AI 助理
备案控制台
开发者社区 数据库 文章 正文

[网络安全]DVWA之XSS(Stored)攻击姿势及解题详析合集

2023-05-22 104
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
本文涉及的产品
RDS MySQL Serverless 基础系列，0.5-2RCU 50GB
推荐场景：
学生管理系统数据库设计 搭建个人博客
云数据库 RDS MySQL，集群系列 2核4GB
推荐场景：
搭建个人博客
云数据库 RDS MySQL，高可用系列 2核4GB
简介： trim() 函数移除字符串两侧的空格，以确保数据在插入到数据库时没有多余的空白字符

XSS(Stored)-low level

源代码

<?php


if( isset( $_POST[ 'btnSign' ] ) ) {
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );
    // Sanitize message input
    $message = stripslashes( $message );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    // Sanitize name input
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
    //mysql_close();
}
?>



trim() 函数移除字符串两侧的空格，以确保数据在插入到数据库时没有多余的空白字符。


使用 stripslashes() 函数去除反斜杠，同时使用 mysqli_real_escape_string() 函数转义特殊字符。


使用 mysqli_real_escape_string() 函数将特殊字符转义为它们的 Unicode 编码，以确保它们不会被视为 SQL 语句的一部分。

从源代码来看，它没有明确的防御 XSS 攻击的措施。


姿势

基于Message板块

Payload：<script>alert("qiu")</script>

image.png


基于Name板块

Name只允许输入八个字符，而XSS语句是比八个字符长的。

绕开长度限制： \color{#00FF00}{绕开长度限制：}绕开长度限制： 将页面Name元素的maxlength改为100


image.png

Payload：<script>alert("qiu")</script>

image.png

XSS(Stored)-medium level

源代码

<?php
if( isset( $_POST[ 'btnSign' ] ) ) {
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );
    // Sanitize message input
    $message = strip_tags( addslashes( $message ) );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $message = htmlspecialchars( $message );
    // Sanitize name input
    $name = str_replace( '<script>', '', $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
    //mysql_close();
}
?>


对留言内容 $message 进行了三种过滤：


使用 strip_tags() 函数移除所有 HTML 和 PHP 标签

使用 addslashes() 函数将字符串中的特殊字符转义（例如单引号、双引号和反斜杠）

使用 htmlspecialchars() 函数将message中特殊字符（例如 < > ' " &）转换为相应的 HTML 实体，以防止 XSS 攻击。

对姓名 $name 进行了两种过滤：


使用 str_replace() 函数将字符串中的<script>替换为空字符串

使用 mysqli_real_escape_string() 函数转义字符串中的特殊字符（例如单引号和双引号）以防止 SQL 注入攻击。

姿势

双写绕过

以message为注入点，Payload：<scrip<script>t>alert(1)</scr<script>ipt>

image.png

无回显，原因：htmlspecialchars() 函数将message中的特殊字符（例如 < > ' " &）转换为相应的 HTML 实体


以Name为注入点：

image.png


大小写绕过

由于str_replace() 函数对大小写敏感，可通过大小写绕过限制。

以Name为注入点，Payload：<Script>alert(1)</sCript>

image.png


Xss标签绕过

由于针对Name的str_replace() 函数只对<script>起过滤作用，因此可使用不同的Xss标签进行绕过。

以Name为注入点，Payload：<img src=1 onerror=alert(1)>

image.png


XSS(Stored)-high level

源代码

<?php
if( isset( $_POST[ 'btnSign' ] ) ) {
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );
    // Sanitize message input
    $message = strip_tags( addslashes( $message ) );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $message = htmlspecialchars( $message );
    // Sanitize name input
    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
    //mysql_close();
}
?>


对留言内容 $message 进行了三种过滤：


使用 strip_tags() 函数移除所有 HTML 和 PHP 标签

使用 addslashes() 函数将字符串中的特殊字符转义（例如单引号、双引号和反斜杠）

使用 htmlspecialchars() 函数将特殊字符如 < > ' " &转换为相应的 HTML 实体，以防止 XSS 攻击

对姓名 $name 进行了两种过滤：


使用 preg_replace() 函数将字符串中的 <script> 替换为空字符串

使用mysqli_real_escape_string() 函数转义字符串中的特殊字符（例如单引号和双引号）以防止 SQL 注入攻击。

姿势：Xss标签绕过

切换 X S S 标签 \color{#FF00FF}{切换XSS标签}切换XSS标签


以Name为注入点，Payload：<img src=1 onerror=alert(1)>

image.png


以Name为注入点，Payload：<audio src=1 onerror=alert(1)>

image.png


XSS(Stored)-Impossible level

源代码

<?php
if( isset( $_POST[ 'btnSign' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );
    // Sanitize message input
    $message = stripslashes( $message );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $message = htmlspecialchars( $message );
    // Sanitize name input
    $name = stripslashes( $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $name = htmlspecialchars( $name );
    // Update database
    $data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' );
    $data->bindParam( ':message', $message, PDO::PARAM_STR );
    $data->bindParam( ':name', $name, PDO::PARAM_STR );
    $data->execute();
}
// Generate Anti-CSRF token
generateSessionToken();
?>


代码审计

if( isset( $_POST[ 'btnSign' ] ) ) {

1

该行通过 isset() 函数判断 PHP 脚本是否是由提交按钮 btnSign 触发的。如果是，则执行后续代码。


接着，代码调用了 checkToken() 函数，用于验证 Anti-CSRF token 是否匹配：


checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

这个函数需要三个参数：用户提交的 CSRF token、服务器存储的 CSRF token 和当前页面的 URL。函数会检查两个 token 是否相同，以及请求是否来自于正确的来源，从而避免跨站点攻击。


接下来的代码获取了用户输入的姓名和留言信息：


$message = trim( $_POST[ 'mtxMessage' ] );

$name    = trim( $_POST[ 'txtName' ] );


trim() 函数移除字符串两侧的空格。这样可以确保数据在插入到数据库时没有多余的空白字符。


然后，使用 stripslashes() 函数去除反斜杠，同时使用 mysqli_real_escape_string() 函数转义特殊字符：

$message = stripslashes( $message );
$message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$message = htmlspecialchars( $message );
$name = stripslashes( $name );
$name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$name = htmlspecialchars( $name );



mysqli_real_escape_string() 将特殊字符转义为 Unicode 编码。


最后，使用 htmlspecialchars() 函数对用户输入的数据进行 HTML 编码，以防止 XSS 攻击。该函数将 HTML 特殊字符转义为实体，从而避免恶意代码在浏览器中执行。


接下来的代码，使用 PDO 对用户数据进行插入：


$data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' );

$data->bindParam( ':message', $message, PDO::PARAM_STR );

$data->bindParam( ':name', $name, PDO::PARAM_STR );

$data->execute();

$db 是一个预先创建的 PDO 数据库连接。这个代码段使用了 PDO 的预准备语句（prepared statement）功能，这是一种避免 SQL 注入攻击的最佳方法之一。使用 bindParam() 函数将实际插入的值与数据库字段绑定起来，确保即使用户输入包含非法字符也不会对 SQL 查询产生影响。


最后，调用 generateSessionToken() 函数来生成 Anti-CSRF token：


generateSessionToken();

1

这个函数采用某些规则生成随机的 session_token，并将其存储在 PHP 会话中。


总结

以上为[网络安全]DVWA之XSS(Reflected)攻击姿势及解题详析合集，读者可躬身实践。


[网络安全]DVWA之XSS合集：


[网络安全]DVWA之XSS(DOM)攻击姿势及解题详析合集


[网络安全]DVWA之XSS(Reflected)攻击姿势及解题详析合集


我是秋说，我们下次见。

文章标签：
云数据库 RDS MySQL 版
JavaScript
PHP
SQL
网络安全
数据库
存储
数据库连接
关键词：
XSS攻击
网络安全攻击
网络安全xss
XSS网络安全
dvwa XSS stored
相关实践学习
如何在云端创建MySQL数据库
开始实验后，系统会自动创建一台自建MySQL的 源数据库 ECS 实例和一台 目标数据库 RDS。
全面了解阿里云能为你做什么
阿里云在全球各地部署高效节能的绿色数据中心，利用清洁计算为万物互联的新世界提供源源不断的能源动力，目前开服的区域包括中国（华北、华东、华南、香港）、新加坡、美国（美东、美西）、欧洲、中东、澳大利亚、日本。目前阿里云的产品涵盖弹性计算、数据库、存储与CDN、分析与搜索、云通信、网络、管理与监控、应用服务、互联网中间件、移动服务、视频服务等。通过本课程，来了解阿里云能够为你的业务带来哪些帮助 &nbsp; &nbsp; 相关的阿里云产品：云服务器ECS 云服务器 ECS（Elastic Compute Service）是一种弹性可伸缩的计算服务，助您降低 IT 成本，提升运维效率，使您更专注于核心业务创新。产品详情: https://www.aliyun.com/product/ecs
秋说
目录
相关文章
德迅云安全杨德俊
|
1天前
|
云安全 缓存 网络协议
如何防护DDoS攻击，筑牢网络安全防线
随着信息技术的飞速发展，网络已成为现代社会不可或缺的一部分，极大地便利了个人社交和商业活动。然而，网络空间在创造无限机遇的同时，也潜藏着诸多威胁，其中分布式拒绝服务攻击（DDoS，Distributed Denial of Service）以其高破坏力和难以防范的特点，成为网络安全领域的一大挑战。本文将从DDoS攻击的原理出发，详细探讨如何有效防护DDoS攻击，以筑牢网络安全防线。
德迅云安全杨德俊
14 2
wljslmz
|
25天前
|
SQL 监控 安全
网络安全的守护者：深入了解Web攻击与SafeLine WAF防御策略
【8月更文挑战第20天】
wljslmz
66 2
wljslmz
|
21天前
|
运维 监控 网络协议
深入理解DDoS攻击及其对网络安全的影响
【8月更文挑战第24天】
wljslmz
52 0
德迅云安全杨德俊
|
2月前
|
SQL 云安全 安全
当前网络安全问题日益凸显，有哪些常见的网站攻击及对应的防御策略
随着互联网技术的飞速发展，我们的生活越来越离不开网络。然而，网络的普及也伴随着网络安全问题的日益凸显。网站攻击事件频发，不仅威胁到个人隐私，还可能导致企业经济损失和社会稳定问题。因此，了解常见的网站攻击方式及相应的防御策略，对于维护网络安全具有重要意义。
德迅云安全杨德俊
61 10
老板这功能得加钱
|
4月前
|
前端开发 网络安全
【XSS平台】使用(1)，网络安全插件化+模块化+组件化+热修复
【XSS平台】使用(1)，网络安全插件化+模块化+组件化+热修复
老板这功能得加钱
54 4
老板这功能得加钱
|
4月前
|
前端开发 网络安全
【XSS平台】使用，网络安全开发必学
【XSS平台】使用，网络安全开发必学
老板这功能得加钱
112 3
1941623231718325
|
4月前
|
安全 网络安全 数据安全/隐私保护
网络安全：如何保护你的网络不受黑客攻击
【5月更文挑战第10天】 网络安全摘要：强化密码安全，使用防病毒软件，启用防火墙，定期更新软件，使用安全网络连接，备份重要数据，提高安全意识。这七大措施助你构建安全网络环境，抵御黑客攻击。记得持续学习，适应不断变化的威胁。
1941623231718325
97 2
技术混子
|
2天前
|
安全 算法 网络安全
网络安全与信息安全：关于网络安全漏洞、加密技术、安全意识等方面的知识分享
【9月更文挑战第11天】在数字化时代，网络安全与信息安全已成为我们生活中不可或缺的一部分。本文将探讨网络安全漏洞、加密技术以及安全意识等方面的知识，并提供一些实用的技巧和建议，帮助读者提高网络安全防护能力。
技术混子
25 12
天下无贼001
|
3天前
|
安全 网络协议 网络安全
网络安全与信息安全：关于网络安全漏洞、加密技术、安全意识等方面的知识分享
【9月更文挑战第10天】在数字化时代，网络安全和信息安全已成为我们生活中不可或缺的一部分。本文将介绍网络安全漏洞、加密技术和安全意识等方面的知识，帮助读者更好地了解网络安全的重要性，并提高自己的网络安全防护能力。
天下无贼001
29 11
游客qf4jmczx4xu2y
|
2天前
|
SQL 安全 网络安全
网络安全与信息安全：关于网络安全漏洞、加密技术、安全意识等方面的知识分享
【9月更文挑战第11天】在数字时代，网络安全和信息安全已经成为我们生活中不可或缺的一部分。本文将介绍网络安全漏洞、加密技术以及安全意识等方面的知识，帮助读者更好地了解网络安全的重要性，并提供一些实用的建议来保护自己的信息安全。
游客qf4jmczx4xu2y
19 9

热门文章

最新文章

  • 1
    互联网普及率即将过半 网络安全产业前景广阔
  • 2
    针对校园欺凌 英国拟向 Facebook 和 Twitter 征收网络安全税
  • 3
    Akamai最新网络安全报告：DDoS攻击同比增125%
  • 4
    美计算机科学学者建议：加强青少年网络安全意识引导
  • 5
    扩大传播面，让网络安全宣传更有力
  • 6
    辰信领创联合发起创新战略联盟 网络安全与人工智能融合提速
  • 7
    报告称仅45%的企业对其网络安全有信心
  • 8
    AT&T、IBM等公司结成新的物联网网络安全联盟
  • 9
    AI 黑客会大规模进军网络安全领域吗？为时尚早，因为太贵了
  • 10
    大型企业网络安全性分析
  • 1
    状态码对于理解HTTP请求和响应的流程，以及调试网络问题非常重要
    46
  • 2
    漏洞扫描系统可以用于发现网络入侵者？
    43
  • 3
    【开源推荐】好用的网络调试神器--proxyman
    346
  • 4
    网络安全与信息安全：保护您的数据和隐私
    41
  • 5
    云端防御策略：在云计算时代维护网络安全与信息完整性
    28
  • 6
    云端防御战线：云计算环境下的网络安全策略
    30
  • 7
    深度学习网络训练，Loss出现Nan的解决办法
    324
  • 8
    Batch Size 对神经网络训练的影响
    68
  • 9
    什么是网络游戏里的人机概念
    109
  • 10
    神经网络中的神经元和激活函数介绍
    66

    • 相关课程

    更多
  • 云计算工程师解析与实战-网络专家篇（体验版）
  • 云网络白皮书-阿里云网络系列课
  • 网络安全攻防 - Web渗透测试
  • 企业上云攻略-阿里云网络产品应用系列教程
  • Linux网络进阶 - TCP/IP协议及OSI七层模型
  • 网络管理者必知-2分钟了解新出台的《网络安全法》

    • 相关电子书

    更多
  • 如何面对网络安全问题的挑战？治理企业的IT是关键
  • 2016阿里安全峰会-网络安全与区块链
  • 2016阿里安全峰会—— 网络安全情报在企业侧的落地与实践

    • 相关实验场景

    更多
  • 容器的网络入门
  • 容器的自定义网络
  • 容器的共享网络模型
  • 使用阿里云容器服务和容器网络文件系统搭建WordPress网站
    • 下一篇
    基于LNMP搭建WordPress