DVWA-Reflected Cross Site Scripting (XSS)

实验环境：

DVWA靶机：172.16.12.10 靶场用户名：admin 密码：123

windos攻击机：172.16.12.7

kali攻击机：172.16.12.30

实验步骤：

反射型Xss <全称跨站脚本攻击，是一种在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。

其实反射型和DOM型的XSS差别主要在于，反射型是会往后台服务器发送请求，而DOM型直接在前端进行解析；两者都是一次性的

一、Low级

1、源码分析

<?php

header ("X-XSS-Protection: 0");

// Is there any input?
// arrary_key_exists()函数：判断$_GET的值中是否存在“name”键名。并且$_GET[‘name’]的值是否不为空，满足这些条件，直接输出下面的输出语句。

if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Feedback for end user
    echo '<pre>Hello ' . $_GET[ 'name' ] . '</pre>';
}

?>

可以看到，代码直接引用了name参数，并没有任何的过滤与检查，存在明显的XSS漏洞

2、漏洞复现

输入<script>alert(/xss/)</script>，直接弹窗

抓包看到的XSS对应的链接如下：

二、Medium级

1、源码分析

<?php

header ("X-XSS-Protection: 0");

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Get input
//将输入中的<script>转化为空
    $name = str_replace( '<script>', '', $_GET[ 'name' ] );

    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}

?>

可以看到，这里对输入进行了过滤，基于黑名单的思想，使用str_replace函数将输入中的<script>删除，这种防护机制是可以被轻松绕过的。

2、漏洞利用

1)双写绕过

输入 <sc<script>ript>alert(/xss/)</script> ，成功弹窗

2）大小写绕过

输入 <ScRipt>alert(/xss/)</script> ， 成功弹窗

三、Hign级

1、源码分析

<?php

header ("X-XSS-Protection: 0");

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Get input
//使用通配符，完全匹配script*N，所以有关script的标签全被过滤
    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );

    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}

?>

可以看到，High级别的代码同样使用黑名单过滤输入，preg_replace()函数
用于正则表达式的搜索和替换，这使得双写绕过、大小写混淆绕过（正则表达式中i表示不区分大小写）不再有效

2、漏洞利用

虽然无法使用<script>标签注入XSS代码，但是可以通过img、body等标签
的事件或者iframe等标签的src注入恶意的js代码。

输入<imgsrc=1οnerrοr=alert(/xss/)>，成功弹框

四、Impossible级

源码分析

<?php

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
//转码
& （和号） 成为 &amp;
" （双引号） 成为 &quot;
' （单引号） 成为 &#039;
< （小于） 成为 &lt;
> （大于） 成为 &gt;
    $name = htmlspecialchars( $_GET[ 'name' ] );

    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}

// Generate Anti-CSRF token
generateSessionToken();

?>

可以看到，Impossible级别的代码使用htmlspecialchars函数把预定义的字
符&、”、’、<、>转换为HTML实体，防止浏览器将其作为HTML元素。