DVWA靶场通关笔记-存储型XSS(Stored Low级别)-EW帮帮网

一、存储型XSS

二、源码分析

1、index.php

2、low.php

DVWA（Damn Vulnerable Web Application）中的存储型XSS关卡（Stored）是用于练习和演示存储型XSS的不同场景，不同安全等级存在不同的脆弱点和绕过方法，本文对高等级别（High）的关卡进行渗透实战。

一、存储型XSS

存储型XSS（Stored Cross-Site Scripting）是恶意脚本被持久化保存到服务器（如数据库、文件等），当其他用户访问包含该脚本的页面时自动执行。常见于留言板、评论系统等用户提交内容被展示的场景。相对于上一章节的反射型XSS，存储型XSS与反射型XSS的主要区别如下所示。

对比项	存储型 XSS	反射型 XSS
攻击向量存储	恶意脚本存储在目标服务器（如数据库）	恶意脚本仅在 URL 参数等地方，不存储在服务器
触发条件	受害者访问包含恶意脚本的页面（如论坛帖子）	受害者点击特制链接或提交含恶意代码的表单
持久性	长期有效，直到内容被管理员删除	单次有效，仅当前请求 - 响应周期生效
传播范围	影响所有访问该页面的用户	仅影响点击链接的特定用户
典型场景	评论区、留言板、用户资料等	搜索结果、错误提示、登录表单反馈等
防御重点	严格过滤用户输入并转义输出内容	对 URL 参数等外部输入进行严格校验和编码

二、源码分析

1、index.php

进入DVWA靶场源目录，找到index.php源码，如下所示。

这段代码是DVWA(Damn Vulnerable Web Application)中存储型XSS的演示页面，主要功能包括：初始化DVWA环境、连接数据库、提供留言板表单（包含姓名和消息输入字段）、根据安全等级（low/medium/high/impossible）加载不同的处理逻辑、支持清空留言板（TRUNCATE），并在页面上显示留言内容和相关参考资料。代码的处理逻辑具体如下所示。

环境初始化：设置路径常量，加载DVWA核心文件，启动会话和PHPIDS安全检测。
页面配置：设置页面标题、ID及帮助按钮。
数据库连接：dvwaDatabaseConnect() 建立MySQL连接。
清空留言板：通过TRUNCATE语句清除所有留言（触发条件：btnClear提交）。
安全等级控制：根据Cookie中的security值加载对应的文件（low.php /medium.php /high.php /impossible.php）。
留言板表单：提供姓名（txtName，限10字符）和消息（mtxMessage，限50字符）的输入字段。
CSRF防护：仅在impossible级别添加令牌验证（tokenField()）。

详细注释后的代码如下所示。

<?php
// 定义DVWA根目录的相对路径（向上两级）
define('DVWA_WEB_PAGE_TO_ROOT', '../../');

// 引入DVWA核心页面初始化文件
require_once DVWA_WEB_PAGE_TO_ROOT . 'dvwa/includes/dvwaPage.inc.php';

// 启动DVWA页面，要求用户已认证并启用PHPIDS安全检测模块
dvwaPageStartup(array('authenticated', 'phpids'));

// 创建新页面对象（初始化页面结构）
$page = dvwaPageNewGrab();

// 设置页面标题
$page['title'] = 'Vulnerability: Stored Cross Site Scripting (XSS)' . $page['title_separator'] . $page['title'];

// 设置当前页面ID（用于标识）
$page['page_id'] = 'xss_s';

// 设置帮助按钮和源码按钮的链接目标
$page['help_button'] = 'xss_s';
$page['source_button'] = 'xss_s';

// 连接数据库
dvwaDatabaseConnect();

// 检查是否点击了"Clear Guestbook"按钮（清空留言板）
if (array_key_exists("btnClear", $_POST)) {
    // 执行SQL清空guestbook表
    $query = "TRUNCATE guestbook;";
    $result = mysqli_query($GLOBALS["___mysqli_ston"], $query) 
        or die('<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? 
            mysqli_error($GLOBALS["___mysqli_ston"]) : 
            (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false) . '</pre>');
}

// 根据Cookie中的安全等级加载对应的文件
$vulnerabilityFile = '';
switch($_COOKIE['security']) {
    case 'low':
        $vulnerabilityFile = 'low.php';    // 低防护
        break;
    case 'medium':
        $vulnerabilityFile = 'medium.php'; // 中防护
        break;
    case 'high':
        $vulnerabilityFile = 'high.php';   // 高防护
        break;
    default:
        $vulnerabilityFile = 'impossible.php'; // 最高防护
        break;
}

// 引入对应安全等级的处理文件
require_once DVWA_WEB_PAGE_TO_ROOT . "vulnerabilities/xss_s/source/{$vulnerabilityFile}";

// 构建页面主体HTML
$page['body'] .= "
<div class=\"body_padded\">
    <h1>Vulnerability: Stored Cross Site Scripting (XSS)</h1>

    <div class=\"vulnerable_code_area\">
        <form method=\"post\" name=\"guestform\">
            <table width=\"550\" border=\"0\" cellpadding=\"2\" cellspacing=\"1\">
                <tr>
                    <td width=\"100\">Name *</td>
                    <td><input name=\"txtName\" type=\"text\" size=\"30\" maxlength=\"10\"></td>
                </tr>
                <tr>
                    <td width=\"100\">Message *</td>
                    <td><textarea name=\"mtxMessage\" cols=\"50\" rows=\"3\" maxlength=\"50\"></textarea></td>
                </tr>
                <tr>
                    <td width=\"100\">&nbsp;</td>
                    <td>
                        <input name=\"btnSign\" type=\"submit\" value=\"Sign Guestbook\" onclick=\"return validateGuestbookForm(this.form);\" />
                        <input name=\"btnClear\" type=\"submit\" value=\"Clear Guestbook\" onClick=\"return confirmClearGuestbook();\" />
                    </td>
                </tr>
            </table>";

// 如果是最高防护等级，添加CSRF令牌
if($vulnerabilityFile == 'impossible.php')
    $page['body'] .= tokenField();

// 继续构建页面（包含动态生成的HTML内容和历史留言）
$page['body'] .= "
        </form>
        {$html}
    </div>
    <br />
    " . dvwaGuestbook() . "
    <br />
    <h2>More Information</h2>
    <ul>
        <li>" . dvwaExternalLinkUrlGet('https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)') . "</li>
        <li>" . dvwaExternalLinkUrlGet('https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet') . "</li>
        <li>" . dvwaExternalLinkUrlGet('https://en.wikipedia.org/wiki/Cross-site_scripting') . "</li>
        <li>" . dvwaExternalLinkUrlGet('http://www.cgisecurity.com/xss-faq.html') . "</li>
        <li>" . dvwaExternalLinkUrlGet('http://www.scriptalert1.com/') . "</li>
    </ul>
</div>";

// 输出最终生成的HTML页面
dvwaHtmlEcho($page);
?>

2、low.php

进入DVWA靶场源目录，找到low.php源码，打开源码low.php，如下所示。

Low这段代码实现了一个留言板的数据提交功能。它接收用户输入的姓名和留言内容，通过trim()去除首尾空格，使用stripslashes()处理可能的转义字符，并通过mysqli_real_escape_string()转义SQL特殊字符防止注入。最后使用字符串拼接的SQL语句将数据插入数据库。但缺少对HTML特殊字符的转义，存在被存储型XSS攻击的可能性。具体如下所示。

输入获取：通过$_POST接收mtxMessage和txtName。
输入处理：
1. trim()：去除首尾空格。
2. stripslashes()：移除转义反斜杠。
3. mysqli_real_escape_string()：转义SQL特殊字符。
数据库操作：直接拼接SQL语句插入数据。
错误处理：SQL错误时显示详细报错信息。

详细注释后的源码如下所示。

<?php
// 检查用户是否点击了提交按钮（btnSign）
if(isset($_POST['btnSign'])) {
    // 获取用户输入的留言和姓名，并去除首尾空格
    $message = trim($_POST['mtxMessage']);
    $name = trim($_POST['txtName']);

    // 对留言内容进行安全处理：
    $message = stripslashes($message); // 去除反斜杠（防止魔术引号影响）
    // 转义特殊字符防止SQL注入（兼容性写法）
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? 
               mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $message) : 
               ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call!", E_USER_ERROR)) ? "" : ""));

    // 对姓名进行安全处理：
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? 
            mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $name) : 
            ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call!", E_USER_ERROR)) ? "" : ""));

    // 将数据插入数据库（使用字符串拼接SQL语句）
    $query = "INSERT INTO guestbook (comment, name) VALUES ('$message', '$name');";
    $result = mysqli_query($GLOBALS["___mysqli_ston"], $query) 
              or die('<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? 
                      mysqli_error($GLOBALS["___mysqli_ston"]) : 
                      (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>');
}
?>

3、攻击思路

理论存在存储型XSS攻击的可能性

缺少HTML输出编码：
- 虽然使用mysqli_real_escape_string()防御了SQL注入，但未使用htmlspecialchars()处理HTML特殊字符。
- 当留言内容从数据库取出并显示时，浏览器会解析其中的HTML标签和JavaScript代码。
触发流程：
- 攻击者提交恶意代码（如<script>alert(/mooyuan/)</script>）。
- 代码被存入数据库。
- 其他用户查看留言时自动执行恶意脚本。

三、渗透实战

1、渗透准备

配置security为Low级别，具体如下所示。

进入到存储型XSS关卡Low页面，这是一个留言板的页面，具体如下所示。

http://127.0.0.1/dvwa/vulnerabilities/xss_s/

2、弹框mooyuan

注入语句：<script>alert('MOOYUAN')</script>。

点击sign guestbook后效果如下，展示留言板列表后渗透成功，弹框“MOOYUAN”。

再次进入存储型XSS关卡的low级别页面（此时使用vmnet8对应的网卡ip地址192.168.59.1访问dvwa靶场），再次弹框，如下所示。

此时点击确定后，再次点击clear guestbook，清除有XSS注入语句的留言板，便于后续注入不被影响，如下所示。

3、弹框cookie

注入语句：<img src=0 οnerrοr=alert(document.cookie)> 。

点击sign guestbook后效果如下，展示留言板列表后渗透成功，弹框cookie值。

再次进入存储型XSS关卡的low级别页面（此时使用vmnet8对应的网卡ip地址192.168.59.1访问dvwa靶场），再次弹框，如下所示。

此时点击确定后，再次点击clear guestbook，清除有XSS注入语句的留言板，便于后续注入不被影响，如下所示。

DVWA靶场通关笔记-存储型XSS(Stored Low级别)

一、存储型XSS

二、源码分析

1、index.php

2、low.php

3、攻击思路

三、渗透实战

1、渗透准备

2、弹框mooyuan

3、弹框cookie

网站公告

今日签到

热门文章

最新发布