DVWA之XSS

XSS，全称Cross Site Scripting，即跨站脚本攻击，某种意义上也是一种注入攻击，是指攻击者在页面中注入恶意的脚本代码，当受害者访问该页面时，恶意代码会在其浏览器上执行，需要强调的是，XSS不仅仅限于JavaScript，还包括flash等其它脚本语言。根据恶意代码是否存储在服务器中，XSS可以分为存储型的XSS与反射型的XSS。

DOM型的XSS由于其特殊性，常常被分为第三种，这是一种基于DOM树的XSS。例如服务器端经常使用document.boby.innerHtml等函数动态生成html页面，如果这些函数在引用某些变量时没有进行过滤或检查，就会产生DOM型的XSS。DOM型XSS可能是存储型，也有可能是反射型。

反射型XSS

下面对四种级别的代码进行分析。

Low

源代码

Hello ' . $_GET[ 'name' ] . '

'; } ?>

可以看到，代码直接引用了name参数，并没有任何的过滤与检查，存在明显的XSS漏洞。
尝试利用漏洞

image.png

成功弹框

Medium（中级别）

源代码

', '', $_GET[ 'name' ] ); 

    // Feedback for end user 
    echo "
Hello ${name}
"; 
} 

?> 

可以看到，这里对输入进行了过滤，基于黑名单的思想，使用str_replace函数将输入中的，成功弹框：

image.png

2.大小写混淆绕过

成功弹框

image.png

High（高级别）

源代码

Hello ${name}

"; } ?>

可以看到，High级别的代码同样使用黑名单过滤输入，preg_replace() 函数用于正则表达式的搜索和替换，这使得双写绕过、大小写混淆绕过（正则表达式中i表示不区分大小写）不再有效。

虽然无法使用，成功弹框：

image.png

因name一栏前端有字数限制，可以抓包修改name的值为，
我们将name的值修改为，将message的值随意，看是否弹框。

txtName=&mtxMessage=1111&btnSign=Sign Guestbook

image.png

Medium（中）

源代码

', '', $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '
' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '
' );

    //mysql_close();
}

?> 

函数说明

strip_tags() 函数剥去字符串中的 HTML、XML 以及 PHP 的标签，但允许使用标签。

addslashes() 函数返回在预定义字符（单引号、双引号、反斜杠、NULL）之前添加反斜杠的字符串。

image.png

简单尝试了几次都不行了，，，
可以看到，由于对message参数使用了htmlspecialchars函数进行编码，因此无法再通过message参数注入XSS代码，但是对于name参数，只是简单过滤了

2.大小写混淆绕过

抓包改name参数为

修改方法和之前一样

High（高）

源代码：

 ' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '

' ); //mysql_close(); } ?>

可以看到，这里使用正则表达式过滤了

image.png

也可以通过闭合标签

?default=

image.png

medium（中）

服务端代码

stripos()函数: 查找 "第二个参数" 在第一个参数中第一次出现的位置。
也就是说过滤了

1.url中有一个字符为#，该字符后的数据不会发送到服务器端，从而绕过服务端过滤

?#default=

image.png

2.用img，iframe，body，svg等标签的特性去执行JS代码。

?default=

image.png

high

服务端源代码

限定了键名必须为default，键值必须为固定的4个值。
所以这里只能用#绕过服务器检测
方法同上：

?#default=