這次得依靠自己完成闖關(guān)了
一
第一個(gè)頁面tmd連個(gè)輸入框都沒有,從哪里x,怎么x? 。。。。。
還好使用過burpsuite,發(fā)現(xiàn)name=test屬于交互式,從這入手
1,<script>,發(fā)現(xiàn)關(guān)鍵字對頁面出現(xiàn)影響,存在xss
直接基本語句<script>alert(/xss/)(/script)
成功彈出窗口???? Victory
二
出來輸入框了,但是貌似你輸如什么就反饋什么絲毫沒有執(zhí)行過的感覺
‘ 輸出 \’?? 、? \輸出\\?? 分析:多半是有了規(guī)則,用編碼替換
burpsuite 的Decoder有轉(zhuǎn)碼功能,查看源碼分析結(jié)構(gòu)輸入部分被放入雙引號(“ ”)
所以補(bǔ)全(”)? %27><script>alert(/fuck/)</script> ?