以下来自XSS练习平台----XSS Challenges <http://xss-quiz.int21h.jp/>

这个练习平台没有像alert(1)to win类似的平台一样会给出关键的源代码,并且会在页面给予反馈。这是一个模仿真实xss挖洞的情景,在XSS
Challenges练习过程中,我们需要用浏览器中的f12中搜索(),找出我们控制的代码所在的位置,然后思考那些个位置哪个或哪几个位置可以被注入我们想要的代码,然后结合上下文进行各种脑洞绕过。

在chorme中做题会被防火墙检测为危险代码,解决方案
<https://blog.csdn.net/feinifi/article/details/79756758>

在chrome中搜索,在f12中的的Element中用Ctrl+Shift+f调出搜索框,可以搜索这个页面用到的所有文本资源的字符串
,也可以在Source中先在左边选中对应的文件夹后,用Ctrl+f调出搜索框搜索当前文件字符串

在firefox的话,我用了firebug,直接选中HTML或CSS或脚本,然后在右上方搜索框搜索即可(选择脚本搜的最全)。

在IE的话,先选择调试程序,然后在右上方搜索框搜索即可。

(暂时知道那么多,还有什么补充的以后再更)

Stage #1

这一道题发现我们写入的内容直接没有任何过滤,嵌套在一个<b>标签里面,我们常规闭合标签新建标签即可。



(发现好像不用闭合<b>标签,直接让<script>标签嵌套在<b>标签里面也可以。)

Stage #2

这一题的注入点是在一个input标签的value属性那里,我们前后闭合input标签然后在中间加上script就好了。



Stage #3

这一道题我们的注入点也是在<b>标签里面,唯一的不同是用于标签构造的<>被转义了,用于匹配掉双引号的双引号也被转义了,所以我们要另外想方法。

我们注意到提交的参数并不只有输入框中的内容,还有country,也就是数据包中的p2



所以抓包,改包,发包,成功。



查找,我们可以看到我们注入的标签无任何过滤插入到了<b>标签上。

Stage #?(和XSS challengs无关)


做着做着突然想到一个奇怪的点,XSS漏洞可以分为三类:存储型,反射型,DOM型;我们在弹窗这类网站上面做的题可以看做是:通过提交一系列字符串,使页面弹窗。那么我们不由得想到,这些题目属于什么类型的XSS呢?

存储型相当于留言板,hacker在留言板写入代码,提交的字符串上传到了服务器,当别人访问这个留言板时就会触发代码;

反射型是在无害url的基础上构造特殊的url,在url上给注入点get特殊的字符串,当别人点击构造的链接时触发恶意代码;

DOM型和反射型几乎一样,只不过url上不是get参数,而是取#即锚后面的内容当做代码。

总的来说,想要利用XSS主要是找到两个方面1.找到可以被控制的参数
2.绕过过滤构造语句,使得注入参数的值被当做代码执行3.使得被害者(这里是我们自己)与服务器交互,执行恶意代码。


我们练习的题目刚好训练了前两点。想弹窗其实很简单,在firebug里可以把任何标签内的内容或标签的属性改成你想要的内容,如:<script>alert(document.domain)</script>,onclick=alert(document.domain)



但这样做的话只是让自己中了XSS,没有办法让被害人与服务器交互(能不能给服务器上传代码?不行!能不能构造get参数的url?也不行!)。XSS
challengs的设计者应该考虑到了这点,若是这样造成的弹窗将不能过关。

Stage #4

这里依然是先抓包,发现有个hackme....



然后我们在网页上搜下hackme,发现在这里



我们构造响应的参数,直接提交,发现直接就过了。



Stage #5

与Stage#2几乎一样,也是value参数,唯一的不同点是在前端限制了输入的长度,我们直接用bp抓包提交就好了。

Stage #6


与Stage#2几乎一样,也是value参数,唯一不同的是过滤了<>,但没有过滤"(可以闭合前面的属性),这样我们就不可以用新的标签了,但我们可以在<input>标签里面加新的属性,如
" onmouseover=alert(document.domain)
name="1类似这样的,onmouseover是把鼠标放在上面就执行的on时间,onclick之类的也是可以的。

Stage #7

这道题也是value出问题,但除了<>,这道题把"也过滤了,本来以为这样就不能把独立的属性分隔出来,但我无意中打的一段竟然成功触发了alert




后来看了别人的WP才学习到了~~并不是转以后的双引号起了分隔作用,而是双引号后面的空格,空格也可以分隔属性(记住要在空格前面随便加点什么,否则bp提包的时候会自动将空格省略)

Stage #8

题目是输入一条url,然后后台把它包在一个<a>标签里,我们需要点击超链接然后弹窗。

我们百度怎么在url中执行js,学到可以构造javascript:alert(document.domain),然后点击超链接,点击过关。

Stage #9

这道题卡住了,弄的我脑壳疼。。最后还是没明白

先在网页输入,发现尽管什么都没有被过滤,但<script>标签仍然没有逃出来??

抓包试试,发现一个参数charset=euc-jp,百度发现euc-jp是日文编码,我想到把它改回utf-8国际编码试试。仍然不行。。。

大佬WP:

1.用可以识别UTF-7的IE浏览器

2.把抓包内容改成p1=1%2bACI- onmouseover=%2bACI-alert(document.domain)%2bADsAIg-
x=%2bACI-&charset=UTF-7


意思是我们提交UTF-7编码的py上去,然后浏览器UTF-7解码出利用py~~(我觉得出题者简直闲的蛋疼,不说现在没有利用utf-7的ie了,哪有什么网页的后台是只能解码utf-7的)

这道题我们只能用firebug的编辑功能过。(每一道题都可以)

Stage #10

这个也是value注入点,直接在网页提交发现,题目丧心病狂把domain过滤掉了。



上网找了下document.domain的等效DOM发现没有,突然想到是不是只匹配了一次,故嵌套

"><script>alert(document.domdomainain)</script>< 成功弹窗。

Stage #11

也是value注入点,在网页中各种提交姿势试一下,发现script前面加个x,on事件全部不能用(题后看hint也证实了我的猜想)



想到除了on事件和script之外还能执行js的是构造a标签在超链中执行js。

构造"><a href=javascript:alert(document)>1</a><
,发现构造的语句中仍然有script,我们把之中的r进行html实体一下



提交之后f12看下:



发现被渲染成r了,成功弹窗。(还可以在script中间插入 , ,空格等不可见字符对script进行分割,让正则匹配不到)


后来想到href后面是url,也试了下url编码%72,发现在f12上查看没有被渲染(因为没有被当做url使用所以不奇怪),点击之后发现%72发生作用时变成了r,但却没有触发弹窗??这里不是很明白,先埋个坑,理解了回来再更。




做这道题又把unicode,utf-8,url编码,html实体等看了一遍,发现它们英文部分有很多相同之处,比如都可以表示为ascii的十、十六进制,只要加不同前缀就好了。

Stage #12


照常尝试,还是value值,过滤了<>和",想用编码能不能绕过(因为过滤了<>",HTML实体是不行的,html实体不能让内容逃出来),试了各种编码实在没办法了,看了大佬WP发现这是一个ie浏览器识别特性,
ie浏览器会把 ` `(笔记本1左边那颗键两次)识别为双引号,从而让我们的内容逃出来(<>没法逃就设置属性),构造payload。



Stage #13

照常转义了<>和",F12发现相比以往的题这道题多了一个style属性,那肯定就是从这里入手了。

百度style XSS,搜到一个知识点叫“行内样式的动态特性”(就是在ie下能在css中执行js代码)



我在ie下试了很久都不能复现,又百度,发现还有一种利用方法  background:url(javascript:alert('xss'));

还是不能复现,只能归结为ie版本太高的问题了。



Stage #14

和Stage
#13几乎一样,不同的是转移了了script和expression,想用&#num;的形式实体一下其中的字母,但发现&号也被转移了mmp,然后试了下/**/应该也是可以的,可惜不能复现。从大佬的WP上有学来集中绕过方法。

(1)能绕WAF的不止html实体,unicode编码也行如e -> \0065 ,\u0065 
 ;\0065xpression(这道题过滤了反斜杠,反斜杠零)

(2)在expression中加反斜杠分隔 ;ex\pression(不行,理由同上)

(3)在expression中加注释符/**/分隔;ex/**/pression  通过

(4)在expression中加反斜杠零分隔; ex\0pression 通过

Stage #15

随便试了下,照常转义<>,",也转义了&,过滤了\让我们不能构造html实体,和unicode编码。~~等等!

\是过滤了,不是转义了阿!我们试试输入两个\,发现只过滤了一个!

那就直接unicode就行了(就是\\003c和\\003e代替<>换成十六进制编码也就是\\x3c,\\x3e也是可以的)



Stage #16


看到又有document.write,试了试上题的利用代码,直接过了......看了下hint,发现是替换了\x,那与上题唯一的区别就是十六进制编码不能用了。ps:还有一种编码格式是八进制编码?payload如下:\\74img
src=x onerror=alert(document.domain)\\76

学到一个知识点叫 HTML和javascript的自解码机制 <https://www.jianshu.com/p/1be50c824379>

Stage #17

题目说了只能在老ie上复现,那我们就直接看大佬WP好了。


类似于sql注入的宽字节注入,用%A7(%几都行,只要符合下面大佬WP中可以用来欺骗的编码)加上双引号的%34?让html自解码机制误认为这是宽字节字符,从而弄掉双引号。

半角片假名使用两个字节来表示:0x8E + 0xA1-0xDF

JIS X 0208字元使用两个字节来表示:0xA1-0xFE + 0xA1-0xFE

JIS X 0212字元使用三个字节来表示:0x8F + 0xA1-0xFE + 0xA1-0xFE

Stage #18

最高位变1?不明所以不写。

Stage #19

没有任何输入点,抓包没发现任何东西....hint 2014年九月24在推特上的DOMXSS?百度没发现任何东西,大佬WP也到这里没了。。。还是太菜,XSS
challengs就先做到这里吧,以后涨知识了再继续做。

友情链接
ioDraw流程图
API参考文档
OK工具箱
云服务器优惠
阿里云优惠券
腾讯云优惠券
华为云优惠券
站点信息
问题反馈
邮箱:ixiaoyang8@qq.com
QQ群:637538335
关注微信