米斯特白帽培訓講義漏洞篇 XSS

講師：gh0stkey

整理：飛龍

協議：CC BY-NC-SA 4.0

原理：反射型

將這段代碼保存為xss.php。

\\XSS反射演示
<form action="" method="get">
    <input type="text" name="xss"/>
    <input type="submit" value="test"/>
</form>
<?php
$xss = @$_GET['xss'];
if($xss!==null){
    echo $xss;
}

我們看到，這段代碼中首先包含一個表單，用于向頁面自己發送 GET 請求，帶一個名為xss的參數。然后 PHP 會讀取該參數，如果不為空，則直接打印出來，我們看到這里不存在任何過濾。也就是說，如果xss中存在 HTML 結構性的內容，打印之后會直接解釋為 HTML 元素。

我們部署好這個文件，訪問http://localhost/xss.php，如圖：

我們直接輸入一個 HTML 代碼，比如<script>alert(1)</script>，之后點擊test：

我們可以看到彈窗，也就是我們輸入的 HTML 代碼被執行了。

之后我們查看元素，這表明，我們輸出的內容直接插入到了頁面中，解釋為<script>標簽。

我們可以自定義彈窗中的內容來利用 XSS，比如改成alert(document.cookie)。

從上面的例子中，我們可以看出，反射型 XSS 的數據流向是：瀏覽器 -> 后端 -> 瀏覽器。

原理：存儲型

這里我們把xss.php內容改為（同時數據庫中需要配置相應的表）：

\\存儲XSS演示
<form action="" method="post">
    <input type="text" name="xss"/>
    <input type="submit" value="test"/>
</form>
<?php
$xss=@$_POST['xss'];
mysql_connect("localhost","root","root");
mysql_select_db("xss");
if($xss!==null){
    $sql="insert into test(id,payload) values('1',$xss)";
    $result=mysql_query($sql);
    echo $result;
}

可以看到，用戶輸入的內容還是沒有過濾，但是不直接顯示在頁面中，而是插入到了數據庫。

我們新建res.php，內容為：

mysql_connect("localhost","root","root");
mysql_select_db("xss");
$sql="select payload from test where id=1";
$result=mysql_query($sql);
while($row=mysql_fetch_array($result)){
   echo $row['payload'];
}

該代碼從數據庫讀取了之前插入的內容，并將其顯示出來。

我們部署之后首先查看test數據庫，確認它是空的：