xss靶场详解
目录
1.第一题
2.第二题
3.第三题
4.第四题
5.第五题
6.第六题
7.第七题
8.第八题
1.第一题
在源码script标签里边，innerhtml是用于访问或修改 HTML 元素内的 HTML 内容的，这里是访问spaghet这个元素的，并通过括号里面的东西搜索当前页面有没有somebody这个参数，有的话使用get传参的方式给somebody传一个值，然后+Toucha Ma Spaghet!，如果没有传值，默认传Somebody+Toucha Ma Spaghet!,然后赋值给spaghet,放在h2标签中，显示出来。
因为他利用innerHTML直接更新somebody参数，所以我们可以利用
?somebody=<svg%20οnlοad=alert(1337)>在svg加载完成以后执行我们的xss代码
2.第二题
在这里面我们get传入jeff的值给jeff,然后ma是空，eval执行ma=ma name 传的值，然后settimeout延时1秒把ma赋值给manme.
因为这次使用的是innertext，他会把我们的标签整个识别成一个字符串输出就不能用一开始的
我们可以把eval进行闭合
?jeff=aaa";alert(1337);"
带入就会是这样，前后引号都闭合了，eval就执行alert
`ma = "Ma name aaa";alert(1337);"" `
3.第三题
replace是用来移除wey 中的所有 < 和 > 字符。
/[<>]/g是一个正则表达式，匹配<或>字符。g是一个全局标志，表示将会在整个字符串中查找所有匹配的字符，而不仅仅是找到第一个匹配后就停止。
这里因为过滤了<>，我们不能用先前的方式了，所以我们使用onclick进行聚焦,只要用户点击输入框就会触发
同样的还有onfocus也是需要用户进行点击
为了不让用户交互也可以完成，我们可以用autofocus和onfocus一起，autofocus把焦点放在输入框上，onfocus把焦点事件进行触发，单独使用autofocus不会触发焦点事件，并且autofocus不包含代码。
所以要用?wey=aaa"%20οnfοcus="alert(1)"%20autofocus="
4.第四题
因为这里面有用action进行提交，并且没有过滤，在提交的时候可以触发我们传入的xss代码，同样在<a>标签里面我们也可以把href写入<a href="javascript:alert('Hello!')">，这样用户点击链接就会触发
?ricardo=Javascript:alert(1337)
5.第五题
因为括号等东西被过滤了，我们就要考虑绕过，尝试用编码绕过
把(1337)先用html实体编码再用url进行编码
成功绕过
?markassbrownlee=<svg%20οnlοad="alert%26%23x0028%3B%26%23x0031%3B%26%23x0033%3B%26%23x0033%3B%26%23x0037%3B%26%23x0029%3B">
6.第六题
这里过滤掉了字母数字，我们就只能借助一些别的工具和别的编码
https://jsfuck.com/
这个网站会把我们的输入编码为[] ! +组合
但是+好会被解析为空格，所以还要进行url编码
7.第七题
这里可以直接用
?mafia=confirm(1337)
但是真正的考点不是这个
我们可以通过
Function(/ALERT(1337)/.source.toLowerCase())()
绕过
/ALERT(1337)/ 是一个正则表达式，用于匹配字符串 "ALERT(1337)"。
.source 属性返回正则表达式的源码部分，不包括前后的斜杠，即 "ALERT(1337)"。
toLowerCase() 方法将字符串中的所有字母转换为小写。
因此，/ALERT(1337)/.source.toLowerCase() 返回 alert(1337)
Function 是一个构造函数，用于动态创建一个新的函数。
Function("alert(1337)") 会创建一个函数
最后，() 用于立即调用刚刚创建的函数。
8.第八题
这里面有DOMPurify框架，很难绕过
但是setTimeout函数内的ok参数没有任何ok定义，所以我们可以使用DOM破坏
由于前端的一些特性，当boomer=<a id=ok href=tel:alert(1337)>时，settimeout(ok,2000)会获取到<a>标签的href内容，并执行，所以我们可以利用这个来进行绕过，但是如果是JavaScript:alert(1)的话，会被DOMPurify框架进行过滤，我们可以在他的文件找到白名单，然后利用白名单执行我们的alert(1337)
