Web 安全实战：XSS 漏洞闯关技巧解析

5. 第五关

页面只存在一个查询表单，输入会有报错回显。查看源代码发现定义了两个变量，需要绕过这两个变量。

http://target.com/level5?autosubmit=1&action=JavaScript:alert(1);//

6. 第六关

输入的参数被直接打印在页面上。查看源代码发现引入了 AngularJS。

<script src="https://cdn.staticfile.org/angular.js/1.4.6/angular.min.js"></script>

此处存在 XSS 模板注入（AngularJS 客户端模板注入）。使用 {{7*7}} payload 验证是否存在，页面打印结果说明存在漏洞。

Angular(v1.4.0-v1.4.9) 沙箱逃逸 payload 如下：

{{'a'.constructor.prototype.charAt=[].join;$eval('x=1} } };alert(1//');}}

7. 第七关

完成所有关卡挑战。

二、XSS 漏洞介绍

1. XSS 简介

跨站脚本攻击 XSS(Cross Site Scripting)，为了不和层叠样式表 (CSS) 的缩写混淆，故将跨站脚本攻击缩写为 XSS。恶意攻击者往 Web 页面里插入恶意 Script 代码，当用户浏览该页面时，嵌入 Web 里面的 Script 代码会被执行，从而达到恶意攻击用户的目的。

2. XSS 分类

（1）反射型 XSS

攻击方式：攻击者通过钓鱼链接等方式诱导用户点击恶意 url，当目标用户点击该 url 时，向对应的服务器发送请求，然后服务器将带有恶意代码的数据发送给目标用户的浏览器，浏览器解析服务器返回的代码，此前攻击者注入的恶意代码就会执行。

（2）存储型 XSS

攻击方式：攻击者在发帖的过程中，将恶意代码连同正常信息一起注入帖子的内容中。攻击者发布的帖子会被服务器存储下来，恶意代码也永久的被放在服务器的后端存储器中。当其他用户浏览这个被注入了恶意脚本的帖子时，恶意脚本会在他们的浏览器中得到执行。

（3）DOM 型 XSS

攻击方式：攻击者诱导用户点击恶意链接 url，然后客户端执行相关攻击代码，发送相关信息 or 相关操作。 DOM 型与服务器没有关系，不需要与服务器进行交互，攻击纯粹发生在客户端。