xss的一个tip

其实可能不能算tip吧.

分享一下吧。

unicode有四种编码方式

源文本：The
&#x [Hex]：The
&# [Decimal]：The
\U [Hex]：\U0054\U0068\U0065

如下：

<?php

ini_set("display_errors", 0);

$str = strtolower($_GET["keyword"]);

$str2=str_replace("script","scr_ipt",$str);

$str3=str_replace("on","o_n",$str2);

$str4=str_replace("src","sr_c",$str3);

$str5=str_replace("data","da_ta",$str4);

$str6=str_replace("href","hr_ef",$str5);

$str7=str_replace('"','&quot',$str6);

echo '<center>

<form action=level8.php method=GET>

<input name=keyword  value="'.htmlspecialchars($str).'">

<input type=submit name=submit value=添加友情链接 />

</form>

</center>';

?>

<?php

 echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';

?>

payload:javascript:alert()

原本是javascript:alert()

然后把pUnicode编码成了javascript:alert()

然后112换成hex的即位javascript:alert()

hex在unicode的表现形式就是：&#x [Hex]：The

其实这种是绕过str_replace函数。当然了不仅还有这个姿势，还有制表符：%09等等。

巴特西

xss的一个tip

最新文章

热门文章