XSS初级漏洞靶场
一、环境的搭建
可以在githb上找靶机包，使用小皮面板搭建在自己本机
与此文章类似（放在www目录下）
二、XSS漏洞简介
1、什么是xss漏洞
当用户访问被xss注入的网页，xss代码就会被提取出来。用户浏览器就会解析这段xss代码，也就是用户被攻击了。
用户最简单的动作就是使用浏览器上网，并且浏览器中有js解释器，可以解析js，然而由于浏览器不具有人格，不会判断代码是否具有恶意行为，只要代码符合语法规则，浏览器就可以解析这段xss代码。
简单来说，xss就是通过攻击者精心构造的js代码注入到网页中，并且浏览器解释运行了这段恶意的js代码，以达到恶意攻击浏览器的效果。
xss的攻击对象是用户浏览器，属于被动攻击，因此xss攻击涉及到三个角色
- 攻击者
- 用户浏览器
- 服务器
当然不要以为xss属于客户端攻击，受害者是用户，就会以为跟自己的网站、服务器安全就没有关系，网站的管理员也是用户之一，知识相对普通用户权限更高。
实现xss攻击需要具备的两个条件：
- 需要向Web页面注入精心构造的恶意代码
- 对用户的输入没有做果过滤，恶意代码能被浏览器成功执行
2、XSS漏洞的类型
xss漏洞的位置通常在于Web应用程序的输入验证或者输出过滤不严格的地方
类型：
- 存储型XSS（Stored XSS）：攻击者将恶意脚本存储在服务器上，当其他用户访问这些恶意脚本的网页时，就会触发XSS漏洞
- 反射型XSS（Reflected XSS）：恶意脚本作为URL参数发送给服务器，服务器将恶意脚本插入到返回的页面中，用户访问该页面就会执行该脚本
-
DOM-based XSS：攻击不涉及服务器端，而是通过修改页面的DOM结构来实现攻击，通常通过修改客户端脚本中的DOM元素来触发漏洞。
三、开始闯关
在此之前补充三个弹窗函数
alert()
confirm()
prompt()反射型XSS
1、level1
语句插入
从源码可以看到，后端是get接收参数，并且没有过滤，
那么我们直接在参数的后面加上script标签
?name=test<script>alert(1)</script>结果：
2、level2
和第一关差不多，按刚才的输入以此，看下情况
可以看到，我们的输入被原米原样输出，没有弹出警告框
看下后端源代码，我们的参数会经过这个过滤函数
htmlspecialchars()会将& (& 符号)、" (双引号)、' (单引号)、< (小于)、> (大于)等符号转换成HTML实体编码。
那么在h2标签中我们无法进行注入，但可以看到下面的input标签还有一个输出点，
在这里我们只需要绕过双引号和闭合尖括号就可以实现
效果：
test"><script>alert(0)</script>
第二种方法：鼠标点击事件onclock
也是对input标签进行操作，闭合前一个单引号，在后面加上点击事件的属性
test"onclick="alert(1)
点击一下：
3、level3
先试着用上一关的闭合单双引号试试，
这时候我们使用点击事件，来进行注入，先将单引号闭合
test'onclick='alert(1)
点击，查看效果
4、level4
我们在使用上一关的方法，直接使用利用属性，看能不能过
很明显可以直接过
看下源码，看考察的点是什么？
他在考查看我们input的闭合，会将尖括号替换为空
5、level5
我们直接在试一下上一关的方法
可以看到我们的onclick被过滤替换了
我们看源码，都替换了哪些
可以看到我们是不能再使用script标签了，带on的事件关键字也不能用了
我们不妨直接将input前面的标签闭合掉，使用a标签在href后直接使用javascript伪协议
1"><a href="javascript:alert(1)">1</a
6、level6
直接看源码可以看到，将我们上一关用的href也过滤掉了
在html的标签中，浏览器在解析过程中会忽略大小写的，而我们可以看到上面都是过滤小写，那我们不妨可以试试大小写绕过
（当然在javascript内部是严格区分大小写的）
1 " OnCLick="alert(1)
7、level7
我们可以看到这关是将关键词替换为空进行过滤，那么我们可以进行双写实现绕过
1"oonnclick="alert(1)
8、level8
此处添加友情链接，那么不就可以用我们a标签里href的javascript伪协议了吗
但可惜的是被过滤掉了
那我们直接使用编码就行
javascript:alert(1)
9、level9
查看源码可以看到过滤了我们很多关键字，并且必须需要加上http://才可以
那我们针对这些过滤使用实体编码来绕过
javascript:alert('http://;')很明显我们添加上了我们想要的东西
