DVWA V1.9：Reflected Cross Site Scripting（存储型XSS）

存储型 XSS 介绍

“跨站点脚本（XSS）”攻击是一种注入问题，其中恶意脚本被注入到其他良性的和可信的网站中。
当攻击者使用Web应用程序将恶意代码（通常以浏览器端脚本的形式）发送给不同的最终用户时，会发生XSS攻击。
允许这些攻击成功的缺陷非常普遍，并且在Web应用程序的任何地方使用来自用户的输入在输出中发生，而不验证或编码它。

攻击者可以使用XSS向恶意的用户发送恶意脚本。
终端用户的浏览器没有办法知道脚本不应该被信任，并且将执行JavaScript。
因为它认为脚本来自可信来源，恶意脚本可以访问任何cookie、会话令牌或浏览器保留的其他敏感信息，并与该站点一起使用。
这些脚本甚至可以重写HTML页面的内容。

XSS存储在数据库中。XSS是永久的，直到数据库被重置或手动删除有效载荷。

Low 级别

核心代码

<?php

if( isset( $_POST[ 'btnSign' ] ) ) {
   
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input
    $message = stripslashes( $message );
    $message = mysql_real_escape_string( $message );

    // Sanitize name input
    $name = mysql_real_escape_string( $name );

    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysql_query( $query ) or die( '<pre>' . mysql_error() . '</pre>' );

    //mysql_close();
}

?>

trim(string,charlist)
函数移除字符串两侧的空白字符或其他预定义字符，预定义字符包括、\t、\n、\x0B、\r以及空格，可选参数charlist支持添加额外需要删除的字符。

mysql_real_escape_string(string,connection)
函数会对字符串中的特殊符号（\x00，\n，\r，\，‘，“，\x1a）进行转义。

stripslashes(string)
函数删除字符串中的反斜杠。

可以看到，对输入并没有做XSS方面的过滤与检查，且存储在数据库中，因此这里存在明显的存储型XSS漏洞。

官方提示

低电平将不检查请求输入，然后将其包含在输出文本中使用。

Spoiler: Either name or message field: <script>alert("XSS");</script>.

漏洞利用

name一栏前端有字数限制，抓包改为<script>alert(/name/)</script>：成功弹框：

message一栏输入<script>alert(/xss/)</script>，成功弹框：

Medium 级别

核心代码

<?php

if( isset( $_POST[ 'btnSign' ] ) ) {
   
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[