實戰|一次繞過waf進行xss的經歷

今天室友遇到一個好玩的網站，下面是一些嘗試繞過Waf進行XSS的記錄。首先該網站沒有對左右尖號和單雙引號做任何過濾或轉義。且有未知的waf或者其他阻止惡意訪問的手段。

首先我的訪問為 login.asp?f=1 時候，頁面關鍵源碼為

可能是表示登錄次數的一個東西？（猜測） 現在我們知道的信息是參數f會填充到 loginflag這個隱藏框內。

嘗試

首先做一些基礎的XSS嘗試：

script標簽

login.asp?f=1"><script>

直接觸發waf

img標簽

login.asp?f=123" alert(x)" src="

/login.asp?f=123" 

可以正常的釋放引號與尖號，也可以完整釋放出 img標簽。但是只要和on事件搭上邊，就觸發了這個waf。https://www.w3schools.com/jsref/dom_obj_event.asp 這里的一些基礎事件都做了嘗試。無解。

iframe標簽

login.asp?f=123">