DVWA的使用6–XSS（Stored）（儲存型跨站指令碼）

Stored Cross Site Scripting（XSS）儲存型跨站指令碼攻擊會把使用者輸入的資料儲存在伺服器端。如果web應用程式從惡意使用者處收集了輸入資料並將這些資料儲存在資料庫中以供以後使用，就會發生儲存式跨站點指令碼。

1).low級別

原始碼：

trim函式移除字串兩側的空白字元或其他預定義字元，預定義字元包括、\t、\n、\x0B、\r以及空格，可選引數charlist支援新增額外需要刪除的字元。mysqli_real_escape_string對字串特殊符號（\x00，\n，\r，\，‘，“，\x1a）等進行轉義。stripslashes函式刪除字串中的反斜槓。未對輸入資料進行xss檢測編碼，直接寫入到資料庫中，存在儲存型xss漏洞。
漏洞利用：

2)medium級別

原始碼：

strip_tags() 函式剝去字串中的 HTML、XML 以及 PHP 的標籤，但允許使用標籤。

addslashes() 函式返回在預定義字元（單引號、雙引號、反斜槓、NULL）之前新增反斜槓的字串。可以看到，由於對message引數使用了htmlspecialchars函式進行編碼，因此無法再通過message引數注入XSS程式碼，但是對於name引數，只是簡單過濾了字串，仍然存在儲存型的XSS。
漏洞利用：
由於name欄位對長度有限制，可通過抓包改包方式修改引數值。

3)high級別

原始碼：

這裡使用正則表示式過濾了

4)impossible級別

原始碼：

通過使用htmlspecialchars函式，解決了XSS。