DVWA靶场练习十四—JavaScript

最新推荐文章于 2024-06-22 13:19:15 发布
最新推荐文章于 2024-06-22 13:19:15 发布
阅读量1.8k 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： 网络安全&云安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41490561/article/details/107093638
这篇博客详细介绍了在DVWA靶场中关于JavaScript的攻击练习，涵盖低级到高级难度，包括分析源码、攻击思路和解题步骤。低级通过MD5加密的token，中级利用JS代码注入，高级涉及JS混淆与解混淆，最后强调了安全意识的重要性。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

 

    这是DVWA靶场的最后一关，JS攻击练习主要是为了帮助用户了解如何在浏览器中使用JavaScript和攻击者如何控制JavaScript实施攻击。
    

一、低级（Low Level）

在这里插入图片描述
根据页面提示输入：success，看页面变化：
在这里插入图片描述
在这里插入图片描述
提示无效的token。

尝试Burp抓包：
在这里插入图片描述
发现提交之后有一串token值
    

还是先查看分析源码：


                

                
                
        

    

    
  


        

            

                

                

                了解本专栏
                
                
                  
                订阅专栏 解锁全文
                 
                
                    
                    超级会员免费看
                
            

            
            
            
        


    



                



	

		

			

				
					
DVWA靶场练习十三—CSP Bypass

				
			

			

				

					afei001
				

				

					07-02
					
					548
					
				

			

		

		

			
				
 
一、什么是CSP？
    CSP全称是：Content-Security-Policy，内容安全策略。是指HTTP返回报文头中的标签，浏览器会根据标签中的内容，判断哪些资源可以加载或执行。主要是为了缓解潜在的跨站脚本问题(XSS)，浏览器的扩展程序系统引入了内容安全策略这个概念。原来应对XSS攻击时，主要采用函数过滤、转义输入中的特殊字符、标签、文本来规避攻击。CSP的实质就是白名单制度，开发人员明确告诉客户端，哪些外部资源可以加载和执行。开发者只需要提供配置，实现和执行全部由浏览器完成。
    .

			
		

	



                

            
              



	

		

			

				
					
DVWA之前端攻击（JavaScript Attacks）

				
			

			

				

					qq_39682037的博客
				

				

					03-24
					
					3323
					
				

			

		

		

			
				
前端攻击（JavaScript Attacks）
这是一种比较新颖的玩法，通过捕获js中的漏洞进行，成功提交success就算赢

Security Level: low

源码

<?php
$page[ 'body' ] .= <<<EOF
<script>

/*
MD5 code from here
https://github.com/blueimp/...

			
		

	



              


  
              

                


	

		

			

				
					
DVWA-JS攻击

				
			

			

				

					原味瓜子、的博客
				

				

					09-25
					
					563
					
				

			

		

		

			
				
文章目录JavaScript攻击一、Low等级二、Medium等级三、High等级Impossible等级
JavaScript攻击

属于Web前端安全，不存在黑盒测试的概念，直接可以对JS进行白盒代码审计。
DVWA中的JavaScript攻击的场景是基于token由前端JS生成而引起的一系列问题。
成功提交success，即过关

一、Low等级

1、漏洞分析



尝试
输入success，会显示invalid token


生成token的源码


function rot13(inp) {


			
		

	





	

		

			

				
					
DVWA14_JavaScript

				
			

			

				

					weixin_44193247的博客
				

				

					03-13
					
					264
					
				

			

		

		

			
				
DVWA漏洞复现练习篇

			
		

	



		

			
		



	

		

			

				
					
DVWA-----Javascript

				
			

			

				

					m0_65712192的博客
				

				

					12-14
					
					835
					
				

			

		

		

			
				
DVWA-----Javascript（js攻击）

			
		

	





	

		

			

				
					
DVWA 靶场 JavaScript 通关解析

				
			

			

				

					Flag少侠的博客
				

				

					06-22
					
					8433
					
				

			

		

		

			
				
JavaScript 攻击是一类通过利用 JavaScript 代码执行漏洞或滥用其特性来进行的网络攻击。这些攻击可以用来窃取敏感信息、劫持用户会话、执行恶意操作等。一、跨站脚本攻击 (Cross-Site Scripting, XSS)1. 存储型 XSS（Stored XSS）攻击者将恶意 JavaScript 代码存储在目标网站的数据库中。当其他用户访问包含这些恶意代码的页面时，代码会在用户的浏览器中执行，从而窃取用户信息或执行其他恶意操作。2. 反射型 XSS（Reflected XSS）

			
		

	





	

		

			

				
					
实验：DVWA-JavaScript（JS攻击）

				
			

			

				

					Cwillchris的博客
				

				

					10-31
					
					1376
					
				

			

		

		

			
				
实验环境：

DVWA靶机：172.16.12.10 靶场用户名：admin 密码：123

windos攻击机：172.16.12.7

kali攻击机：172.16.12.30

实验步骤：



一、Low级



1、源码分析


<?php
$page[ 'body' ] .= <<<EOF
<script>
/*
MD5 code from here
https://github.com/blueimp/JavaScript-MD5
*/
//省略一些函数
。

			
		

	





	

		

			

				
					
DVWA网络安全靶场搭建与练习 附攻略和在线版

				
			

			

				

					01-02
				

			

		

		

			
				
《DVWA网络安全靶场搭建与练习 附攻略和在线版》  网络安全靶场是一种模拟真实网络环境，用于安全教育、训练和测试安全技能的平台。DVWA（Damn Vulnerable Web Application）是其中非常受欢迎的一个开源项目，专为...

			
		

	





	

		

			

				
					
DVWA靶场练习-XSS（Reflected）

				
			

			

				

					xxwithyou的博客
				

				

					05-19
					
					332
					
				

			

		

		

			
				
使用img标签可以正常显示，使用这个代码，依然报错，猜测是有scr的都会过滤掉，这个时候使用不使用伪代码，使用img标签中的onerror属性，通过源码分析，我们可以看出来，代码中添加了一个正则匹配，匹配< 后包含有script的任意字符串，导致我们之前含有< script的内容都被替换成了""字符。可以看到，最后将下面的Hello 反馈到了输出的界面，导致页面解析了弹窗。

			
		

	





	

		

			

				
					
DVWA靶场全解析（新手向）

				
			

			

				

					LS_Sy的博客
				

				

					02-18
					
					3376
					
				

			

		

		

			
				
我们直接在输入栏内随便填写数据，之后使用bp进行抓包抓到包后发送到instruder模块进行爆破，由于需要同时爆破用户名和密码两个字段，所以我们选择集束炸弹模式设置好字典后开始爆破，最后根据响应头的不同得到用户名和密码。

			
		

	





	

		

			

				
					
DVWA靶场-JavaScript Attacks JS 攻击

				
			

			

				

					安全知识学习-该平台为唯一原作者平台，其他平台属冒名顶替，请勿相信上当受骗
				

				

					06-12
					
					2127
					
				

			

		

		

			
				
往期博文：

DVWA靶场-Brute Force Source 暴力破解

DVWA靶场-Command Injection 命令注入

DVWA靶场-CSRF 跨站请求伪造

DVWA靶场-File Inclusion 文件包含

DVWA靶场-File Upload 文件上传

DVWA靶场-SQL Injection SQL注入

DVWA靶场-Weak Session IDs 脆弱的Session

DVWA靶场-XSS（DOM型、反射型、存储型）

DVWA靶场-Content Security

			
		

	





	

		

			

				
					
DVWA靶场学习

				
			

			

				

					RoboTerh的博客
				

				

					10-23
					
					235
					
				

			

		

		

			
				
Brute force
low级别
暴力破解，根据自己的字典爆破或者进行信息搜集之后进行脚本的编写
分析源码：
<?php

if( isset( $_GET[ 'Login' ] ) ) {
	// Get username
	$user = $_GET[ 'username' ];

	// Get password
	$pass = $_GET[ 'password' ];
	$pass = md5( $pass ); //进行md5加密

	// Check the database
	//查

			
		

	





	

		

			

				
					
#笔记（三十）#dvwa漏洞JavaScript wp

				
			

			

				

					vircorns的博客
				

				

					02-23
					
					1134
					
				

			

		

		

			
				
JavaScript
low

提交success就赢了，但提交后显示不对

看代码，是前台生成的token，用md5算法，但是是后台要success，所以要generate_token()函数


从控制台调用函数，成功


medium

看源代码，有个类似网址的东西

于是先试一下这个网址：127.0.0.1/DVWA-master/vulnerabilities/javascript/so...

			
		

	





	

		

			

				
					
cocos creator 实现加载远程资源到本地缓存

					
热门推荐

				
			

			

				

					lck8989的博客
				

				

					07-12
					
					1万+
					
				

			

		

		

			
				
在项目开发过程中有时候需要将远程连接的图片加载到本地存放，供以后使用，但是在cocos 官方文档里面没有详细的介绍存放到本地的方法，现在在这里讲述如何将远程资源加载到本地进行保存首先新建一个对象类专门用来管理加载图片的类ImageLoader.jsvar md = require("./md5");
cc.Class({
    extends: cc.Component,
    statics...

			
		

	





	

		

			

				
					
dvwa靶场 JavaScript Attacks(js攻击)全难度教程（附代码分析）

				
			

			

				

					m0_73248913的博客
				

				

					05-15
					
					986
					
				

			

		

		

			
				
一种解释型语言（代码不需要编译），一般镶嵌在html或者php中实现。

			
		

	





	

		

			

				
					
dvwa学习之 JavaScript Attacks（前段攻击）

				
			

			

				

					caption88的博客
				

				

					02-02
					
					815
					
				

			

		

		

			
				
做完这个项目感觉就是破解密码，总结一句话：寻找前段token加密的方法，然后自己写相关加密过程，得到最终的token值，然后利用burpsuite填写token就OK了。（这是学习总结，实验博客在这里：https://blog.csdn.net/qqchaozai/article/details/102756976）

low级：f12后，看见token值加密是使用MD5，下载页面，在生成toke...

			
		

	





	

		

			

				
					
DVWA 通关笔记：JavaScript Attacks

				
			

			

				

					Sheng_GuoFu的博客
				

				

					01-11
					
					2484
					
				

			

		

		

			
				
什么是JavaScript Attack?JavaScript Attack即JS攻击, 攻击者可以利用JavaScript实施攻击。

			
		

	





	

		

			

				
					
DVWA —— JavaScript Attacks JS 攻击

				
			

			

				

					YouTheFreedom的博客
				

				

					05-27
					
					1027
					
				

			

		

		

			
				
客户端访问服务器获得 JavaScript，并在本地浏览器执行，于是我们就有了源码。我们可以通过代码审计，逆向分析来挖掘 JS 中可能存在的漏洞，实现 JS 攻击。JavaScript 逆向分析指的是对JavaScript代码进行分析和研究，以了解其实际功能、逻辑和执行过程。逆向分析可以帮助开发人员更好地理解和调试代码，也可以帮助安全人员发现潜在的漏洞和攻击路径。

			
		

	





	

		

			

				
					
dvwa靶场 文件上传漏洞

					
最新发布

				
			

			

				

					07-15
				

			

		

		

			
				
在DVWA靶场中，文件上传漏洞的利用是学习渗透测试的重要实践之一。该漏洞的核心在于应用程序未能正确验证用户上传的文件类型或内容，导致攻击者可以上传恶意文件（如WebShell）并执行任意代码。  ### 文件上传漏洞...

			
		

	



              




          




        



    





    



      

      

        
      

      





	

		评论	
	

  
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  





	
打赏作者

	

		

		
			
		
		

		

			
afei00123

			
您的支持是我创作最大的动力

		

	

	

			

	

	

    ¥1
    ¥2
    ¥4
    ¥6
    ¥10
    ¥20
	

	

		

			

				

					扫码支付：¥1
				

				

					

					
					获取中
					

				

				

					
					
					扫码支付
				

			

		

		

			
您的余额不足，请更换扫码支付或充值

			
打赏作者

		

	



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值