DVWA-XSS(全等级)

Posted heiwa-0924

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了DVWA-XSS(全等级)相关的知识,希望对你有一定的参考价值。

XSS,全称Cross Site Scripting,即跨站脚本攻击,某种意义上也是一种注入攻击,是指攻击者在页面中注入恶意的脚本代码,当受害者访问该页面时,恶意代码会在其浏览器上执行,需要强调的是,XSS不仅仅限于javascript,还包括flash等其它脚本语言。根据恶意代码是否存储在服务器中,XSS可以分为存储型的XSS与反射型的XSS。
DOM型的XSS由于特殊性,常常被分为第三种,这是一种基于DOM树的XSS。例如服务器端经常使用document.boby.innerhtml等函数动态生成html页面,如果这些函数在引用某些变量时没有进行过滤或检查,就会产生DOM型的XSS。DOM型XSS可能是存储型,也有可能是反射型。
反射型(Reflected)
LOW
查看源码,路径如下图
技术图片

 

 可以看出没有任何过滤,直接将用户提交的GET参数name输出到页面,我们可以输入payload。

先利用alert测试是否存在XSS,如果有弹窗弹出,说明有XSS漏洞:

http://127.0.0.1/DVWA-master/vulnerabilities/xss_r/?name=<script>alert(1)</script>

技术图片

 

Medium

依旧是查看源码
技术图片

 

这里对输入进行了过滤,使用str_replace函数将输入中的<script>删除,这种防护机制是可以被轻松绕过的。 

1.双写绕过
http://127.0.0.1/DVWA-master/vulnerabilities/xss_r/?name=<sc<script>ript>alert(1)</script>

技术图片

 

 大小写混合绕过

http://127.0.0.1/DVWA-master/vulnerabilities/xss_r/?name=<ScriPT>alert(1)</script>

技术图片

 

 High

查看代码,看看进行了什么过滤

技术图片

 

 可以看到,High级别的代码同样使用黑名单过滤输入,preg_replace() 函数用于正则表达式的搜索和替换,这使得双写绕过、大小写混淆绕过(正则表达式中i表示不区分大小写)不再有效。

虽然无法使用<script>标签注入XSS代码,但是可以通过img、body等标签的事件或者iframe等标签的src注入恶意的js代码。

Img标签: 

  http://127.0.0.1/DVWA-master/vulnerabilities/xss_r/?name=<img src=1 onerror=alert(1)>

技术图片

 iframe标签

http://127.0.0.1/DVWA-master/vulnerabilities/xss_r/?name=<iframe onload=alert(1)>

技术图片

 

 Impossible

查看代码

技术图片

 

 可以看到,Impossible级别的代码使用htmlspecialchars函数把预定义的字符&、”、 ’、<、>转换为 HTML 实体,防止浏览器将其作为HTML元素。

存储型(Stored)

Low

存储型xss与反射型xss的区别在于存储型会将用户输入的数据存入服务器,在用户下一次点击时便会触发,由于其隐蔽性较高,所以危害也普遍大于反射型xss。

查看源代码

技术图片

相关函数介绍
trim(string,charlist)
函数移除字符串两侧的空白字符或其他预定义字符,预定义字符包括、 、 、x0B、 以及空格,可选参数charlist支持添加额外需要删除的字符。
mysql_real_escape_string(string,connection)
函数会对字符串中的特殊符号(x00, , ,,‘,“,x1a)进行转义。
stripslashes(string)
函数删除字符串中的反斜杠。
 
可以看到,对输入并没有做XSS方面的过滤与检查,且存储在数据库中,因此这里存在明显的存储型XSS漏洞。
我们可以输入<script>标签来试图测试漏洞,然后点击Sign Guestbook
在Message一栏中输入 <script>alert(1)</script>   Name随意
技术图片

 

 既然是存储型那就有他自己的特点,当我们点开DVWA里其他的页面然后再回到当前页面时,它就会出现弹窗,这是和反射性不一样的地方,它存储住了数据,可以看到存储记录

技术图片

 

Message文本框有XSS漏洞,那我们试一试Name,发现Name这里限制了字符数量,十个字符

技术图片

 

 所以我们抓个包,用Burp  Suite截取DVWA发送的数据包,修改其中的Name的字符数据,从而绕过这个字符的限制。

注意:我们得把数据都清空,点击Clear Guestbook 。这是一个存储型XSS,不清空的话我们无法判断执行的是原来是数据还是新的语句。

在Name和Message里面都输入任意内容,这时在Message里面我们也不能输入<script>标签,然后设置代理,开始抓包

技术图片

 

 我们在最后一行txtName这里更换为<script>标签语句 <script>alert(1)</script>,然后点击Forward

技术图片

 

这就说明Name文本框也可以检测XSS漏洞。

Medium 

调节难度,清空数据,查看代码

技术图片

相关函数说明

strip_tags() 函数:

  剥去字符串中的HTML、XML以及php的标签,但允许使用<b>标签。

addslashes() 函数:

  返回在预定义字符(单引号、双引号、反斜杠、NULL)之前添加反斜杠的字符串。

可以看到,由于对message参数使用了htmlspecialchars函数进行编码,因此无法再通过message参数注入XSS代码,但是对于name参数,只是简单过滤了<script>字符串,仍然存在存储型的XSS。

方法一:双写绕过

使用BurpSuite抓包改name参数为<sc<script>ript>alert(/xss/)</script>

技术图片

 

 技术图片

 

 方法二: 大小写混合

<ScriPt>alert(/xss/)</script>

技术图片

 

 High

查看代码

技术图片

可以看到,message参数使用了htmlspecialchars函数进行编码,我们还是无法再通过message参数注入XSS代码,至于Name,这里使用正则表达式过滤了<script>标签,但是却忽略了img、iframe等其它危险的标签,因此name参数依旧存在存储型XSS。所以我们使用其他标签来抓包,在Name中进行注入。

Img标签

  <img src=1 onerror=alert(1)>

技术图片

 

 

技术图片

 

 

iframe标签

  <iframe onload=alert(1)>

技术图片

 

 

技术图片

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

以上是关于DVWA-XSS(全等级)的主要内容,如果未能解决你的问题,请参考以下文章

高安全等级网络是什么意思?有什么特点?

高安全等级网络是什么意思?有什么特点?

dvwa全等级命令行注入

parent数组成等级菜单全展开式顺序排列

DVWA:Command Injection 全等级命令注入

DVWA-全等级文件包含(File Inclusion)