self-xss实战 - 企鹅案例
时间:2016-11-28 14:32 来源:转载 作者:sqler 点击:次
| 0x01 前言 这不属于连载！早上在CTF群跟一小伙子吵起来了，原因是问我XSS的问题，我虽然回答了，虽然我语气欠佳，但是我不想道歉（就是这么傲娇）。午睡到一半起来，想了一下还是发一篇XSS的文章，这里拿一个腾讯的案例来测试。TSRC的人不要打我。 0x02 正文 这里我们测试的站点是游戏人生。
这个域名 首先，我们看一下
看一下前台页面源码  我一开始想的是这个点，这里虽然调用了我们某Q网名，我们的某Q网名后面被加上一串字母，但是这不是重点 可以看到，我们的网名是被包含在一对<script>标签里面，如下
那么我们是不是可以构造自己的网名？ 此时，我将我的网名构造成
但是在这边调用的时候被过滤了，此时这个点放弃。 我们接着往下看。  可以看到，这下面又有一个点调用了我们的某Q昵称，我想，这是不是能做点什么呢？ 我们在看看对应的页面是什么样子的  可以看到，这里直接在value里包含了我们的昵称，此时，我在游戏人生昵称处输入构造
[AppleScript] 纯文本查看 复制代码
这时，发现突然提交不了了，抓包一下看返回包，直接说不允许访问。 我们这时候能判断，后台对敏感字符做了过滤 那么，我发现，当不输入东西的话，他会默认调用你的某Q昵称（见上图） 那么我们是不是可以在某Q上构造自己的昵称为
改好了以后，我们登录游戏人生  可以看到，我们填写昵称处是不是空了啊？ 我们看看前台源码  此时，我们成功添加进去了  当我们点击这个input标签的时候，触发了onclick事件，成功弹窗 0x03 XSS步骤小结 1.关注页面输出。 2.关注页面输入，并且，哪些输出是我们可控的。 3.细心，多尝试。 0x04 声明 本XSS为self-xss，提交某SRC被拒，所以拿来当案例讲（跟早上CTF群里的那个案例类似。所以这边稍微讲一下。 (责任编辑：蜗蜗侠) |