dvwa靶场通关教程xss

### DVWA XSS漏洞利用教程

#### 3.1 环境准备
为了进行DVWA中的XSS攻击实验，需先完成DVWA靶场环境的搭建以及Kali Linux系统的安装配置[^1]。

#### 3.2 设置DVWA难度级别
进入DVWA主页后，在左上角可调整安全性等级至低级以便于学习者更容易理解和实践XSS攻击原理。

#### 3.3 反射型跨站脚本攻击（Reflected XSS）
当用户输入的数据未经适当过滤就被返回给浏览器显示时就会发生反射型XSS。在DVWA中选择“XSS (Reflected)”选项卡并尝试提交恶意JavaScript代码作为查询参数的一部分来触发弹窗警告框`<script>alert('XSS')</script>`[^2]。

<script>alert('XSS')</script>

#### 3.4 存储型跨站脚本攻击(Stored XSS)
存储型XSS发生在应用程序接收不可信数据并将这些数据永久保存下来之后再发送回其他用户的场景下。可以通过向留言板功能注入持久化的HTML/JS片段实现该类型的攻击模拟，比如发布一条包含如下内容的消息：

<img src="javascript:alert('Persistent%20XSS')">

#### 3.5 DOM-based 跨站点脚本(DOM Based XSS)
DOM-Based XSS不同于上述两种情况，它不涉及服务器端处理过程而是完全由客户端执行所引起的错误行为造成。可以在URL哈希部分附加带有潜在危害性的指令从而影响页面加载后的动态渲染效果，例如访问链接`http://localhost/DVWA/vulnerabilities/xss_d/?default=<img%20src=1%20onerror='alert(String.fromCharCode(88,83,83))'>#`将会导致图像加载失败事件被用来启动一个对话窗口展示字符串"XSS"。