1)因為源代碼使用了htmlspecialchars函數(shù)過濾輸入把預定義的字符轉(zhuǎn)換為 HTML 實體。第四關(guān)輸入“scriptalert(1)/script”顯示發(fā)現(xiàn)變?yōu)榭崭竦梢蚤]合value值在輸入 οnmοuseοveralert(1)即可第五關(guān)輸入scriptalert(1)/script代碼顯示則script過濾為scr_ipt輸入 οnmοuseοveralert(1)代碼顯示則onmouseover也被過濾那就采用閉合超鏈接輸入a hrefjavascript:alert(1),然后點擊超鏈接即可第六關(guān)輸入scriptalert(1)/script代碼顯示則script過濾為scr_ipt輸入 οnmοuseοveralert(1)代碼顯示則onmouseover也被過濾那就采用閉合超鏈接輸入a hrefjavascript:alert(1)代碼顯示發(fā)現(xiàn)超鏈接長度不夠爆破那就采用閉合大小寫混用方式看過濾是否嚴格輸入scRiptalert(1)/scRipt即可第七關(guān)輸入“scriptalert(1)/script”代碼顯示則script完全過濾為空輸入scRiptalert(1)/scRipt代碼顯示則大小寫混用也被過濾那就采用閉合復寫看是否過濾script輸入scscriptriptalert(1)/scscriptript即可第八關(guān)發(fā)現(xiàn)超鏈接點擊進去看到輸入的值即為herf值考慮讓連接中包含javascript的偽協(xié)議來運行alert(1)進行彈窗達成xss攻擊則輸入javascript:alert(1)再點擊超鏈接顯示script再次嚴格過濾那就考慮把語句改為unicode編碼看是否能繞過輸入ascii碼轉(zhuǎn)unicode語句即可第九關(guān)也是包含超鏈接那就直接輸入javascript:alert(1)顯示被轉(zhuǎn)義了在采用上輪輸入發(fā)現(xiàn)也被轉(zhuǎn)義默認輸入也被轉(zhuǎn)義那就看直接的http協(xié)議是否能訪問輸入http://www.baidu.com發(fā)現(xiàn)可以那就先將上輪輸入轉(zhuǎn)義再在后面注釋掉http協(xié)議即可第十關(guān)在url的keyword后輸入1再看源碼發(fā)現(xiàn)隱藏表單那就將隱藏表單的type改為text讓我們能看到回顯在keyword后輸入123t_linktypetextt_historytypetextt_sorttypetext,多了個輸入框且源碼變?yōu)檎f明僅接受t_sort的值那就在t_sort文本框輸入t_sorttypetext οnmοuseοveralert(1)即可第十一關(guān)在url的keyword后輸入123再看源碼發(fā)現(xiàn)隱藏表單那就將隱藏表單的type改為text讓我們能看到回顯在keyword后輸入123t_linktypetextt_historytypetextt_sorttypetextt_reftypetext,發(fā)現(xiàn)失敗因為雙引號被過濾了但是t_ref參數(shù)這個參數(shù)有點像http的請求頭的refer值。隱藏表單確實有值那就跟之前一樣閉合打開hackbar點擊load url再勾選referer將referer:后內(nèi)容改為typetext οnmοuseοveralert(1)點擊執(zhí)行后點擊輸入框即可第十二關(guān)前車之鑒直接看源碼發(fā)現(xiàn)這個Ua跟請求頭里的user_agent一樣那么就用之前的方法在hackbar上修改useragent的值typetext οnmοuseοveralert(1)點擊執(zhí)行點擊輸入框即可第十三關(guān)前車之鑒查看源碼發(fā)現(xiàn)有個cook類似于請求頭的cookie那就用之前發(fā)放在hackbar上修改cookie的值usertypetext οnmοuseοveralert(1)點擊執(zhí)行點擊輸入框第十四關(guān)頁面引用了exif.js讀取圖的元數(shù)據(jù)包括注釋且沒有過濾因此在圖的注釋/描述字段上傳帶有惡意代碼的scriptalert(1)/script再將該圖上傳即可第十五關(guān)稍作嘗試發(fā)現(xiàn)本身具有HTML實體編碼把實體轉(zhuǎn)義了直接構(gòu)造無法執(zhí)行腳本F12發(fā)現(xiàn)有個ngInclude相當于前端的include把返回頁面通過innerHTML方法嵌入html頁面加載內(nèi)部的html時會自動執(zhí)行其中語句外部不會執(zhí)行其中語句但不會執(zhí)行script標簽內(nèi)容因此考慮在上傳本地頁面中添加惡意語句payload可以構(gòu)造為事件報錯監(jiān)聽?srclevel1.php?nameimg src1 onerroralert(1)或者用戶交互事件監(jiān)聽?srclevel1.php?namea hrefXXXX onmouseoveralert(1)把鼠標移到這里/a或者點擊超鏈接?srclevel1.php?namea hrefjavascript:alert(1)第十六關(guān)F12查看源代碼發(fā)現(xiàn)test是插入到center標簽中沒必要閉合測試關(guān)鍵字,輸入scriptalert(1)/script輸入a hrefXXX οnmοuseοveralert(1)發(fā)現(xiàn)script和空格都被實體化了故只能采用用戶交互時間監(jiān)聽不準用空格就用回車%0Apayload為a%0Aonmouseoveralert(1)將鼠標移動到這里/a或者a%0Aonmouseoveralert(1)用戶在滑動過程中必定會觸碰更隱蔽第十七關(guān)F12查看源代碼embed標簽定義一個區(qū)域可以放圖片、視頻、音頻等內(nèi)容但是當打不開文件時會存在錯誤區(qū)域可以綁定各種事件嘗試各種標簽發(fā)現(xiàn)會對字符轉(zhuǎn)義為html實體導致無法執(zhí)行其中語句只能采用事件監(jiān)聽但是注意embed標簽不支持onerror事件故構(gòu)造payload%20onmouseoveralert(1)本關(guān)需要使用chrome瀏覽器firefox不支持embed標簽第十八關(guān)基本同第十七關(guān)只是將空格轉(zhuǎn)移為了html實體導致無法執(zhí)行后續(xù)語句故構(gòu)造payload%0aonmouseoveralert(1)第十九關(guān)和第二十關(guān)采用flash觸發(fā)的xss漏洞但目前已經(jīng)全面停用暫且難以復現(xiàn)后面兩關(guān)