CTFHUB——反射型XSS详解「建议收藏」

大家好，又见面了，我是你们的朋友全栈君。

背景

本来看ctfhub上有xss的题目，打算好好学习一波，结果点开一看，只有一道题2333。

便现在dvwa上熟悉了一波。所谓反射型是相对于存储型来讲的。

如果黑客的xss注入是通过某种方式储存到了数据库中，那就是存储型的，这种xss的特点就是每次访问该页面都会收到xss攻击，因为js语句已经放在数据库里了。

而反射型xss则不是这样，每次触发只能手动输入和点击才能触发。

我认为xss产生的原因主要是对html标签审查不严格造成的。

dvwa xss例题

下面写一下dvwa中的三种难度的反射型xss。

代码语言：javascript复制

<?php
// Low难度
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 
   
    // Feedback for end user
    echo '<pre>Hello ' . $_GET[ 'name' ] . '</pre>';
}
?>

这里没有对输入$_GET['name']做任何限制，我们完全可以在这个变量里写一个script标签。

代码语言：javascript复制

<?php
// Medium 难度
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 
   
    // Get input
    $name = str_replace( '<script>', '', $_GET[ 'name' ] );
    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}
?>

这里把输入里的<script>替换为了空字符。但是这里是大小写敏感的，我们完全可以大写绕过。

代码语言：javascript复制

<Script>alert("medium")</script>

或者双拼绕过。

代码语言：javascript复制

<scri<script>pt>alert("medium")</script>

代码语言：javascript复制

<?php
// High 难度
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 
   
    // Get input
    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );
    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}
?>

最高难度用了正则匹配，并且大小写不敏感。上面两种方法都失效了。

但是它只过滤了script标签这种xss，还可以利用img标签报错来实现弹窗。

代码语言：javascript复制