DVWA之XSS

 

XSS

XSS,全称Cross Site Scripting,即跨站脚本攻击,某种意义上也是一种注入攻击,是指攻击者在页面中注入恶意的脚本代码,当受害者访问该页面时,恶意代码会在其浏览器上执行,需要强调的是,XSS不仅仅限于JavaScript,还包括flash等其它脚本语言。根据恶意代码是否存储在服务器中,XSS可以分为存储型的XSS与反射型的XSS。

DOM型的XSS由于其特殊性,常常被分为第三种,这是一种基于DOM树的XSS。例如服务器端经常使用document.boby.innerHtml等函数动态生成html页面,如果这些函数在引用某些变量时没有进行过滤或检查,就会产生DOM型的XSS。DOM型XSS可能是存储型,也有可能是反射型。

(注:下面的实验都是在Firefox浏览器下进行的,感谢火狐没做XSS filter)

反射型XSS

下面对四种级别的代码进行分析。

Low

服务器端核心代码

Hello ' . $_GET[ 'name' ] . '
'; } ?>

可以看到,代码直接引用了name参数,并没有任何的过滤与检查,存在明显的XSS漏洞。

漏洞利用

输入,成功弹框:

DVWA之XSS_第1张图片

相应的XSS链接:

http://192.168.153.130/dvwa/vulnerabilities/xss_r/?name=%3Cscript%3Ealert(/xss/)%3C%2Fscript%3E#

Medium

服务器端核心代码

', '', $_GET[ 'name' ] ); 
    // Feedback for end user 
    echo "
Hello ${name}
"; } ?>

可以看到,这里对输入进行了过滤,基于黑名单的思想,使用str_replace函数将输入中的,成功弹框:

DVWA之XSS_第2张图片

相应的XSS链接

http://192.168.153.130/dvwa/vulnerabilities/xss_r/?name=%3Csc%3Cscript%3Eript%3Ealert%28%2Fxss%2F%29%3C%2Fscript%3E#

2.大小写混淆绕过

输入,成功弹框:

DVWA之XSS_第3张图片

相应的XSS链接:

http://192.168.153.130/dvwa/vulnerabilities/xss_r/?name=%3CScRipt%3Ealert(%2Fxss%2F)%3C%2Fscript%3E

High

服务器端核心代码

Hello ${name}
"; } ?>

可以看到,High级别的代码同样使用黑名单过滤输入,preg_replace()函数用于正则表达式的搜索和替换,这使得双写绕过、大小写混淆绕过(正则表达式中i表示不区分大小写)不再有效。

漏洞利用

虽然无法使用,成功弹框:

DVWA之XSS_第5张图片

name一栏前端有字数限制,抓包改为

DVWA之XSS_第6张图片

成功弹框:

DVWA之XSS_第7张图片

Medium

服务器端核心代码

', '', $name ); 
    $name = mysql_real_escape_string( $name ); 
    // Update database 
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );"; 
    $result = mysql_query( $query ) or die( '
' . mysql_error() . '
' ); //mysql_close(); } ?>

相关函数说明

strip_tags() 函数剥去字符串中的HTML、XML以及PHP的标签,但允许使用标签。

addslashes() 函数返回在预定义字符(单引号、双引号、反斜杠、NULL)之前添加反斜杠的字符串。

可以看到,由于对message参数使用了htmlspecialchars函数进行编码,因此无法再通过message参数注入XSS代码,但是对于name参数,只是简单过滤了:

DVWA之XSS_第8张图片

成功弹框:

DVWA之XSS_第9张图片

2.大小写混淆绕过

抓包改name参数为:

DVWA之XSS_第10张图片

成功弹框:

DVWA之XSS_第11张图片

High

服务器端核心代码

' . mysql_error() . '
' ); //mysql_close(); } ?>

可以看到,这里使用正则表达式过滤了

你可能感兴趣的:(DVWA)