本文详细探讨了DVWA中Low、Medium、High三个级别的存储型XSS漏洞。通过测试和分析，展示了如何利用这些漏洞，特别是通过注入恶意JS代码窃取cookie信息。在Low级，发现Name和Message字段存在XSS漏洞，虽然有前端限制但可通过修改限制或绕过。Medium级增加了过滤机制，但Name字段仍有漏洞。High级则实现了较为严格的过滤，防止了SQL和XSS注入。
存储型XSS正如其名，是存储在服务器上，只要用户一访问到相应的页面就会被执行恶意代码，其危害比反射型的大得多。
Low级：
在输入正常的内容之后，所输入的内容会保存在该页面，那么先来测试是否存在XSS漏洞，分别对Name和Message两个选项进行测试、用Burpsuite抓包查看。
一开始在Name中输入发现有字符限制，其中涉及到对输入数据长度最大的限制，即maxlength=xx。由于其只是建立在前端浏览器的检测而已，所以可以通过客户端的开发者工具（按F12）或者通过burpsuite将maxlength的值改大或者直接删去便可。
最低0.47元/天 解锁文章
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
