DVWA Stored Cross Site Scripting (XSS)

储存型XSS

DVWA

LOW

 <?php

if( isset( $_POST[ 'btnSign' ] ) ) {
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input
    $message = stripslashes( $message );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Sanitize name input
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    //mysql_close();
}

?>

trim(string,charlist) ： 移除string字符两侧的预定义字符，预定义字符包括\t 、 \n 、\x0B 、\r以及空格，可选参数charlist支持添加额外需要删除的字符

stripslashes(string)： 去除掉string字符的反斜杠＼

mysqli_real_escape_string(string,connection) ：函数会对字符串string中的特殊符号（\x00，\n，\r，\，‘，“，\x1a）进行转义

 

两个框都存在XSS，但是第一个有字长限制，直接修改字长，右键点检查，然后找到源码修改

还有一种方法，不用修改源码，用brup 抓包然后修改name的值

因为是储存性，代码直接保存到服务器中，所以如果不点清除，先执行的的还是我们之前注入的代码，点击确定后又会执行我们这次注入的代码

我们点击 clear guestbook后，重新注入

 

MEDIUM

将message框的输入内容转化为HTML特殊字符，所以这个无法注入

将name框的<script>过滤，我们可以用双写、大小写或者其他标签绕过 （还是需要先修改长度限制，跟LOW一样）

 

HIGH

这跟反射型XSS的题目差不多，name框直接将<script>所有字符过滤了，我们用其他标签就行