复现urlcode编码绕过xss限制两个demo

最新推荐文章于 2023-03-01 15:14:06 发布

原创

最新推荐文章于 2023-03-01 15:14:06 发布 · 402 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#xss #安全 #web安全

本文详细介绍了如何通过URL编码绕过XSS过滤限制，分别通过两个DEMO展示了如何构造URL，利用onerror事件和location属性，成功触发JavaScript执行，从而实现XSS攻击。内容涉及编码规则、过滤机制分析以及编码技巧的应用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

GET传递的参数直接输出在src中会存在反射型xss漏洞，本次复现的目的是利用url编码规则构造url绕过xss限制。

UrlEncode编码规则：将需要转码的字符的ASCII码值转为16进制，然后从右到左，取4位(不足4位直接处理)，每2位做一位，前面加上%，编码成%XY格式。

通过分析源代码可知屏幕上打印图片路径来自于GET传递的参数，同时会将接收到参数中的()$<>'等字符均会被替换为空格。<>被过滤，闭合标签写入新标签不可行；&被过滤，使用&#的HTML实体编码不可行，因此使用url编码。

demo.php源代码

<?php
 
header('X-XSS-Protection: 0');
 
$xss = isset($_GET['xss'])? $_GET['xss'] : '';
 
$xss = str_replace(array("(",")","&","\\","<",">","'"), '', $xss);
 
echo "<img src=\"{$xss}\">";
 
?>

构造url:闭合双引号，逃逸出限制，利用GET传递一个不存在的参数和onerror函数来触发弹窗
127.0.0.1/demo.php?xss=b" οnerrοr="alert(1)
使用url编码替换()
127.0.0.1/demo.php?xss=b" οnerrοr="alert%281%29
但浏览器会在提交数据时先进行一次转码，所以进入函数时%28%29又会被转换为()。我们需要让转码后的数据进入函数时保持在%28%29的状态，而%的url编码是%25，因此我们可以这样构建127.0.0.1/demo.php