xss-labs pass-11

查看一下源码，多了一个t_ref参数，联想到http包中的referer参数，由哪个地址跳转，这里显示的就是从第十关跳转

这里的解题点应该是t_ref，不过我们还是验证一下前三个参数

GET型

?t_link=" <Script><a Href=javascript:alert()> oNload Src Data;
?t_history=" <Script><a Href=javascript:alert()> oNload Src Data;

?t_sort=" <Script><a Href=javascript:alert()> oNload Src Data;

GET型前两个参数传参无回显，第三个参数回显处对特殊符号进行了html实体化转义，无法利用

再试试POST

一个回显都没有，只能尝试t_ref，我们尝试抓包修改一下referer值

我们的输入回显在了t_ref参数的value值上，后面就和上一个同思路，payload如下：

" onfocus=alert() autofocus type="text" "

重点：HTTP头传值