打开题目，直接开撸。
尝试提交test，查看源代码发现test出现在这里，script标签里面。
尝试闭合，发现被转义了。
尝试提交"<img src=x onerror=alert(1)>，发现引号被转义，尖括号也被十六进制转换了。
在查看F12的同时发现有个敏感路径，访问得到NodeJS源码。
下载到本地进行审计。，发现有个函数操作输入的字符串。
我们去看看这个JSON.stringify方法。
发现经过处理后逃逸了双引号，尝试构造提交一个对象或者数组
content=;alert(1)//&content=成功弹窗。
下面是wp，看了其他大佬的测试思路，挺有意思的，每个人的思维方式都不一样，手法也存在差异。
https://blog.maple3142.net/2020/12/11/google-ctf-2020-writeups/#web
https://gist.github.com/officialaimm/777b632be51998117e43eff71a5146f3
在学习本文技术或工具使用前，请您务必审慎阅读、充分理解各条款内容。
1、本团队分享的任何类型技术、工具文章等文章仅面向合法授权的企业安全建设行为与个人学习行为，严禁任何组织或个人使用本团队技术或工具进行非法活动。
2、在使用本文相关工具及技术进行测试时，您应确保该行为符合当地的法律法规，并且已经取得了足够的授权。如您仅需要测试技术或工具的可行性，建议请自行搭建靶机环境，请勿对非授权目标进行扫描。
3、如您在使用本工具的过程中存在任何非法行为，您需自行承担相应后果，我们将不承担任何法律及连带责任。
4、本团队目前未发起任何对外公开培训项目和其他对外收费项目，严禁任何组织或个人使用本团队名义进行非法盈利。
5、本团队所有分享工具及技术文章，严禁不经过授权的公开分享。
如果发现上述禁止行为，我们将保留追究您法律责任的权利，并由您自身承担由禁止行为造成的任何后果。
END
原文始发于微信公众号（NOVASEC）：记录有趣的CTF题目：Google CTF 2020 NodeJS XSS
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论