xsschenge挑战

没有过滤的xss(c1)。探测xss，首先构造一个独一无二且无害的字符串提交到页面，按f12查看是否在页面显示，然后尝试构造xsspayload；闭合文本标签：</b><script>xss;</script>；

标签属性中的xss(c2).将属性的用户输入的右边给闭合了，后边接上xsspayload,此时属于两个js语句。属性中的xss闭合引入事件 "onmouseover=alert(document.cookie)>，相当于还在那一句中

选择列表里的xss(c3)。html select标签，可以创建单选和多选菜单,<select>的<option>用于定义列表的可选项；表单，用户搜集不同类型的用户输入；burp可以搞xss；闭合选项；

隐藏提交参数的xss(c4)。隐藏域用来发送不可见元素，对于访问者而言隐藏域是看不见的，当表单被提交时，隐藏的值被发送，即type=hidden为隐藏域。闭合它。html的svg，SVG 指可伸缩矢量图形,SVG 使用 XML 格式定义图形,SVG 文件可通过以下标签嵌入 HTML 文档：<embed>、<object> 或者 <iframe>。使用payload"><svg onload=alert(xxx)>%0a，可用来突破部分waf

限制输入长度的xss(c5)。<input type="text">，即是文本输入,可控制字符长度，将其用f12修改

html事件中的xss(c6)。html事件，浏览器内置事件处理器，他们监视特定条件或用户行为，如鼠标点击。通过客户端的js，将某些事件处理器作为属性添加给特点给的标签，并在事件发生时执行js。通过HTML事件来xss "onmouseover="alert(xxxx)或者闭合input标签，但本题将<>变形了，不能用

空格分隔属性的xss(c7)。输入的东西空格后的会进入标签和值，只是值自动加上了引号，所以payload空格后不加引号 111" onmouseover=alert(xxxx)

js伪协议的xss(c8)。js伪协议，将javascript代码添加到客户端的方法是把它放置在伪协议说明符javascript:后的URL中。这个特殊的协议类型声明了URL的主体是任意的javascript代码，它由javascript的解释器运行。如果javascript:URL中的javascript代码含有多个语句，必须使用分号将这些语句分隔开。javascript:var now = new Date(); "<h1>The time is:</h1>" + now;javascript URL还可以含有只执行动作，但不返回值的javascript语句。例如：javascript:alert("hello world!")；a链接标签属性herf，跳到herf指定的玩意

绕过过滤domain为空的xss(c10)。双写绕过或者编码绕过

"><script>eval(atob('YWxlcnQoZG9jdW1lbnQuZG9tYWluKQ=='));</script>其中eval执行函数，单引号内容是alert（xxx）

绕过替换script和onsss的xss(c11)。利用伪协议绕过，但是javascript还是被变形。尝试用tab制表(%09)，换行(%0a,%0d,%0a%0d)等符号都不行。百度一大圈，09也就是tab制表符，使用在单个标签之内，会被浏览器分割，而在跨标签的时候（也就是闭合前面原有标签，使用在构造者构造的新标签的时候）不会被正确去除。但%0a,%0d,%09，它们实体化十进制编码和十六进制编码都不会受影响。构造payload为 "><a 1href="javascri&#09pt:alert(document.domain)">test</a>；get新玩法:所以要将script中的某个字符转为unicode编码

利用ie特性绕过xss(c12)。把\x00-\x20的字符与及<,>,",'都替换为空，阿西吧。最后百度看到sherlock17 大佬的wp，居然在浏览器百家争鸣的年代，ie的特性，两个反引号``可以闭合一个左边双引号。 payload构造：两反引号onmouseover=alert(document.domain)

利用css特性绕过xss过滤(c13)。用html事件触发xss，发现后台应该做了转义直接成了字符串。那么闭合input标签，也转成了字符串，太菜了。

css特性：background:url("javasecript:alert(xxx);") 设置背景颜色。设置background:url，利用js伪协议，目前只有ie还支持这样的写法

然后wooyun的payload是xss:expression(alert(document.domain)); expression在ie5~7可以用，到我测试时，ie已经是ie11，啧，再说吧

 

阿西吧，暂时到13，14题吧，不完了