DVWA之反射型XSS

       这里对反射型XSS的三个等级的代码进行分析，最高级的不讲。

一：LOW等级

1、服务器端核心代码

<?php 

// Is there any input? 

if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 

    // Feedback for end user 

    echo '<pre>Hello ' . $_GET[ 'name' ] . '</pre>'; 

} 

?>

服务器代码直接引用了name参数,并没有任何的过滤与检查,直接将用户提交的GET参数name输出到页面,存在明显的XSS漏洞。

2、输入<script>alert(/xss/)</script>来验证xss的存在,成功弹框。

二：Medium等级

1、服务器端核心代码

<?php 
// Is there any input? 
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 
    // Get input 
    $name = str_replace( '<script>', '', $_GET[ 'name' ] ); 
    // Feedback for end user 
    echo "<pre>Hello ${name}</pre>"; 
} 
?>

这里对输入进行了过滤，基于黑名单的思想，使用str_replace函数将输入中的<script>删除，这种防护机制是可以被轻松绕过的。

2.1:双写绕过：输入<sc<script>ript>alert(/xss/)</script>，成功弹框

2.2:大小写混淆绕过：输入<ScRipt>alert(/xss/)</script>，成功弹框：

三：High等级

1、服务器端核心代码

<?php 
// Is there any input? 
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 
    // Get input 
    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] ); 
    // Feedback for end user 
    echo "<pre>Hello ${name}</pre>"; 
} 
?>

High级别的代码同样使用黑名单过滤输入，preg_replace()函数用于正则表达式的搜索和替换，这使得双写绕过、大小写混淆绕过（正则表达式中i表示不区分大小写）不再有效。

2、虽然无法使用<script>标签注入XSS代码，但是可以通过img、body等标签的事件或者iframe等标签的src注入恶意的js代码。输入<img src=1 οnerrοr=alert(/xss/)>，成功弹框：