DVWA DOM XSS 4级漏洞实战：从Low到Impossible的3种绕过与1个防御核心

在Web安全领域，DOM型XSS因其独特的攻击方式和隐蔽性，成为渗透测试中的重点研究对象。DVWA（Damn Vulnerable Web Application）作为经典的漏洞演练平台，其DOM XSS模块设计了四个难度级别，完整呈现了从无防护到完美防御的演进过程。本文将带您深入实战，剖析各级别的攻击手法与防御原理。

1. 初探DOM型XSS：Low级别的无防护漏洞

DOM型XSS与传统XSS的根本区别在于：攻击载荷的执行完全依赖客户端DOM解析，不经过服务器端处理。在DVWA的Low级别中，开发者未对用户输入做任何过滤，形成了最基础的漏洞模型。

漏洞核心代码分析：

if (document.location.href.indexOf("default=") >= 0) { var lang = document.location.href.substring(document.location.href.indexOf("default=")+8); document.write("<option value='" + lang + "'>" + decodeURI(lang) + "</option>"); }

这段代码直接从URL获取default参数值，未经处理就通过document.write输出到页面。攻击者可以构造如下Payload实现弹窗：

http://127.0.0.1/dvwa/vulnerabilities/xss_d/?default=<script>alert(1)</script>

关键攻击步骤：

1. 识别URL中可控的default参数
2. 注入完整script标签闭合现有HTML结构
3. 利用decodeURI解码确保脚本执行

实际渗透测试中发现，现代浏览器内置的XSS过滤器可能拦截简单payload。此时可采用以下变体：

<svg/onload=alert(1)>

2. 突破基础防御：Medium级别的标签过滤绕过

Medium级别引入了基础的脚本过滤机制，其PHP后端代码如下：

if (stripos ($default, "<script") !== false) { header ("location: ?default=English"); exit; }

这种防御仅检查<script标签，存在明显缺陷。我们可通过以下方式绕过：

有效Payload示例：

</option></select><img src=x onerror=alert(1)>

绕过原理分析：

1. 闭合原有<option>和<select>标签
2. 插入新的HTML元素（如img）
3. 利用事件属性（onerror）执行JS代码

其他可用的事件处理器：

• onmouseover：鼠标悬停触发
• onload：元素加载完成触发
• onfocus：元素获取焦点时触发

3. 挑战白名单机制：High级别的参数分隔技巧

High级别采用了严格的白名单验证：

switch ($_GET['default']) { case "French": case "English": case "German": case "Spanish": break; default: header ("location: ?default=English"); exit; }

看似严密的防御仍存在突破口：

精妙绕过方案：

http://127.0.0.1/dvwa/vulnerabilities/xss_d/?default=English#<script>alert(1)</script>

技术原理分解：

同类型攻击变体：

• 使用&代替#作为参数分隔符
• 结合DOM clobbering技术构造更复杂的攻击链

4. 完美防御解析：Impossible级别的设计哲学

Impossible级别通过以下代码实现彻底防护：

var lang = document.location.href.substring(document.location.href.indexOf("default=")+8); document.write("<option value='" + lang + "'>" + (lang) + "</option>");

防御机制深度解读：

1. 编码保留：不再使用decodeURI解码输入
2. 上下文感知：严格限定输出位置为option标签value属性
3. 内容安全策略（CSP）的隐含保护

防御方案对比表：

5. 企业级防御方案与实战建议

基于DVWA案例，我们提炼出以下安全实践：

前端防护黄金法则：

1. 对所有动态插入DOM的内容进行HTML实体编码
2. 使用安全的API替代危险方法：
   • 避免使用：innerHTML、document.write()
   • 推荐使用：textContent、setAttribute()
3. 实施严格的CSP策略：

   Content-Security-Policy: default-src 'self'; script-src 'unsafe-inline'

后端防御补充措施：

• 输入验证采用白名单机制
• 输出编码根据上下文选择合适方案：
  • HTML实体编码（& → &）
  • JavaScript编码（" → \x22）
  • URL编码（%20）

在最近的一次渗透测试中，我们发现即使采用High级别的防御，攻击者仍可能通过以下方式突破：

default=English&x=<img src=1 onerror=alert(1)>

这提醒我们安全防御需要前后端协同，形成纵深防御体系。