DVWA--XSS(Reflected)XSS(Stored)

Posted 7-58

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了DVWA--XSS(Reflected)XSS(Stored)相关的知识,希望对你有一定的参考价值。

XSS,全称Cross Site Scripting,即跨站脚本攻击,某种意义上也是一种注入攻击,是指攻击者在页面中注入恶意的脚本代码,当受害者访问该页面时,恶意代码会在其浏览器上执行,需要强调的是,XSS不仅仅限于javascript,还包括flash等其它脚本语言。根据恶意代码是否存储在服务器中,XSS可以分为存储型的XSS与反射型的XSS。

DOM型的XSS由于其特殊性,常常被分为第三种,这是一种基于DOM树的XSS。例如服务器端经常使用document.boby.innerhtml等函数动态生成html页面,如果这些函数在引用某些变量时没有进行过滤或检查,就会产生DOM型的XSS。DOM型XSS可能是存储型,也有可能是反射型。

 

XSS(Reflected)(反射型跨站脚本)

技术图片

 

 

Low

技术图片

 

 代码直接引用了name参数,并没有任何的过滤与检查,存在明显的XSS漏洞。

 

192.168.27.156/dvwa/vulnerabilities/xss_r/?name=<script>alert(/xss/)</script>

成功弹出框

技术图片

 

 

 技术图片

 

 Medium

服务器端核心代码

技术图片

 这里对输入进行了过滤,使用str_replace函数将输入中的<script>删除,这种防护机制是可以被轻松绕过的。

 

方法一:双写绕过

输入<sc<script>ript>alert(/xss/)</script>,成功弹框:

http://192.168.27.156/dvwa/vulnerabilities/xss_r/?name=%3Csc%3Cscript%3Eript%3Ealert%28/xss/%29%3C/script%3E

技术图片

 

 方法二:大小写混淆绕过

输入<ScRipt>alert(/xss/)</script>,成功弹框

http://192.168.27.156/dvwa/vulnerabilities/xss_r/?name=%3CscrIPT%3Ealert%28/xss/%29%3C/scRiPt%3E

技术图片

 

 High

技术图片

 preg_replace()函数用于正则表达式的搜索和替换,这使得双写绕过、大小写混淆绕过不再有效。

虽然无法使用<script>标签注入XSS代码,但是可以通过img、body等标签的事件或者iframe等标签的src注入恶意的js代码。

 

输入<img src=1 onerror=alert(/xss/)>,成功弹框:

技术图片

 

 http://192.168.27.156/dvwa/vulnerabilities/xss_r/?name=%3Cimg%20src=1%20onerror=alert%28/xss/%29%3E

技术图片

 

 

 

 

XSSStored)(存储型跨站脚本)

技术图片

 

 Low

技术图片

  trim(string,charlist)

函数移除字符串两侧的空白字符或其他预定义字符,预定义字符包括、 、 、x0B、 以及空格,可选参数charlist支持添加额外需要删除的字符

 

可以看到,对输入并没有做XSS方面的过滤与检查,且存储在数据库中,因此这里存在明显的存储型XSS漏洞

 

message一栏输入<script>alert(/xss/)</script>,成功弹框:

技术图片

 

 

 技术图片

 

 name一栏前端有字数限制,抓包改为<script>alert(/name/)</script>:

技术图片

 

 

 技术图片

 

 Medium

技术图片

 

 strip_tags() 函数剥去字符串中的HTML、XML以及php的标签,但允许使用<b>标签。

addslashes() 函数返回在预定义字符(单引号、双引号、反斜杠、NULL)之前添加反斜杠的字符串。

 

可以看到,由于对message参数使用了htmlspecialchars函数进行编码,因此无法再通过message参数注入XSS代码,但是对于name参数,只是简单过滤了<script>字符串,仍然存在存储型的XSS。

 

漏洞利用

方法一:双写绕过

抓包改name参数为<sc<script>ript>alert(/xss/)</script>:

 技术图片

 

 技术图片

 

 

方法二:大小写混淆绕过

抓包改name参数为<Script>alert(/xss/)</script>:

技术图片

 

 技术图片

 

 

 

High

技术图片

 

 

可以看到,这里使用正则表达式过滤了<script>标签,但是却忽略了img、iframe等其它危险的标签,因此name参数依旧存在存储型XSS。

 

抓包改name参数为<img src=1 onerror=alert(1)>:

技术图片

 

 技术图片

 

以上是关于DVWA--XSS(Reflected)XSS(Stored)的主要内容,如果未能解决你的问题,请参考以下文章

DVWA [XSS]

DVWA —— XSS分析

DVWA XSS (DOM) 通关教程

cisp-pte靶场通关思路分享----xss篇

DVWA-XSS(Reflected)

DVWA-XSS (Reflected) 反射性 XSS