新手教程-DVWA全级别教程之XSS

系统环境

因为网上关于dvwa的相关资料都比较旧，所以想重新过一边dvwa的各个类型的漏洞，顺带初步入门php代码审计相关的知识。环境安装可以直接参照网上教程新手指南：手把手教你如何搭建自己的渗透测试环境，已经写的非常详细，可以直接按照教程一步步安装。

简介

XSS，全称Cross Site Scripting，即跨站脚本攻击，某种意义上也是一种注入攻击，是指攻击者在页面中注入恶意的脚本代码，当受害者访问该页面时，恶意代码会在其浏览器上执行，需要强调的是，XSS不仅仅限于JavaScript，还包括flash等其它脚本语言。根据恶意代码是否存储在服务器中，XSS可以分为存储型的XSS与反射型的XSS。
DOM型的XSS由于其特殊性，常常被分为第三种，这是一种基于DOM树的XSS。例如服务器端经常使用document.boby.innerHtml等函数动态生成html页面，如果这些函数在引用某些变量时没有进行过滤或检查，就会产生DOM型的XSS。DOM型XSS可能是存储型，也有可能是反射型。
（注：下面的实验都是在Firefox浏览器下进行的，感谢火狐没做XSS filter）

反射型XSS

下面将对四种级别的代码进行分析
Low服务器核心代码

Hello ' . $_GET[ 'name' ] . '

'; } ?>

可以看到，代码直接饮用了name参数，并没有任何的过滤和检查，存在明显的XSS漏洞。
漏洞利用
输入，成功弹框：

image.png

Medium级别服务器核心代码

', '', $_GET[ 'name' ] );

    // Feedback for end user
    echo "
Hello ${name}
";
}

?> 

可以看到，这里对输入进行了过滤，基于黑名单的思想，使用str_replace函数将输入中的，成功弹框：

image.png

2.大小写混淆绕过
输入，成功弹框：

image.png

High服务器端核心代码

Hello ${name}

"; } ?>

可以看到，High级别的代码同样使用黑名单过滤输入，preg_replace() 函数用于正则表达式的搜索和替换，这使得双写绕过、大小写混淆绕过（正则表达式中i表示不区分大小写）不再有效。
漏洞利用
虽然无法使用，成功弹框：

image.png

Medium服务器核心代码

', '', $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '
' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '
' );

    //mysql_close();
}

?> 

相关函数说明
strip_tags() 函数剥去字符串中的 HTML、XML 以及 PHP 的标签，但允许使用标签。
addslashes() 函数返回在预定义字符（单引号、双引号、反斜杠、NULL）之前添加反斜杠的字符串。
可以看到，由于对message参数使用了htmlspecialchars函数进行编码，因此无法再通过message参数注入XSS代码，但是对于name参数，只是简单过滤了:

image.png

2.大小写混淆绕过
抓包改name参数为:

image.png

High服务器核心代码

' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '

' ); //mysql_close(); } ?>

可以看到，这里使用正则表达式过滤了