XSS DOM漏洞复现与DOM 破坏

热爱最重要2024-08-18 23:00

第一关

此关过滤了字母数字，所以只能用编码去解决，去JSFUCK上面把alert(1337)编码，然后再编码成url编码格式放入即可

第二关

这一关过滤了符号和关键字，关键字还过滤了confirm和prompt

第一种解法用匿名函数

javascript 复制代码

?mafia=Function(/ALERT(1337)/.source.toLowerCase())()

第二种parseint 解析一个字符串并返回指定基数的十进制整数，radic是2-36之间的整数，表示被解析字符串的基数

parseint()先把alert转成用30进制为8680439，然后再用toString转化回来

javascript 复制代码

?mafia=eval(8680439..toString(30))(1337)

第三种用location.hash.slice(1)#alert(1337) 前面表示取第一个字符

javascript 复制代码

?mafia=eval(location.hash.slice(1))#alert(1337)

箭头指的地方则是前端过滤框架，无法绕过，所以入手点应该在时间函数这里

因为我们可以直接用标签的id和name取出标签

我们现在需要构造一个id为ok的a标签,a 标签有tostring方法，弹窗会把href里面的内容自动转码当成一个字符串打印出来

setTimeout时间函数是可以把我们想要操作的函数放进字符串去执行的

获取到ok,会自动用tostring方法，获取href属性

但是没有绕过过滤框架，这个javascript在黑名单里面，去白名单找另外的

然后换成cid 即可，成功执行

构造一个DOM破坏环境

指针的原理，删完一个，指针会后移动，所以删除1，3，5的位置，2，4位置保留，那么把payload写到2，4，位置即可

javascript 复制代码

#<img abc=1 src=1 aaa=2 onerror=alert(1)>

但是可以修复这个

绕过：

CSS动画，下面的el删除的是后面的input的内容，已经通过它们占了。在执行动画前会执行alert

XSS DOM漏洞复现 与DOM 破坏