DVWA-XSS(全等级)

XSS，全称Cross Site Scripting，即跨站脚本攻击，某种意义上也是一种注入攻击，是指攻击者在页面中注入恶意的脚本代码，当受害者访问该页面时，恶意代码会在其浏览器上执行，需要强调的是，XSS不仅仅限于JavaScript，还包括flash等其它脚本语言。根据恶意代码是否存储在服务器中，XSS可以分为存储型的XSS与反射型的XSS。
DOM型的XSS由于其特殊性，常常被分为第三种，这是一种基于DOM树的XSS。例如服务器端经常使用document.boby.innerHtml等函数动态生成html页面，如果这些函数在引用某些变量时没有进行过滤或检查，就会产生DOM型的XSS。DOM型XSS可能是存储型，也有可能是反射型。

反射型（Reflected）

LOW

查看源码，路径如下图

 

 可以看出没有任何过滤，直接将用户提交的GET参数name输出到页面，我们可以输入payload。

先利用alert测试是否存在XSS，如果有弹窗弹出，说明有XSS漏洞：

http://127.0.0.1/DVWA-master/vulnerabilities/xss_r/?name=<script>alert(1)</script>

 

Medium

依旧是查看源码

 

这里对输入进行了过滤，使用str_replace函数将输入中的<script>删除，这种防护机制是可以被轻松绕过的。 

1.双写绕过
http://127.0.0.1/DVWA-master/vulnerabilities/xss_r/?name=<sc<script>ript>alert(1)</script>

 

 大小写混合绕过

http://127.0.0.1/DVWA-master/vulnerabilities/xss_r/?name=<ScriPT>alert(1)</script>

 

 High

查看代码，看看进行了什么过滤

 

 可以看到，High级别的代码同样使用黑名单过滤输入，preg_replace() 函数用于正则表达式的搜索和替换，这使得双写绕过、大小写混淆绕过（正则表达式中i表示不区分大小写）不再有效。

虽然无法使用<script>标签注入XSS代码，但是可以通过img、body等标签的事件或者iframe等标签的src注入恶意的js代码。

Img标签：　

　　http://127.0.0.1/DVWA-master/vulnerabilities/xss_r/?name=<img src=1 onerror=alert(1)>

 iframe标签

http://127.0.0.1/DVWA-master/vulnerabilities/xss_r/?name=<iframe onload=alert(1)>

 

 Impossible

查看代码

 

 可以看到，Impossible级别的代码使用htmlspecialchars函数把预定义的字符&、”、 ’、<、>转换为 HTML 实体，防止浏览器将其作为HTML元素。

存储型（Stored）

Low

存储型xss与反射型xss的区别在于存储型会将用户输入的数据存入服务器，在用户下一次点击时便会触发，由于其隐蔽性较高，所以危害也普遍大于反射型xss。

查看源代码

相关函数介绍
trim(string,charlist)
函数移除字符串两侧的空白字符或其他预定义字符，预定义字符包括、\t、\n、\x0B、\r以及空格，可选参数charlist支持添加额外需要删除的字符。
mysql_real_escape_string(string,connection)
函数会对字符串中的特殊符号（\x00，\n，\r，\，‘，“，\x1a）进行转义。
stripslashes(string)
函数删除字符串中的反斜杠。

 

可以看到，对输入并没有做XSS方面的过滤与检查，且存储在数据库中，因此这里存在明显的存储型XSS漏洞。

我们可以输入<script>标签来试图测试漏洞，然后点击Sign Guestbook

在Message一栏中输入 <script>alert(1)</script>   Name随意

 

 既然是存储型那就有他自己的特点，当我们点开DVWA里其他的页面然后再回到当前页面时，它就会出现弹窗，这是和反射性不一样的地方，它存储住了数据，可以看到存储记录

 

Message文本框有XSS漏洞，那我们试一试Name,发现Name这里限制了字符数量，十个字符

 

 所以我们抓个包，用Burp  Suite截取DVWA发送的数据包，修改其中的Name的字符数据，从而绕过这个字符的限制。

注意：我们得把数据都清空，点击Clear Guestbook 。这是一个存储型XSS，不清空的话我们无法判断执行的是原来是数据还是新的语句。

在Name和Message里面都输入任意内容，这时在Message里面我们也不能输入<script>标签，然后设置代理，开始抓包

 

 我们在最后一行txtName这里更换为<script>标签语句 <script>alert(1)</script>，然后点击Forward

 

这就说明Name文本框也可以检测XSS漏洞。

Medium 

调节难度，清空数据，查看代码

相关函数说明

strip_tags() 函数：

　　剥去字符串中的HTML、XML以及PHP的标签，但允许使用<b>标签。

addslashes() 函数：

　　返回在预定义字符（单引号、双引号、反斜杠、NULL）之前添加反斜杠的字符串。

可以看到，由于对message参数使用了htmlspecialchars函数进行编码，因此无法再通过message参数注入XSS代码，但是对于name参数，只是简单过滤了<script>字符串，仍然存在存储型的XSS。

方法一：双写绕过

使用BurpSuite抓包改name参数为<sc<script>ript>alert(/xss/)</script>

 

 

 

 方法二： 大小写混合

<ScriPt>alert(/xss/)</script>

 

 High

查看代码

可以看到，message参数使用了htmlspecialchars函数进行编码，我们还是无法再通过message参数注入XSS代码，至于Name，这里使用正则表达式过滤了<script>标签，但是却忽略了img、iframe等其它危险的标签，因此name参数依旧存在存储型XSS。所以我们使用其他标签来抓包，在Name中进行注入。

Img标签

　　<img src=1 onerror=alert(1)>

 

 

 

 

iframe标签

　　<iframe onload=alert(1)>