DVWA3_Reflected XSS（反射型XSS）

LOW

Medium

High

LOW

代码分析

LOW分析PHP源代码可明显看到，代码只是判断了name参数是否为空，如果不为空就直接打印出来，并没有对name参数做任何的过滤和检查，存在非常明显的XSS漏洞。

1.<pre> </pre> 元素，可定义预格式化的文本。被包围在 pre 元素中的文本通常会保留空格和换行符。而文本也会呈现为等宽字体。

漏洞测试 

#<script>alert(/xss/)</script> 

Medium

代码分析

分析PHP源代码，medium代码在low级别上增加了

1.对于<scripit>的过滤，

 

漏洞测试

过滤<script>标签，大写，双写均可绕过

#<sCript>alert(/xss/)</script>

 

High

代码分析

分析PHP源代码可明显看到，hight代码在low级别上增加了

1.正则表达式直接把 <*s*c*r*i*p*t  给过滤了，<script>标签在这里就不能用了。 

漏洞测试

<script>标签不能使用，可通过img、body等标签的事件或者iframe等标签的src注入恶意的js代码。

#<img src=x οnerrοr=alert(/xss/)>