XSS中DOM型注入技巧
练习
练习网站: https://xss.pwnfunction.com/
Ma Spaghet!
题目总体要求：它说要弹出1337，不能有用户的交互，其实就是不能让用户点击触发，比如a标签，让它自动触发
分析：有个url的类进行get的传参，有参数就接受，没参数就是 Somebody，再放到innerHTML里面，，这里问题就是传递的参数直接放到html标签里面去了，就跟反射型一样，对用户传递的参数没过滤好直接传进去了
看看innerHTML标签
官网地址: https://developer.mozilla.org/zh-CN/docs/Web/API/Element/innerHTML
script标签被禁用了，但是可以换其他的，比如img标签，前面是是一个不存在的图片路径，找不到1的图片路径，就触发onerror
?somebody=<img src=1 onerror="alert(1337)">
防御的话可以换成innerTEXT，它会自动把 < 进行实体编码，这样就不会进行标签开始状态，不会被转移，只当作文本
Jefff
setTimeout定时器，执行一次，还有个定时器setInto循环执行
这里innerText就不用看了，看看eval这里能执行不，先进行闭合",再执行1337再闭合"
?jeff=aaa";alert(1337);"
这样就是分别执行，会显示aaa
还有就是可以js中的特殊连接符-
?jeff=aaa"-alert(1337);"
但是这里是将所以的东西当成一个执行
Ugandan Knuckles
这里看到input想到单引号闭合实现onclick，但是这里是点击才行，那就是在input里跟用户不交互实现的，那就是onfocus，获取焦点，input本身就有焦点，但是触发的时候还是需要用户去点才能触发，那就还有个autofocus自动对焦
这就是焦点
?wey=aaa" onfocus=alert(1337) autofocus=";
Ricardo Milos
这里看到action，有个action的伪协议事件，而这里是两秒后自动提交
?ricardo=javascript:alert(1337)
Ah That's Hawt
这里过滤了一下东西，这里还是用的innerHTML，但是这里过滤了括号，那函数触发不了了
那加上%28 %29呢
这里用%28 %29也被编码了，括号没有了，那加上25呢
还是没有解析，这里是onerro是在js的语法里面，解析不了urlcode，之前那个是因为在img标签里面，那我们这里加locatiion试试
?markassbrownlee=<img src=1 onerror=location="javascript:alert%25281337%2529">
Ligma
这里字母数字没有了，那就考虑用编码的方式绕过
编码网站: https://jsfuck.com/
比如这里编码之后还是需要进行urlcode编码，因为有符号，再用burpsuit或者其他的软件urlencode就行了
Mafia
这里还限制了长度，alert函数，那可以换换其他的，比如confirm
那现在换换其他的，可以试试构造函数也就是匿名函数也就是Function，而function是普通函数
那就定义一个函数，在例子中是赋了一个变量，也可以不赋，直接执行就行Function()()，执行前面的()
?mafia=Function(/ALERT(1337)/.source.toLowerCase())()
还有就是parseInt方法，利用进制数返回，进制数是2-36，也就是0-9 + 26个英文字母 =36
parseInt方法: https://developer.mozilla.org/zh-CN/docs/Web/JavaScript/Reference/Global_Objects/parseInt
还有个跟parseInt相反的方法，将进制转成字符串
toString方法: https://developer.mozilla.org/zh-CN/docs/Web/JavaScript/Reference/Global_Objects/Object/toString
那将alert进行parseInt的转换
t是最大的在20
30进制？ 0-9 + 20 = 30
?mafia=eval(8680439..toString(30))(1377)
location.hash方法
eval(location.hash.slice())
location.hash将#后面的值取出来，再用slice截取函数截取后面#的内容
?mafia=eval(location.hash.slice(1))#alert(1337)
Ok, Boomer
这里用了DOMPurify框架，那就往下setTimeout()方法试试
setTimeout方法: https://developer.mozilla.org/zh-CN/docs/Web/API/setTimeout
eval() 函数会将传入的字符串当做 JavaScript 代码进行执行
将想要的操作放在字符串里
但是要看看框架的东西
DOMPurify框架白名单: https://github.com/cure53/DOMPurify/blob/main/src/regexp.js
javascript在框架里面,试试白名单里面的
?boomer=<a id=ok href="cid:alert(1337)">
ok是为了走进函数里面
