pikachu靶场pkxss后台为什么不能记录中文

# 学员问题

在pikachu靶场复现XSS漏洞键盘记录的那一节里，我本地捣鼓出来发现，在留言板开着**中文输入法**打字的时候后台是记录不到英文字符的，中文就更没有了，网页也没有和rk.js有通信，**把输入法切成英文模式才能被记录下来**。

# 问题原因
pikachu\pkxss\rkeypress\rk.js

这里面只有onkeypress事件
```
function onkeypress() {
    var realkey = String.fromCharCode(event.keyCode);
    xl+=realkey;
    show();
}

document.onkeypress = onkeypress;
```

# 总结

| 属性 | 描述 |
| --- | --- |
| onkeydown | 某个键盘按键被按下 |
| onkeypress | 某个键盘按键被按下。 |
| onkeyup | 某个键盘按键被松开。 |

事件相关的事件发生次序：
1. onkeydown
2. onkeypress
3. onkeyup

onkeydown和onkeypress的区别：

| onkeydown  | onkeypress|
| --- | --- |
| 不区分输入内容的大小写 | 区分输入内容的大小写，返回keycode是不同的 |
| 识别任何按键 | 不识别功能键 |
| 主要使用onkeydown |   |

# 如何记录中文输入
## compositionstart：在开始进行中文输入时触发
compositionstart事件在用户开始输入非直接字符（如中文输入法输入）时触发。它通常用于捕获输入法开始输入字符的时机，以便进行相关处理。

需要注意的是，中文输入监听事件的监听目前似乎仅适配微软自带的微软拼音输入法，<font color="red">像搜狗一类的第三方输入法并不能触发该事件</font>.

下面是一个例子，当用户使用中文输入法输入时，监听compositionstart事件并在控制台打印提示信息：
```
<body>
	<input type="text" id="input-field">
</body>
<script>
	var inputField = document.getElementById("input-field");

inputField.addEventListener("compositionstart", function(event) {
		console.log("输入法开始输入字符");
	});
</script>
```

## compositionupdate：在进行中文输入时，每输入一个字符时触发
compositionupdate事件在用户正在输入非直接字符（如中文输入法输入）时触发。它通常用于捕获正在输入的字符以及相关信息的更新。

下面是一个例子，当用户使用中文输入法输入时，监听compositionupdate事件并在控制台打印输入的字符：
```
<body>
	<input type="text" id="input-field">
</body>

inputField.addEventListener("compositionupdate", function(event) {
		var inputText = event.data;
		console.log("正在输入字符: " + inputText);
	});
</script>
```

实现效果：

![](/media/202503/2025-03-12_133318_4815260.9155647110290849.png)

## compositionend：在结束中文输入时触发
compositionend事件在用户完成非直接字符（如中文输入法输入）的输入时触发。它通常用于捕获输入完成后的字符以及相关信息。
下面是一个例子，当用户使用中文输入法输入完成后，监听compositionend事件并在控制台打印输入的字符：
```
<body>
    <input type="text" id="input-field">
</body>
 
<script>
    var inputField = document.getElementById("input-field");
 
    inputField.addEventListener("compositionend", function(event) {
        var inputText = event.data;
        console.log("输入完成的字符: " + inputText);
    });
</script>
```
实现效果：

![](/media/202503/2025-03-12_133502_6802640.4107813386995707.png)