DVWA靶场XSS漏洞攻防实验指南.pdfVIP

1基于DVWA靶场的XSS(DOM)实现

图-1

参

步骤一：Low级别的XSS(DOM)实现

1)

代码分析。后端代码未做任何处理，前端代码也缺乏保护措施。

2)

登录后进入DVWA主界面，将安全级别设为Low。选择XSS(DOM)页。

3)

点击selected按钮后，地址栏内容如下：

英语

4)

修改

default

的值。

英语scriptalert(111);/

script

5)

直接回车，弹窗成功。

步骤二：级别的XSS(DOM)实现

1)

代码分析。级别的代码先检查default参数是否为空，然后使用stripos()函数检测

default值中是否包含script。若存在，则将

?default=English。显然此处过滤了script（