AI 助理
备案控制台
开发者社区 数据库 文章 正文

[网络安全]DVWA之XSS(Stored)攻击姿势及解题详析合集

2023-05-22 124
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
本文涉及的产品
云数据库 RDS MySQL，集群系列 2核4GB
推荐场景：
搭建个人博客
RDS MySQL Serverless 基础系列，0.5-2RCU 50GB
推荐场景：
学生管理系统数据库设计 搭建个人博客
RDS MySQL Serverless 高可用系列，价值2615元额度，1个月
简介： trim() 函数移除字符串两侧的空格，以确保数据在插入到数据库时没有多余的空白字符

XSS(Stored)-low level

源代码

<?php


if( isset( $_POST[ 'btnSign' ] ) ) {
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );
    // Sanitize message input
    $message = stripslashes( $message );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    // Sanitize name input
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
    //mysql_close();
}
?>



trim() 函数移除字符串两侧的空格，以确保数据在插入到数据库时没有多余的空白字符。


使用 stripslashes() 函数去除反斜杠，同时使用 mysqli_real_escape_string() 函数转义特殊字符。


使用 mysqli_real_escape_string() 函数将特殊字符转义为它们的 Unicode 编码，以确保它们不会被视为 SQL 语句的一部分。

从源代码来看，它没有明确的防御 XSS 攻击的措施。


姿势

基于Message板块

Payload：<script>alert("qiu")</script>

image.png


基于Name板块

Name只允许输入八个字符，而XSS语句是比八个字符长的。

绕开长度限制： \color{#00FF00}{绕开长度限制：}绕开长度限制： 将页面Name元素的maxlength改为100


image.png

Payload：<script>alert("qiu")</script>

image.png

XSS(Stored)-medium level

源代码

<?php
if( isset( $_POST[ 'btnSign' ] ) ) {
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );
    // Sanitize message input
    $message = strip_tags( addslashes( $message ) );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $message = htmlspecialchars( $message );
    // Sanitize name input
    $name = str_replace( '<script>', '', $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
    //mysql_close();
}
?>


对留言内容 $message 进行了三种过滤：


使用 strip_tags() 函数移除所有 HTML 和 PHP 标签

使用 addslashes() 函数将字符串中的特殊字符转义（例如单引号、双引号和反斜杠）

使用 htmlspecialchars() 函数将message中特殊字符（例如 < > ' " &）转换为相应的 HTML 实体，以防止 XSS 攻击。

对姓名 $name 进行了两种过滤：


使用 str_replace() 函数将字符串中的<script>替换为空字符串

使用 mysqli_real_escape_string() 函数转义字符串中的特殊字符（例如单引号和双引号）以防止 SQL 注入攻击。

姿势

双写绕过

以message为注入点，Payload：<scrip<script>t>alert(1)</scr<script>ipt>

image.png

无回显，原因：htmlspecialchars() 函数将message中的特殊字符（例如 < > ' " &）转换为相应的 HTML 实体


以Name为注入点：

image.png


大小写绕过

由于str_replace() 函数对大小写敏感，可通过大小写绕过限制。

以Name为注入点，Payload：<Script>alert(1)</sCript>

image.png


Xss标签绕过

由于针对Name的str_replace() 函数只对<script>起过滤作用，因此可使用不同的Xss标签进行绕过。

以Name为注入点，Payload：<img src=1 onerror=alert(1)>

image.png


XSS(Stored)-high level

源代码

<?php
if( isset( $_POST[ 'btnSign' ] ) ) {
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );
    // Sanitize message input
    $message = strip_tags( addslashes( $message ) );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $message = htmlspecialchars( $message );
    // Sanitize name input
    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
    //mysql_close();
}
?>


对留言内容 $message 进行了三种过滤：


使用 strip_tags() 函数移除所有 HTML 和 PHP 标签

使用 addslashes() 函数将字符串中的特殊字符转义（例如单引号、双引号和反斜杠）

使用 htmlspecialchars() 函数将特殊字符如 < > ' " &转换为相应的 HTML 实体，以防止 XSS 攻击

对姓名 $name 进行了两种过滤：


使用 preg_replace() 函数将字符串中的 <script> 替换为空字符串

使用mysqli_real_escape_string() 函数转义字符串中的特殊字符（例如单引号和双引号）以防止 SQL 注入攻击。

姿势：Xss标签绕过

切换 X S S 标签 \color{#FF00FF}{切换XSS标签}切换XSS标签


以Name为注入点，Payload：<img src=1 onerror=alert(1)>

image.png


以Name为注入点，Payload：<audio src=1 onerror=alert(1)>

image.png


XSS(Stored)-Impossible level

源代码

<?php
if( isset( $_POST[ 'btnSign' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );
    // Sanitize message input
    $message = stripslashes( $message );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $message = htmlspecialchars( $message );
    // Sanitize name input
    $name = stripslashes( $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $name = htmlspecialchars( $name );
    // Update database
    $data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' );
    $data->bindParam( ':message', $message, PDO::PARAM_STR );
    $data->bindParam( ':name', $name, PDO::PARAM_STR );
    $data->execute();
}
// Generate Anti-CSRF token
generateSessionToken();
?>


代码审计

if( isset( $_POST[ 'btnSign' ] ) ) {

1

该行通过 isset() 函数判断 PHP 脚本是否是由提交按钮 btnSign 触发的。如果是，则执行后续代码。


接着，代码调用了 checkToken() 函数，用于验证 Anti-CSRF token 是否匹配：


checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

这个函数需要三个参数：用户提交的 CSRF token、服务器存储的 CSRF token 和当前页面的 URL。函数会检查两个 token 是否相同，以及请求是否来自于正确的来源，从而避免跨站点攻击。


接下来的代码获取了用户输入的姓名和留言信息：


$message = trim( $_POST[ 'mtxMessage' ] );

$name    = trim( $_POST[ 'txtName' ] );


trim() 函数移除字符串两侧的空格。这样可以确保数据在插入到数据库时没有多余的空白字符。


然后，使用 stripslashes() 函数去除反斜杠，同时使用 mysqli_real_escape_string() 函数转义特殊字符：

$message = stripslashes( $message );
$message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$message = htmlspecialchars( $message );
$name = stripslashes( $name );
$name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$name = htmlspecialchars( $name );



mysqli_real_escape_string() 将特殊字符转义为 Unicode 编码。


最后，使用 htmlspecialchars() 函数对用户输入的数据进行 HTML 编码，以防止 XSS 攻击。该函数将 HTML 特殊字符转义为实体，从而避免恶意代码在浏览器中执行。


接下来的代码，使用 PDO 对用户数据进行插入：


$data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' );

$data->bindParam( ':message', $message, PDO::PARAM_STR );

$data->bindParam( ':name', $name, PDO::PARAM_STR );

$data->execute();

$db 是一个预先创建的 PDO 数据库连接。这个代码段使用了 PDO 的预准备语句（prepared statement）功能，这是一种避免 SQL 注入攻击的最佳方法之一。使用 bindParam() 函数将实际插入的值与数据库字段绑定起来，确保即使用户输入包含非法字符也不会对 SQL 查询产生影响。


最后，调用 generateSessionToken() 函数来生成 Anti-CSRF token：


generateSessionToken();

1

这个函数采用某些规则生成随机的 session_token，并将其存储在 PHP 会话中。


总结

以上为[网络安全]DVWA之XSS(Reflected)攻击姿势及解题详析合集，读者可躬身实践。


[网络安全]DVWA之XSS合集：


[网络安全]DVWA之XSS(DOM)攻击姿势及解题详析合集


[网络安全]DVWA之XSS(Reflected)攻击姿势及解题详析合集


我是秋说，我们下次见。

文章标签：
云数据库 RDS MySQL 版
JavaScript
PHP
SQL
网络安全
数据库
存储
数据库连接
关键词：
网络安全攻击
XSS攻击
网络安全xss
XSS网络安全
dvwa XSS stored
相关实践学习
如何在云端创建MySQL数据库
开始实验后，系统会自动创建一台自建MySQL的 源数据库 ECS 实例和一台 目标数据库 RDS。
全面了解阿里云能为你做什么
阿里云在全球各地部署高效节能的绿色数据中心，利用清洁计算为万物互联的新世界提供源源不断的能源动力，目前开服的区域包括中国（华北、华东、华南、香港）、新加坡、美国（美东、美西）、欧洲、中东、澳大利亚、日本。目前阿里云的产品涵盖弹性计算、数据库、存储与CDN、分析与搜索、云通信、网络、管理与监控、应用服务、互联网中间件、移动服务、视频服务等。通过本课程，来了解阿里云能够为你的业务带来哪些帮助 &nbsp; &nbsp; 相关的阿里云产品：云服务器ECS 云服务器 ECS（Elastic Compute Service）是一种弹性可伸缩的计算服务，助您降低 IT 成本，提升运维效率，使您更专注于核心业务创新。产品详情: https://www.aliyun.com/product/ecs
秋说
目录
相关文章
那年春天
|
1月前
|
JavaScript 安全 前端开发
同源策略如何防止 XSS 攻击？
【10月更文挑战第31天】同源策略通过对 DOM 访问、Cookie 访问、脚本执行环境和跨源网络请求等多方面的严格限制，构建了一道坚实的安全防线，有效地防止了 XSS 攻击，保护了用户在网络浏览过程中的数据安全和隐私。
那年春天
99 49
肾透侧视攻城狮
|
1月前
|
存储 JSON 安全
2024全网最全面及最新的网络安全技巧 二 之 CSRF+XSS漏洞的各类利用技巧
2024全网最全面及最新的网络安全技巧 二 之 CSRF+XSS漏洞的各类利用技巧
肾透侧视攻城狮
33 6
土木林森
|
1月前
|
安全 前端开发 Java
Web安全进阶：XSS与CSRF攻击防御策略深度解析
【10月更文挑战第26天】Web安全是现代软件开发的重要领域，本文深入探讨了XSS和CSRF两种常见攻击的原理及防御策略。针对XSS，介绍了输入验证与转义、使用CSP、WAF、HTTP-only Cookie和代码审查等方法。对于CSRF，提出了启用CSRF保护、设置CSRF Token、使用HTTPS、二次验证和用户教育等措施。通过这些策略，开发者可以构建更安全的Web应用。
土木林森
93 4
土木林森
|
1月前
|
安全 Go PHP
Web安全进阶：XSS与CSRF攻击防御策略深度解析
【10月更文挑战第27天】本文深入解析了Web安全中的XSS和CSRF攻击防御策略。针对XSS，介绍了输入验证与净化、内容安全策略（CSP）和HTTP头部安全配置；针对CSRF，提出了使用CSRF令牌、验证HTTP请求头、限制同源策略和双重提交Cookie等方法，帮助开发者有效保护网站和用户数据安全。
土木林森
74 2
土木林森
|
1月前
|
存储 安全 Go
Web安全基础：防范XSS与CSRF攻击的方法
【10月更文挑战第25天】Web安全是互联网应用开发中的重要环节。本文通过具体案例分析了跨站脚本攻击（XSS）和跨站请求伪造（CSRF）的原理及防范方法，包括服务器端数据过滤、使用Content Security Policy (CSP)、添加CSRF令牌等措施，帮助开发者构建更安全的Web应用。
土木林森
96 3
蓝易云
|
1月前
|
SQL 存储 安全
什么是XSS攻击？什么是SQL注入攻击？什么是CSRF攻击？
理解并防范XSS、SQL注入和CSRF攻击是Web应用安全的基础。通过采用严格的输入验证、使用安全编码实践以及实现适当的身份验证和授权机制，可以有效防止这些常见的Web攻击，保障应用程序和用户的数据安全。
蓝易云
41 0
数据知道
|
3月前
|
存储 安全 JavaScript
XSS跨站脚本攻击详解（包括攻击方式和防御方式）
这篇文章详细解释了XSS跨站脚本攻击的概念、原理、特点、类型，并提供了攻击方式和防御方法。
数据知道
570 1
派大鑫的工作室
|
2月前
|
存储 JavaScript 安全
XSS攻击详解
XSS攻击详解
派大鑫的工作室
94 0
派大鑫的工作室
|
2月前
|
存储 JavaScript 前端开发
Xss跨站脚本攻击（Cross Site Script）
Xss跨站脚本攻击（Cross Site Script）
派大鑫的工作室
127 0
wljslmz
|
4月前
|
存储 安全 JavaScript
解释 XSS 攻击及其预防措施
【8月更文挑战第31天】
wljslmz
343 0

热门文章

最新文章

  • 1
    【网络连接】ping不通的常见原因+解决方案，如何在只能访问网关时诊断，并修复IP不通的问题
  • 2
    【深度神经网络 One-shot Learning】孪生网络少样本精准分类
  • 3
    访问windows 共享提示&quot;找不到网络路径&quot; 排查过程
  • 4
    指数退避（Exponential backoff）在网络请求中的应用
  • 5
    DL之ANN/DNN： 人工神经网络ANN/DNN深度神经网络算法的简介、应用、经典案例之详细攻略
  • 6
    第二章--（第七单元）--访问网络文件共享服务
  • 7
    网络硬盘使用技巧
  • 8
    新疆电信新疆联通签网络合作协议
  • 9
    视觉神经网络模型优秀开源工作：PyTorch Image Models（timm）库（下）
  • 10
    基于C++(QT框架)设计的网络摄像头项目(支持跨平台运行)
  • 1
    网络安全与信息安全：防护之道与攻防之策
    62
  • 2
    【网络安全 | 网络协议】一文讲清HTTP协议
    137
  • 3
    什么是网络安全等级保护测评（等保测评）？
    276
  • 4
    网络安全与信息安全：保护你的数据，保护你的世界
    51
  • 5
    网络防御前线：洞悉漏洞、加密之盾与安全意识觉醒
    40
  • 6
    探索现代网络安全的多层次防御机制
    206
  • 7
    网络安全与信息安全：防御前线的关键技术与意识觉醒
    44
  • 8
    数字堡垒的构建者：网络安全与信息安全的深层剖析
    60
  • 9
    网络安全与信息安全：防御前线的科学与艺术
    43
  • 10
    数字证书是网络安全领域不可或缺的一部分
    96

    • 相关课程

    更多
  • 云计算工程师解析与实战-网络专家篇（体验版）
  • 云网络白皮书-阿里云网络系列课
  • 网络安全攻防 - Web渗透测试
  • 企业上云攻略-阿里云网络产品应用系列教程
  • Linux网络进阶 - TCP/IP协议及OSI七层模型
  • 网络管理者必知-2分钟了解新出台的《网络安全法》

    • 相关电子书

    更多
  • 如何面对网络安全问题的挑战？治理企业的IT是关键
  • 2016阿里安全峰会-网络安全与区块链
  • 2016阿里安全峰会—— 网络安全情报在企业侧的落地与实践

    • 相关实验场景

    更多
  • 容器的网络入门
  • 容器的自定义网络
  • 容器的共享网络模型
  • 使用阿里云容器服务和容器网络文件系统搭建WordPress网站
    • 下一篇
    DataWorks