反射型
low
查看源代码，没有任何过滤
![图片[1] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/00d428db940a458bb18c58fa52219951.png)
构造
![图片[2] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/3558afc2257d4aaea4a88a5ec9a8f77b.png)
medium
这里是过滤了
![图片[3] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/36d740b93f984e609286dcfc6547ae6c.png)
high
![图片[4] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/a024ed68d83c4823944cb472f16eb343.png)
这里把双写和大小写和JavaScript都过滤了,用事件来绕过![图片[5] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/e78c82d9057c4b2d896938770446f149.png)
impossible
![图片[6] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/581d081dcce44d2784ca249ee761e5c5.png)
这里使用htmlspecialchars进行实体转换并且输出的结果还不能使用事件来绕过，不可能绕过
存储型
low
没有任何过滤，在留言写XSS语句
![图片[7] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/6f415d119ac34ad68ca645131c1e70e1.png)
刷新触发XSS
![图片[8] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/62765dd09c6a4fe1b0e44b554b546199.png)
medium
![图片[9] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/937efaa841764f56877409be3604a8fd.png)
这里name过滤了，message用了htmlspecialchars，双写绕过
![图片[10] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/a083099654544ef59f601cbcd0f91e1a.png)
这里限制了输入数，前端修改
![图片[11] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/7ce57ce52c4c41dbb5779630f25a56f2.png)
![图片[12] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/41057994d17e4195b0f08abd3b8f654e.png)
high
![图片[13] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/1a0178f825854d878ed8f09b70fc3c84.png)
这里还是反射型的思路，![图片[14] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/ef82e75c1e0b415da0a6c62b0e6518f9.png)
impossible
![图片[15] - DVWA XSS - MaxSSL](https://www.maxssl.com/uploads/?url=https://img-blog.csdnimg.cn/0c679a0b13f146889dafb4f81887b2ea.png)
输入经过HTML编码，不能注入
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
