這次得依靠自己完成闖關(guān)了
一
第一個(gè)頁面tmd連個(gè)輸入框都沒有，從哪里x，怎么x? 。。。。。
還好使用過burpsuite，發(fā)現(xiàn)name=test屬于交互式，從這入手
1，<script>,發(fā)現(xiàn)關(guān)鍵字對頁面出現(xiàn)影響，存在xss
直接基本語句<script>alert(/xss/)(/script)
成功彈出窗口???? Victory
二
出來輸入框了，但是貌似你輸如什么就反饋什么絲毫沒有執(zhí)行過的感覺
‘ 輸出 \’?? 、? \輸出\\?? 分析：多半是有了規(guī)則，用編碼替換
burpsuite 的Decoder有轉(zhuǎn)碼功能，查看源碼分析結(jié)構(gòu)輸入部分被放入雙引號（“ ”）
所以補(bǔ)全（”）? %27><script>alert(/fuck/)</script> ?
