DVWA-学习XSS

Low级别代码
无任何过滤和检查，只判断是否存在（array_key_exists）以及是否为空

Medium级别代码
与Low相比增加了str_replace,基于黑名单的思想，利用str_replace把输入中的<script>删除，但是，这种防护机制太弱，一下子就可以绕过，比如
1、双写绕过

<sc<script>ript>alert(/xss/)</script>

2、大小写混gh级别代码依然使用黑名单思想，使用了preg_replace函数用于正则表达式的搜索和替换

preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] )

这使得双写绕过、大小写混淆绕过（正则表达式中i表示不区分大小写）不再有效。
虽然无法使用<script>标签注入XSS代码，但是可以通过img、body等标签的事件或者iframe等标签的src注入恶意的js代码。比如

<img src=1 onerror=alert(/xss/)>
也是可以成功的

Impossible级别代码
使用htmlspecialchars函数把预定义的字符&、”、 ’、<、>转换为 HTML 实体，防止浏览器将其作为HTML元素,以及使用token，防止重复提交