本文共 1985 字，大约阅读时间需要 6 分钟。
【DVWA】XSS-----------------high+各级别总结
1、Reflected
输入测试语句
查看网页源码：
尝试<script>alert(/xss/)</script>，以及其大小写混合、拼凑版本均不成功。
尝试其他标签绕过成功：
<img src=1 onerror=alert(/xss/)>
<svg onload=alert(/xss/)>
源码分析：
preg_replace()函数正则匹配参数中的<script并替换为空，而且是贪婪匹配所以拼凑不行，而且i是忽略大小写所以大小写混写不行。
2、DOM
尝试了各种payload，结果都跳转到了English页面
查看网页源码：
绕过思路：
前端的代码和之前一样，应该是后端做了严格的过滤，但是前端document.location.href.substring(document.location.href.indexOf("default=")+8)的作用是返回url中"default="后的字符串，所以思考看是否能阻止default=后的字符串传到后台，这样就避免过滤，并且payload在前端也会正常执行。
于是在default=之前加#用来阻止default=后的字符串传到后台。
如图所示，成功弹窗！
当然用其他payload也可以比如(要注意闭合)：</select><img src=1 onerror=alert(/xss/)>
</select><svg onload=alert(/xss/)>
</select><a href=javascript:alert(/xss/)>
关键点还是在于#绕过后台过滤，这种思路是取决于前端是直接通过url获取参数值的所以绕过后端即可。
后端源码分析：
3、Stored
输入<script>alert(/xss/)</script>测试无果：
查看网页源码：
被无情过滤
换用其他标签：
<img src=1 onerror=alert(/xss/)>
<svg onload=alert(/xss/)>
均可弹窗成功！
源码分析：
' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '' ); //mysql_close();}?>
总结：
对比xss的low、medium、high、impossible四个级别：
1、Reflected
low：无任何过滤
medium：仅有str_replace()简单过滤<script>(区分大小写)，所以拼凑法、大小写混合均可绕过
high：preg_replace()正则过滤<script，使用其他标签即可绕过。
impossible：htmlspecialchars()实体化编码，且输出不在href中，绕过比较难。
2、DOM
前端js用document.location.href.substring(document.location.href.indexOf("default=")+8)获取参数内容，输出到select中的option标签内。
low：没有任何过滤，输出点有decodeURL()
medium：stripos()仅匹配<script(不区分大小写)然后重定向到English页面，所以用其他标签就可绕过（要注意闭合）。
high：利用白名单过滤，但由于前端是从url中获取参数，所以在url参数前加#就可绕过后台的过滤。
impossible：后端无过滤，但是前端输出点去掉了decodeURL()，使得输出为payload的url编码，html无法识别，所以很难绕过。
3、Stored
姓名框均有输入长度前端限制，直接审查元素修改代码
low：消息框和姓名框都未作有效过滤
medium：消息框有strip_tags()函数去标签、htmlspecialchars()实体化转义比较难绕过；但姓名框只有str_replace()简单过滤<script>(区分大小写)，使用拼凑法、大小写混合法，其他标签都能绕过。
high：消息框有strip_tags()函数去标签、htmlspecialchars()实体化转义比较难绕过；姓名框有preg_replace()正则替换<script>，所以只能使用其他标签绕过。
impossible：消息框和姓名框都有htmlspecialchars()实体化转义，且输出不在href内，所以比较难绕过。
转载地址：http://iwvh.baihongyu.com/