script应该被过滤了

测试后发现on也被过滤

我们用url伪协议

"><a href=javascript:alert(1)>点击</a><"

点击即可

源码分析

一、整段代码解析

ini_set("display_errors", 0);

  • 禁止错误信息显示。

$str = strtolower($_GET["keyword"]);

  • 获取 URL 参数 keyword，并统一转成小写（防止用大写绕过过滤）。

$str2 = str_replace("<script", "<scr_ipt", $str);

  • 把小写 <script 替换成 <scr_ipt，试图阻止最常见的 <script> 标签注入。

$str3 = str_replace("on", "o_n", $str2);

  • 把所有 on（如 onerror, onfocus, onclick）替换成 o_n，试图阻止事件属性注入。

echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>" . '<center> <form action=level5.php method=GET> <input name=keyword value="'.$str3.'"> <input type=submit name=submit value=搜索 /> </form> </center>';

  • <h2> 是安全的，用了 htmlspecialchars()。

  • 关键是 <input value="..."> 部分输出了你处理后的输入，没有转义引号 

  • 你仍然可以通过 HTML 属性注入的方式触发 XSS 

二、他们的防护做了什么？

过滤点说明
<script → <scr_ipt禁止 script 标签
on → o_n禁止事件属性（onxxx）
strtolower()防止大小写绕过
没转义引号依然危险！

 

# xss # 前端 # java # 网络安全 # web安全
Logo
天工造物局

北京人形旗下天工造物具身智能开源社区，聚焦具身天工与慧思开物两大平台

更多推荐

deck.gl TripsLayer 出租车轨迹动画示例实战：从示例运行到着色器原理

TripsLayer 是 deck.gl 中用于渲染**随时间流动的轨迹动画**（如出租车行程、物流路径、迁徙路线）的核心图层。本文以仓库中的最小独立示例 [examples/website/trips](https://link.gitcode.com/i/1442af8f442f4cff39ff546e050fceb5) 为骨架，带你完成从安装依赖、启动应用、理解曼哈顿出租车数据格式，到深入

avatar 天工造物局

Foundry Anvil 中 eth_simulateV1 的 Blob 交易与 Blob Gas 字段规范化：原理、实现与测试验证

本篇技术指南以 [anvil-simulate-blob-transactions.md](https://link.gitcode.com/i/3d2ebe227262de169335eb290af80da8) 这条 changelog 条目为起点，深入剖析 Foundry Anvil 对 `eth_simulateV1` RPC 返回结果中 blob（EIP-4844）交易与 blob gas

avatar 天工造物局

LMCache CLI 实战：用 `lmcache kvcache clear` 管理运行中服务的 KV Cache 状态

本文是一份针对 LMCache 官方 CLI 命令 `lmcache kvcache` 的完整技术指南。该命令用于在**运行中的 LMCache 服务（MP HTTP server）**上管理 KV cache 状态，当前提供 `clear` 子命令，用于清空 L1（CPU 内存）层中缓存的全部 KV 数据。读完本文，你将掌握该命令的完整参数体系、退出码语义、终端/JSON/静默三种输出模式，并能

avatar 天工造物局