DVWA靶场实战（十二）

五、XSS(Stored)：

1．漏洞原理：

　　XSS的Stored被称作存储型XSS漏洞，漏洞的原理为语句被保存到服务器上，显示到HTML页面中，经常出现在用户评论的页面，攻击者将XSS代码保存到数据库中，当用户在此访问这个页面时，就会触发XSS代码，窃取用户敏感信息。

2．漏洞特点：

　　危害性为XSS三种类型中最大的，因为他是存储在服务器上，持久型的XSS漏洞，JS代码不在某个参数中，而是被写进了数据库或文件可以永久保存数据的介质中，如留言板等。

3．实战：

（1）Low：

　　代码分析：

<?php

if( isset( $_POST[ 'btnSign' ] ) ) {

    // Get input

// trim(string,charlist)

函数移除字符串两侧的空白字符或其他预定义字符，预定义字符包括、\t、\n、\x0B、\r以及空格，可选参数charlist支持添加额外需要删除的字符。

    $message = trim( $_POST[ 'mtxMessage' ] );

    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input

// stripslashes(string)

函数删除字符串中的反斜杠。

    $message = stripslashes( $message );

// mysql_real_escape_string(string,connection)

函数会对字符串中的特殊符号（\x00，\n，\r，\，‘，“，\x1a）进行转义。

    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Sanitize name input

    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Update database

    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";

    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    //mysql_close();

}

?>

　　此处name是做了长度限制的，不过也仅此而已，所以我们在Message处可以使用语句进行尝试。

　　我们开始攻击，使用语句<script>alert(“Hello”)</script>进行尝试，发现才成功，可以进行尝试攻击。

（2）Medium：

　　代码分析：

<?php

if( isset( $_POST[ 'btnSign' ] ) ) {

    // Get input

    $message = trim( $_POST[ 'mtxMessage' ] );

    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input

// strip_tags() 函数剥去字符串中的HTML、XML以及PHP的标签，但允许使用<b>标签

// addslashes() 函数返回在预定义字符（单引号、双引号、反斜杠、NULL）之前添加反斜杠的字符串

    $message = strip_tags( addslashes( $message ) );

    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    $message = htmlspecialchars( $message );

    // Sanitize name input

    $name = str_replace( '<script>', '', $name );

    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Update database

    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";

    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    //mysql_close();

}

?>

　　这里的代码，我们可以看见Message处使用htmlspecialchars()函数，这个函数的作用是将字符全部转为了HTML实体，因此Message处无法使用XSS形成攻击。Name处也做了长度限制，因此考虑使用抓包在BP中修改Name值，考虑使用双写或者大小写绕过。

　　我们开始攻击，首先尝试使用大小写进行绕过使用语句“<scRIPt>alert(123)</scRIPt>”，注意前后大小写要一致。

　　同时，第二种解法也可以采用双写注入的方式，使用语句“<sc<script>ript>alert(“Hello”)</script>”。 

（3）High：

　　代码分析：

<?php

if( isset( $_POST[ 'btnSign' ] ) ) {

    // Get input

    $message = trim( $_POST[ 'mtxMessage' ] );

    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input

    $message = strip_tags( addslashes( $message ) );

    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    $message = htmlspecialchars( $message );

    // Sanitize name input

    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $name );

    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Update database

    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";

    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    //mysql_close();

}

?>

　　同上一个XSS中相同。Script是被过滤了，所以用BP修改Name，然后修改img等参数即可。

　　我们开始攻击，利用语句“<img scr=1 onerror=alert(“whoami”)>”。

（4）Impossible：

　　代码分析：

<?php

if( isset( $_POST[ 'btnSign' ] ) ) {

    // Check Anti-CSRF token

    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input

    $message = trim( $_POST[ 'mtxMessage' ] );

    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input

    $message = stripslashes( $message );

    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    $message = htmlspecialchars( $message );

    // Sanitize name input

    $name = stripslashes( $name );

    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    $name = htmlspecialchars( $name );

    // Update database

    $data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' );

    $data->bindParam( ':message', $message, PDO::PARAM_STR );

    $data->bindParam( ':name', $name, PDO::PARAM_STR );

    $data->execute();

}

// Generate Anti-CSRF token

generateSessionToken();

?>

　　作为防御模板，对Name和Message都使用了htmlspecialchars()函数做了过滤，还加了token值，进一步提高了安全性。

最新文章

  1. Cordova webapp实战开发：（1）为什么选择 Cordova webapp？
  2. Ezchip Tilera Tile-Mx100: Der 100-ARM-Netzwerkprozessor
  3. paip . 解决spring No unique bean of type [com.mijie.homi.search.service.index.MoodUserIndexService]
  4. BZOJ 3969 Low Power 解题报告
  5. 大型机汇编（mainframe assembler/HLASM）之COBOL解惑
  6. mysql优化之连接优化
  7. ACM第六周竞赛题目——B CodeForces 478B
  8. Fix an “Unapproved Caller” SecurityAgent Message in Mac OS X
  9. boost之词法解析器spirit
  10. JDK8源码之Arrays
  11. PLS-00306: 调用 &#39;SYNCRN&#39; 时参数个数或类型错误
  12. MSSQL-SELECT&amp;UPDATE动作要申请的锁
  13. 输出图片格式BARTENDER
  14. mips编译器交叉编译openssl
  15. myeclipse从svn导入文件报错：
  16. Python之路 - Socket实现QQ聊天
  17. shell 命令参数
  18. 一劳永逸部署项目：通过tomcat加载环境变量
  19. RabbitMQ入门_01_简介与安装
  20. [agc006E]Rotate 3x3

热门文章

  1. 转载：Python 实现百度翻译
  2. java中类的关系的总结
  3. MYSQL ---mysql 数据导入与导出
  4. jmeter时间戳
  5. vue 使用vuex 刷新时保存数据
  6. 【笔记】区间DP
  7. C#where关键字约束
  8. Spring Boot框架下实现Excel服务端导入导出
  9. 通过docker部署grafana和mysql
  10. i春秋Test