ITPub博客

首页 > IT基础架构 > 服务器/存储 > 一次XSS测试经历

一次XSS测试经历

原创 服务器/存储 作者:专注的阿熊 时间:2019-09-11 11:33:05 0 删除 编辑

记一次input标签中的xss测试,测试步骤如下~

逃出闭合符号

如下所示,可以闭合双引号,但是闭合标签的时候会被实体编码掉,该显示位位于input中,所以需要在input标签中形成xss


寻找能在input标签中形成xss的payload
    <input >

    输入以上payload后发现均会被过滤掉,结果如下图所示:

    FUZZ

    1.双写

    进行双写绕过的时候,发现直接把

    ”>


    2.FUZZ特殊符号

    在特殊符号中不断的测试,发现“as+会被直接清除掉只剩下一个“a”,但是as+aonmouseover=a”,则保留下了“asa”,直接把前后的内容拼接上了。


    3.再次双写

    发现再次双写还是不行,又被清除了;

    这时候猜想有两种可能:

    1)循环过滤:直接采用循环的方式把内容过滤到没有危险字符了才会进入下一个处理流程

    2)多次过滤: 非循环过滤,只是人工写的进行了2次或者2次以上的过滤操作

    4.三次拼写

    发现输入三次拼写的时候,成功的绕过了他的过滤,得到了我们想要的输出:“>

    5.写出完整的payload
      "o+aon+aonmouseover=mouseover=nmouseover="alert`1`www.gendan5.com

      一开始我输入的alert(1),但是发现会被过滤掉,所以选择了alert`1`


      6.更新触发方式

      这样的payload需要人为的去点击才能触发,所以后续更新了一下触发方式,使用““autofocus“可以自动触发聚焦,完成xss攻击

        "autofocus+onf+aonf+ aonfocus=ocus=ocus="alert`1`" a="


        修复建议

            1.采用循环过滤的方式过滤危险方法名

            2.或者过滤双引号



        来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/69946337/viewspace-2656716/,如需转载,请注明出处,否则将追究法律责任。

        请登录后发表评论 登录
        全部评论

        注册时间:2019-08-23

        • 博文量
          20
        • 访问量
          8018