一些有趣的XSS注入GAME
目录
1.ma,Spaghet
2.Jefff
3.Ugandan Knuckles
4.Ricardo Milos
5. Ligma
6.Ah That's Hawt
7.Msfia
8.Ok,Boomer
1.ma,Spaghet
innerHTML :设置 innerHTML 的值可以让你轻松地将当前元素的内容替换为新的内容。
HTML 5 中指定不执行由 innerHTML 插入的 <script> 标签。
payload: ?somebody=<img%20src=1%20οnerrοr="alert(1337)"%20>
2.Jefff
innerTEXT:在一个节点上设置 innerText 会移除该节点的所有子节点，并用给定的字符串值的单一文本节点代替它们。
简单说就是标签不起作用，直接当成字符串了
setTimeout:全局的 setTimeout() 方法设置一个定时器，一旦定时器到期，就会执行一个函数或指定的代码片段。只能执行一次
所以：这里只能从eval这里破局！
首先通过引号闭合前面的内容，让我们的执行的命令逃逸出来！然后在闭合后面的引号
3.Ugandan Knuckles
可以看见这里被<>被过滤了
我们可以想到onclick这个属性
但是这样写的话有点不满足要求，因为它与用户交互了
input使用这样一个属性 onfocus ,autofocus
这里autofucus默认是yes.
4.Ricardo Milos
这里action为注入点
5. Ligma
这里过滤了英文和数字
这样感觉有点无从下手的感觉，这里只能使用编码了，看下源码！
jsfuck编码
由于URL不识别有些符号，需要对它进行URL编码
6.Ah That's Hawt
分析代码发现（）不能使用了
试试能不能通过编码的方式来代替（）
但是简单的使用%28 %29并不起作用
因为当浏览器将数据传到后端以后，因为转为（）了，还是会被过滤
将%编码试试，%25，这样到后端以后就会变成%28 %29，如果js能够解码的话，最后传到页面的时候在解码%28，%29为（），这样不就实现了嘛
但是，js对符号并不进行解码，只对字符串和标识符进行编码。
那能不能将这一串变为字符串，然后对其解码呢？
当然是可以的，location，可以将其后面的内容当作字符串
7.Msfia
这里当alert,confirm prompt都不能使用
这里有三个方法：
方法1：匿名函数
Function(/ALERT/.source.toLowerCase())()
Function()() 第二个括号的作用，为了执行第一个括号里面的内容
这里得/ /代表之前得是函数，固定格式
方法2：
parseInt 和toString两个搭档
parseInt('alert',30) 得到一个数n，n..toString(30)就变回来了
注意：这里只能30以上36以下，因为30进制才包含t，parseInt最大只能写36
不过这里需要的是：toString转换之后是字符串
需要使用alert()将其当成js代码执行
方法3：
location.hash.slice(1)#alert(1337)
location.hash可以获取#后面的值,#后面的值不会被认为传递的参数
但是得到的是一个字符串，我们需要执行它
最终的payload:?mafia=eval(location.hash.slice(1))#alert(1337)
8.Ok,Boomer
由于我们的输入被过滤框架过滤了，所以，这里基本上没什么希望了
然后我们将目光放在了setTimeOut这个函数这里
发现它2s后执行了一个ok。感觉没啥用
那如果我们能够将这个OK换成我们注入的代码，那是不是就实现注入了呢？
这里需要用到一个DOM破坏的知识
举个栗子：
通过这种方式我们就可以拿到这个标签
通过这种方式我们可以执行标签里面的内容，但是发现它返回的是HTMLFormElent这个玩意
我们写的不是dadsa吗，怎么输出个这个
那是因为：所以元素的顶点就是object,object得toString方法最终得到得是一个元素,如果没有自己的toString方法的话，将会继承object的，返回类似这样的一个值
那怎么得到一个有自己toString方法的元素呢？
Object.getOwnPropertyNames(window) .filter(p => p.match(/Element$/)) .map(p => window[p]) .filter(p => p && p.prototype && p.prototype.toString !== Object.prototype.toString)
我们可以得到两种标签对象：HTMLAreaElement ()& HTMLAnchorElement ()
HTMLAnchorElement () 就是a标签，它会将href属性后面内容当字符串输出
利用这点，我们可以实现恶意代码注入
全局的 setTimeout() 方法设置一个定时器，一旦定时器到期，就会执行一个函数或指定的代码片段。setTimeout()可以允许将函数当作字符串执行，a 标签得href可以自动替换成字符串
OK，答案一下就出来了
我们可以<a id=ok href="javascript:alert(1337)">
但是，发现没反应。那是因为javascript被这个框架过滤了，黑名单
换一个它白名单里面的就行了
但是！经过测试，并不是所有的都行
tel ，cid callto 这三个都行
总结：a标签可以让href属性后面内容当作字符串，而不是返回object对象
当我们执行标签代码时，标签会调用toString方法，将内容转换为字符串
我发现一个有意思的点：
href后面转化为我们想要的字符串了
这样看起来没什么问题
这样又有问题了
又正常了
这说明setTimeout执行的是alert函数，而前面的javascript:应该是每传进来，不然就语法错误。
我理解的是javascript：将后面的alert字符串替换成alert js代码，类似于eval的作用，传进setTimeout的时候就不是字符串，而是js代码
但是setTimeout()传进去又变成字符串了，不过不影响，它能将字符串当函数执行
是不是糊涂了
如果我们不经过前面的javascript:将其变成字符串，那么传进去后时候就会带两个引号，那么就算setTimeout可以将字符串当作代码执行，但是，里面还是一层字符串，执行不了。