搜索

[10861] 2016-12-25_新手指南：DVWA-1.9全级别教程（完结篇，附实例）之XSS

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2016-12-25_新手指南：DVWA-1.9全级别教程（完结篇，附实例）之XSS 新 手 指 南 ： D V W A - 1 . 9 全 级 别 教 程 （ 完 结 篇 ， 附 实 例 ） 之 X S S l o n e h a n d   F r e e B u f   2 0 1 6 - 1 2 - 2 5 *   本 文 原 创 作 者 ： l o n e h a n d ， 转 载 请 注 明 来 自 F r e e B u f . C O M 目 前 ， 最 新 的 目 前 ， 最 新 的 D V W A 已 经 更 新 到 已 经 更 新 到 1 . 9 版 本 （ 版 本 （ h t t p : / / w w w . d v w a . c o . u k / ） ， 而 网 上 的 教 程 大 多 停 留 在 旧 版 本 ， 且 没 有 针 对 而 网 上 的 教 程 大 多 停 留 在 旧 版 本 ， 且 没 有 针 对 D V W A   h i g h 级 别 的 教 程 ， 因 此 萌 发 了 一 个 撰 写 新 手 教 程 的 想 法 ， 错 误 的 地 方 还 请 大 家 指 正 。 级 别 的 教 程 ， 因 此 萌 发 了 一 个 撰 写 新 手 教 程 的 想 法 ， 错 误 的 地 方 还 请 大 家 指 正 。 D V W A 简 介 简 介 D V W A （ D a m n   V u l n e r a b l e   W e b   A p p l i c a t i o n ） 是 一 个 用 来 进 行 安 全 脆 弱 性 鉴 定 的 P H P / M y S Q L   W e b 应 用 ， 旨 在 为 安 全 专 业 人 员 测 试 自 己 的 专 业 技 能 和 工 具 提 供 合 法 的 环 境 ， 帮 助 w e b 开 发 者 更 好 的 理 解 w e b 应 用 安 全 防 范 的 过 程 。 D V W A 共 有 十 个 模 块 ， 分 别 是 ： B r u t e   F o r c e （ 暴 力 （ 破 解 ） ） C o m m a n d   I n j e c t i o n （ 命 令 行 注 入 ） C S R F （ 跨 站 请 求 伪 造 ） F i l e   I n c l u s i o n （ 文 件 包 含 ） F i l e   U p l o a d （ 文 件 上 传 ） I n s e c u r e   C A P T C H A   （ 不 安 全 的 验 证 码 ） S Q L   I n j e c t i o n （ S Q L 注 入 ） S Q L   I n j e c t i o n （ B l i n d ） （ S Q L 盲 注 ） X S S （ R e f l e c t e d ） （ 反 射 型 跨 站 脚 本 ） X S S （ S t o r e d ） （ 存 储 型 跨 站 脚 本 ） 需 要 注 意 的 是 ， D V W A   1 . 9 的 代 码 分 为 四 种 安 全 级 别 ： L o w ， M e d i u m ， H i g h ， I m p o s s i b l e 。 初 学 者 可 以 通 过 比 较 四 种 级 别 的 代 码 ， 接 触 到 一 些 P H P 代 码 审 计 的 内 容 。
D V W A 的 搭 建 的 搭 建 F r e e b u f 上 的 文 章 《 新 手 指 南 ： 手 把 手 教 你 如 何 搭 建 自 己 的 渗 透 测 试 环 境 》 已 经 写 得 非 常 好 了 ， 在 这 里 就 不 赘 述 了 。 本 篇 为 完 结 篇 ， 介 绍 X S S 模 块 的 相 关 内 容 ， 之 前 的 教 程 包 括 （ 点 击 文 末 的 阅 读 原 文 ， 查 看 这 些 文 章 ） ： B r u t e   F o r c e C o m m a n d   I n j e c t i o n                         C S R F F i l e   I n c l u s i o n F i l e   U p l o a d I n s e c u r e   C A P T C H A S Q L   I n j e c t i o n S Q L   I n j e c t i o n （ B l i n d ）   X S S X S S ， 全 称 C r o s s   S i t e   S c r i p t i n g ， 即 跨 站 脚 本 攻 击 ， 某 种 意 义 上 也 是 一 种 注 入 攻 击 ， 是 指 攻 击 者 在 页 面 中 注 入 恶 意 的 脚 本 代 码 ， 当 受 害 者 访 问 该 页 面 时 ， 恶 意 代 码 会 在 其 浏 览 器 上 执 行 ， 需 要 强 调 的 是 ， X S S 不 仅 仅 限 于 J a v a S c r i p t ， 还 包 括 f l a s h 等 其 它 脚 本 语 言 。 根 据 恶 意 代 码 是 否 存 储 在 服 务 器 中 ， X S S 可 以 分 为 存 储 型 的 X S S 与 反 射 型 的 X S S 。 D O M 型 的 X S S 由 于 其 特 殊 性 ， 常 常 被 分 为 第 三 种 ， 这 是 一 种 基 于 D O M 树 的 X S S 。 例 如 服 务 器 端 经 常 使 用 d o c u m e n t . b o b y . i n n e r H t m l 等 函 数 动 态 生 成 h t m l 页 面 ， 如 果 这 些 函 数 在 引 用 某 些 变 量 时 没 有 进 行 过 滤 或 检 查 ， 就 会 产 生 D O M 型 的 X S S 。 D O M 型 X S S 可 能 是 存 储 型 ， 也 有 可 能 是 反 射 型 。 （ 注 ： 下 面 的 实 验 都 是 在 F i r e f o x 浏 览 器 下 进 行 的 ， 感 谢 火 狐 没 做 X S S   f i l t e r ） 反 射 反 射 型 型 X S S 下 面 对 四 种 级 别 的 代 码 进 行 分 析 。 L o w 服 务 器 端 核 心 代 码 < ? p h p   / /   I s   t h e r e   a n y   i n p u t ?   i f (   a r r a y _ k e y _ e x i s t s (   " n a m e " ,   $ _ G E T   )   & &   $ _ G E T [   ' n a m e '   ]   ! =   N U L L   )   {           / /   F e e d b a c k   f o r   e n d   u s e r           e c h o   ' < p r e > H e l l o   '   .   $ _ G E T [   ' n a m e '   ]   .   ' < / p r e > ' ;   }   ? > 可 以 看 到 ， 代 码 直 接 引 用 了 n a m e 参 数 ， 并 没 有 任 何 的 过 滤 与 检 查 ， 存 在 明 显 的 X S S 漏 洞 。
漏 洞 利 用 漏 洞 利 用                 输 入 < s c r i p t > a l e r t ( / x s s / ) < / s c r i p t > ， 成 功 弹 框 ： 相 应 的 X S S 链 接 ： h t t p : / / 1 9 2 . 1 6 8 . 1 5 3 . 1 3 0 / d v w a / v u l n e r a b i l i t i e s / x s s _ r / ? n a m e = % 3 C s c r i p t % 3 E a l e r t ( / x s s / ) % 3 C % 2 F s c r i p t % 3 E # M e d i u m 服 务 器 端 核 心 代 码 < ? p h p   / /   I s   t h e r e   a n y   i n p u t ?   i f (   a r r a y _ k e y _ e x i s t s (   " n a m e " ,   $ _ G E T   )   & &   $ _ G E T [   ' n a m e '   ]   ! =   N U L L   )   {           / /   G e t   i n p u t           $ n a m e   =   s t r _ r e p l a c e (   ' < s c r i p t > ' ,   ' ' ,   $ _ G E T [   ' n a m e '   ]   ) ;           / /   F e e d b a c k   f o r   e n d   u s e r           e c h o   " < p r e > H e l l o   $ { n a m e } < / p r e > " ;   }   ? > 可 以 看 到 ， 这 里 对 输 入 进 行 了 过 滤 ， 基 于 黑 名 单 的 思 想 ， 使 用 s t r _ r e p l a c e 函 数 将 输 入 中 的 < s c r i p t > 删 除 ， 这 种 防 护 机 制 是 可 以 被 轻 松 绕 过 的 。 漏 洞 利 用 漏 洞 利 用                 1 . 双 写 绕 过 输 入 < s c < s c r i p t > r i p t > a l e r t ( / x s s / ) < / s c r i p t > ， 成 功 弹 框 ：
  相 应 的 X S S 链 接 ： h t t p : / / 1 9 2 . 1 6 8 . 1 5 3 . 1 3 0 / d v w a / v u l n e r a b i l i t i e s / x s s _ r / ? n a m e = % 3 C s c % 3 C s c r i p t % 3 E r i p t % 3 E a l e r t % 2 8 % 2 F x s s % 2 F % 2 9 % 3 C % 2 F s c r i p t % 3 E # 2 . 大 小 写 混 淆 绕 过 输 入 < S c R i p t > a l e r t ( / x s s / ) < / s c r i p t > ， 成 功 弹 框 ： 相 应 的 X S S 链 接 ： h t t p : / / 1 9 2 . 1 6 8 . 1 5 3 . 1 3 0 / d v w a / v u l n e r a b i l i t i e s / x s s _ r / ? n a m e = % 3 C S c R i p t % 3 E a l e r t ( % 2 F x s s % 2 F ) % 3 C % 2 F s c r i p t % 3 E # H i g h 服 务 器 端 核 心 代 码 < ? p h p   / /   I s   t h e r e   a n y   i n p u t ?   i f (   a r r a y _ k e y _ e x i s t s (   " n a m e " ,   $ _ G E T   )   & &   $ _ G E T [   ' n a m e '   ]   ! =   N U L L   )   {           / /   G e t   i n p u t           $ n a m e   =   p r e g _ r e p l a c e (   ' / < ( . * ) s ( . * ) c ( . * ) r ( . * ) i ( . * ) p ( . * ) t / i ' ,   ' ' ,   $ _ G E T [   ' n a m e '   ]   ) ;           / /   F e e d b a c k   f o r   e n d   u s e r           e c h o   " < p r e > H e l l o   $ { n a m e } < / p r e > " ;   }   ? > 可 以 看 到 ， H i g h 级 别 的 代 码 同 样 使 用 黑 名 单 过 滤 输 入 ， p r e g _ r e p l a c e ( )   函 数 用 于 正 则 表 达 式 的 搜 索 和 替 换 ， 这 使 得 双 写 绕 过 、 大 小 写 混 淆 绕 过 （ 正 则 表 达 式 中 i 表 示 不 区 分 大 小 写 ） 不 再 有 效 。
漏 洞 利 用 漏 洞 利 用 虽 然 无 法 使 用 < s c r i p t > 标 签 注 入 X S S 代 码 ， 但 是 可 以 通 过 i m g 、 b o d y 等 标 签 的 事 件 或 者 i f r a m e 等 标 签 的 s r c 注 入 恶 意 的 j s 代 码 。 输 入 < i m g   s r c = 1   o n e r r o r = a l e r t ( / x s s / ) > ， 成 功 弹 框 ： 相 应 的 X S S 链 接 ： h t t p : / / 1 9 2 . 1 6 8 . 1 5 3 . 1 3 0 / d v w a / v u l n e r a b i l i t i e s / x s s _ r / ? n a m e = % 3 C i m g + s r c % 3 D 1 + o n e r r o r % 3 D a l e r t % 2 8 % 2 F x s s % 2 F % 2 9 % 3 E # I m p o s s i b l e 服 务 器 端 核 心 代 码 < ? p h p   / /   I s   t h e r e   a n y   i n p u t ?   i f (   a r r a y _ k e y _ e x i s t s (   " n a m e " ,   $ _ G E T   )   & &   $ _ G E T [   ' n a m e '   ]   ! =   N U L L   )   {           / /   C h e c k   A n t i - C S R F   t o k e n           c h e c k T o k e n (   $ _ R E Q U E S T [   ' u s e r _ t o k e n '   ] ,   $ _ S E S S I O N [   ' s e s s i o n _ t o k e n '   ] ,   ' i n d e x . p h p '   ) ;           / /   G e t   i n p u t           $ n a m e   =   h t m l s p e c i a l c h a r s (   $ _ G E T [   ' n a m e '   ]   ) ;           / /   F e e d b a c k   f o r   e n d   u s e r           e c h o   " < p r e > H e l l o   $ { n a m e } < / p r e > " ;   }   / /   G e n e r a t e   A n t i - C S R F   t o k e n   g e n e r a t e S e s s i o n T o k e n ( ) ;   ? > 可 以 看 到 ， I m p o s s i b l e 级 别 的 代 码 使 用 h t m l s p e c i a l c h a r s 函 数 把 预 定 义 的 字 符 & 、 ” 、 ’ 、 < 、 > 转 换 为   H T M L   实 体 ， 防 止 浏 览 器 将 其 作 为 H T M L 元 素 。 存 储 型 存 储 型 X S S 下 面 对 四 种 级 别 的 代 码 进 行 分 析 。 L o w 服 务 器 端 核 心 代 码 < ? p h p   i f (   i s s e t (   $ _ P O S T [   ' b t n S i g n '   ]   )   )   {           / /   G e t   i n p u t           $ m e s s a g e   =   t r i m (   $ _ P O S T [   ' m t x M e s s a g e '   ]   ) ;           $ n a m e         =   t r i m (   $ _ P O S T [   ' t x t N a m e '   ]   ) ;           / /   S a n i t i z e   m e s s a g e   i n p u t           $ m e s s a g e   =   s t r i p s l a s h e s (   $ m e s s a g e   ) ;  
        $ m e s s a g e   =   m y s q l _ r e a l _ e s c a p e _ s t r i n g (   $ m e s s a g e   ) ;           / /   S a n i t i z e   n a m e   i n p u t           $ n a m e   =   m y s q l _ r e a l _ e s c a p e _ s t r i n g (   $ n a m e   ) ;           / /   U p d a t e   d a t a b a s e           $ q u e r y     =   " I N S E R T   I N T O   g u e s t b o o k   (   c o m m e n t ,   n a m e   )   V A L U E S   (   ' $ m e s s a g e ' ,   ' $ n a m e '   ) ; " ;           $ r e s u l t   =   m y s q l _ q u e r y (   $ q u e r y   )   o r   d i e (   ' < p r e > '   .   m y s q l _ e r r o r ( )   .   ' < / p r e > '   ) ;           / / m y s q l _ c l o s e ( ) ;   }   ? > 相 关 函 数 介 绍 t r i m ( s t r i n g , c h a r l i s t ) 函 数 移 除 字 符 串 两 侧 的 空 白 字 符 或 其 他 预 定 义 字 符 ， 预 定 义 字 符 包 括 、 t 、 n 、 x 0 B 、 r 以 及 空 格 ， 可 选 参 数 c h a r l i s t 支 持 添 加 额 外 需 要 删 除 的 字 符 。 m y s q l _ r e a l _ e s c a p e _ s t r i n g ( s t r i n g , c o n n e c t i o n ) 函 数 会 对 字 符 串 中 的 特 殊 符 号 （ x 0 0 ， n ， r ， ， ‘ ， “ ， x 1 a ） 进 行 转 义 。 s t r i p s l a s h e s ( s t r i n g ) 函 数 删 除 字 符 串 中 的 反 斜 杠 。 可 以 看 到 ， 对 输 入 并 没 有 做 X S S 方 面 的 过 滤 与 检 查 ， 且 存 储 在 数 据 库 中 ， 因 此 这 里 存 在 明 显 的 存 储 型 X S S 漏 洞 。 漏 洞 利 用 漏 洞 利 用                 m e s s a g e 一 栏 输 入 < s c r i p t > a l e r t ( / x s s / ) < / s c r i p t > ， 成 功 弹 框 ： n a m e 一 栏 前 端 有 字 数 限 制 ， 抓 包 改 为 < s c r i p t > a l e r t ( / n a m e / ) < / s c r i p t > ：
    成 功 弹 框 ： M e d i u m 服 务 器 端 核 心 代 码 < ? p h p   i f (   i s s e t (   $ _ P O S T [   ' b t n S i g n '   ]   )   )   {           / /   G e t   i n p u t           $ m e s s a g e   =   t r i m (   $ _ P O S T [   ' m t x M e s s a g e '   ]   ) ;           $ n a m e         =   t r i m (   $ _ P O S T [   ' t x t N a m e '   ]   ) ;           / /   S a n i t i z e   m e s s a g e   i n p u t           $ m e s s a g e   =   s t r i p _ t a g s (   a d d s l a s h e s (   $ m e s s a g e   )   ) ;           $ m e s s a g e   =   m y s q l _ r e a l _ e s c a p e _ s t r i n g (   $ m e s s a g e   ) ;           $ m e s s a g e   =   h t m l s p e c i a l c h a r s (   $ m e s s a g e   ) ;           / /   S a n i t i z e   n a m e   i n p u t           $ n a m e   =   s t r _ r e p l a c e (   ' < s c r i p t > ' ,   ' ' ,   $ n a m e   ) ;           $ n a m e   =   m y s q l _ r e a l _ e s c a p e _ s t r i n g (   $ n a m e   ) ;           / /   U p d a t e   d a t a b a s e           $ q u e r y     =   " I N S E R T   I N T O   g u e s t b o o k   (   c o m m e n t ,   n a m e   )   V A L U E S   (   ' $ m e s s a g e ' ,   ' $ n a m e '   ) ; " ;           $ r e s u l t   =   m y s q l _ q u e r y (   $ q u e r y   )   o r   d i e (   ' < p r e > '   .   m y s q l _ e r r o r ( )   .   ' < / p r e > '   ) ;           / / m y s q l _ c l o s e ( ) ;   }   ? > 相 关 函 数 说 明 s t r i p _ t a g s ( )   函 数 剥 去 字 符 串 中 的   H T M L 、 X M L   以 及   P H P   的 标 签 ， 但 允 许 使 用 < b > 标 签 。 a d d s l a s h e s ( )   函 数 返 回 在 预 定 义 字 符 （ 单 引 号 、 双 引 号 、 反 斜 杠 、 N U L L ） 之 前 添 加 反 斜 杠 的 字 符 串 。
可 以 看 到 ， 由 于 对 m e s s a g e 参 数 使 用 了 h t m l s p e c i a l c h a r s 函 数 进 行 编 码 ， 因 此 无 法 再 通 过 m e s s a g e 参 数 注 入 X S S 代 码 ， 但 是 对 于 n a m e 参 数 ， 只 是 简 单 过 滤 了 < s c r i p t > 字 符 串 ， 仍 然 存 在 存 储 型 的 X S S 。 漏 洞 利 用 漏 洞 利 用                 1 . 双 写 绕 过 抓 包 改 n a m e 参 数 为 < s c < s c r i p t > r i p t > a l e r t ( / x s s / ) < / s c r i p t > :             成 功 弹 框 2 . 大 小 写 混 淆 绕 过 抓 包 改 n a m e 参 数 为 < S c r i p t > a l e r t ( / x s s / ) < / s c r i p t > : 成 功 弹 框 ：
H i g h 服 务 器 端 核 心 代 码 < ? p h p   i f (   i s s e t (   $ _ P O S T [   ' b t n S i g n '   ]   )   )   {           / /   G e t   i n p u t           $ m e s s a g e   =   t r i m (   $ _ P O S T [   ' m t x M e s s a g e '   ]   ) ;           $ n a m e         =   t r i m (   $ _ P O S T [   ' t x t N a m e '   ]   ) ;           / /   S a n i t i z e   m e s s a g e   i n p u t           $ m e s s a g e   =   s t r i p _ t a g s (   a d d s l a s h e s (   $ m e s s a g e   )   ) ;           $ m e s s a g e   =   m y s q l _ r e a l _ e s c a p e _ s t r i n g (   $ m e s s a g e   ) ;           $ m e s s a g e   =   h t m l s p e c i a l c h a r s (   $ m e s s a g e   ) ;           / /   S a n i t i z e   n a m e   i n p u t           $ n a m e   =   p r e g _ r e p l a c e (   ' / < ( . * ) s ( . * ) c ( . * ) r ( . * ) i ( . * ) p ( . * ) t / i ' ,   ' ' ,   $ n a m e   ) ;           $ n a m e   =   m y s q l _ r e a l _ e s c a p e _ s t r i n g (   $ n a m e   ) ;           / /   U p d a t e   d a t a b a s e           $ q u e r y     =   " I N S E R T   I N T O   g u e s t b o o k   (   c o m m e n t ,   n a m e   )   V A L U E S   (   ' $ m e s s a g e ' ,   ' $ n a m e '   ) ; " ;           $ r e s u l t   =   m y s q l _ q u e r y (   $ q u e r y   )   o r   d i e (   ' < p r e > '   .   m y s q l _ e r r o r ( )   .   ' < / p r e > '   ) ;           / / m y s q l _ c l o s e ( ) ;   }   ? > 可 以 看 到 ， 这 里 使 用 正 则 表 达 式 过 滤 了 < s c r i p t > 标 签 ， 但 是 却 忽 略 了 i m g 、 i f r a m e 等 其 它 危 险 的 标 签 ， 因 此 n a m e 参 数 依 旧 存 在 存 储 型 X S S 。 H i g h 抓 包 改 n a m e 参 数 为 < i m g   s r c = 1   o n e r r o r = a l e r t ( 1 ) > ：
          成 功 弹 框 ： I m p o s s i b l e 服 务 器 端 核 心 代 码 < ? p h p   i f (   i s s e t (   $ _ P O S T [   ' b t n S i g n '   ]   )   )   {           / /   C h e c k   A n t i - C S R F   t o k e n           c h e c k T o k e n (   $ _ R E Q U E S T [   ' u s e r _ t o k e n '   ] ,   $ _ S E S S I O N [   ' s e s s i o n _ t o k e n '   ] ,   ' i n d e x . p h p '   ) ;           / /   G e t   i n p u t           $ m e s s a g e   =   t r i m (   $ _ P O S T [   ' m t x M e s s a g e '   ]   ) ;           $ n a m e         =   t r i m (   $ _ P O S T [   ' t x t N a m e '   ]   ) ;           / /   S a n i t i z e   m e s s a g e   i n p u t           $ m e s s a g e   =   s t r i p s l a s h e s (   $ m e s s a g e   ) ;           $ m e s s a g e   =   m y s q l _ r e a l _ e s c a p e _ s t r i n g (   $ m e s s a g e   ) ;           $ m e s s a g e   =   h t m l s p e c i a l c h a r s (   $ m e s s a g e   ) ;           / /   S a n i t i z e   n a m e   i n p u t           $ n a m e   =   s t r i p s l a s h e s (   $ n a m e   ) ;           $ n a m e   =   m y s q l _ r e a l _ e s c a p e _ s t r i n g (   $ n a m e   ) ;           $ n a m e   =   h t m l s p e c i a l c h a r s (   $ n a m e   ) ;           / /   U p d a t e   d a t a b a s e           $ d a t a   =   $ d b - > p r e p a r e (   ' I N S E R T   I N T O   g u e s t b o o k   (   c o m m e n t ,   n a m e   )   V A L U E S   (   : m e s s a g e ,   : n a m e   ) ; '   ) ;           $ d a t a - > b i n d P a r a m (   ' : m e s s a g e ' ,   $ m e s s a g e ,   P D O : : P A R A M _ S T R   ) ;           $ d a t a - > b i n d P a r a m (   ' : n a m e ' ,   $ n a m e ,   P D O : : P A R A M _ S T R   ) ;           $ d a t a - > e x e c u t e ( ) ;   }  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理