搜索

[10286] 2016-07-10_FlashXSS检测脚本的简单实现

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-07-10_FlashXSS检测脚本的简单实现 F l a s h   X S S 检 测 脚 本 的 简 单 实 现 w h o a m i s b   F r e e B u f   2 0 1 6 - 0 7 - 1 0 前 言 前 言 这 里 主 要 是 讲 如 何 快 速 扫 描 到 有 问 题 的 这 里 主 要 是 讲 如 何 快 速 扫 描 到 有 问 题 的 f l a s h 文 件 ， 用 于 批 量 ， 有 时 候 很 笨 的 方 法 也 会 有 奇 效 ， 下 面 记 录 一 下 在 实 现 过 程 中 文 件 ， 用 于 批 量 ， 有 时 候 很 笨 的 方 法 也 会 有 奇 效 ， 下 面 记 录 一 下 在 实 现 过 程 中 的 一 些 思 路 和 遇 到 的 一 些 坑 。 的 一 些 思 路 和 遇 到 的 一 些 坑 。         第 三 方 插 件 第 三 方 插 件 通 过 自 己 为 数 不 多 的 网 站 渗 透 的 经 验 ， 发 现 了 两 种 存 在 x s s 的 f l a s h 插 件 在 国 内 的 网 站 中 比 较 普 遍 ， 一 个 是 z e r o c l i p b o a r d . s w f ， 一 个 是 s w f u p l o a d . s w f ， 下 面 分 别 介 绍 下 ：   1 、 、 z e r o c l i p b o a r d . s w f 主 要 的 功 能 是 复 制 内 容 到 剪 切 板 ， 中 间 由 f l a s h 进 行 中 转 保 证 兼 容 主 流 浏 览 器 ， 具 体 做 法 就 是 使 这 个 透 明 的 f l a s h 漂 浮 在 复 制 按 钮 之 上 ， 下 面 给 出 x s s   p o c 代 码 ： Z e r o C l i p b o a r d . s w f ? i d = % 2 2 ) ) } c a t c h ( e ) { ( a l e r t ) ( / X S S / . s o u r c e ) ; } / / & w i d t h = 5 0 0 & h e i g h t = 5 0 0 原 因 显 而 易 见 ， E x t e r n a l i n t e r f a c e . c a l l 第 二 个 参 数 传 回 来 的 i d 没 有 正 确 过 滤 导 致 x s s       这 里 给 出 了 漏 洞 前 因 后 果 ， 最 后 的 修 复 其 实 很 简 单 ， 将 旧 版 本 的   i d   =   f l a s h v a r s . i d ; 下 面 加 上 这 么 一 行 代 码
i d   =   i d . s p l i t ( " " ) . j o i n ( " " ) ; 通 过 使 用 s p l i t ( ) 把 字 符 串 拆 分 成 数 组 ， 再 用 j o i n ( ) 拼 接 成 字 符 串 ， 把 i d 参 数 中 的 所 有 ” ” 全 部 转 义 成 ” ” ， 从 而 避 免 了 输 出 点 前 面 的 引 号 被 闭 合 ， 也 就 避 免 了 执 行 后 面 的 x s s 代 码 具 体 漏 洞 原 理 在 下 面 的 漏 洞 实 例 里 已 经 说 的 很 清 楚 了 [ 腾 讯 实 例 教 程 ]   那 些 年 我 们 一 起 学 X S S   –   1 6 .   F l a s h   X s s 进 阶   [ E x t e r n a l I n t e r f a c e . c a l l 第 二 个 参 数 ] 通 过 多 次 手 工 的 经 验 ， 列 出 如 下 可 能 存 在 Z e r o C l i p b o a r d . s w f 的 p a y l o a d 目 录 / Z e r o C l i p b o a r d . s w f / f l a s h / Z e r o C l i p b o a r d . s w f / j s / Z e r o C l i p b o a r d . s w f / s w f / Z e r o C l i p b o a r d . s w f … … 2 、 、 s w f u p l o a d . s w f 顾 名 思 义 ， w e b 文 件 上 传 组 件 下 面 给 出 p o c 代 码 s w f u p l o a d . s w f ? m o v i e N a m e = a a a % 2 2 ] ) } c a t c h ( e ) { ( a l e r t ) ( 1 ) } ; / / 这 里 直 接 给 出 漏 洞 实 例 [ 腾 讯 实 例 教 程 ]   那 些 年 我 们 一 起 学 X S S   –   1 5 .   F l a s h   X s s 进 阶   [ E x t e r n a l I n t e r f a c e . c a l l 第 一 个 参 数 ] 因 为 这 个 例 子 说 的 就 是 s w f u p l o a d . s w f ， 这 里 就 不 再 赘 述 了 ， 我 们 看 一 下 g i t h u b 上 的 修 复 方 法 F i x e s   a   X S S   i s s u e   i n   E x t e r n a l C a l l s . 多 了 这 么 一 句 t h i s . m o v i e N a m e   =   t h i s . m o v i e N a m e . r e p l a c e ( / [ ^ a - z A - Z 0 - 9 _ . - ] / g ,   " " ) ; 正 则 表 达 式 中 设 置 了   g （ 全 局 ） 标 志 , 表 示 替 换 全 部 ， 意 思 就 是 将 所 有 的 替 换 为 空 ， ’ ^ ' 的 意 思 是 非 ， 小 写 字 母 a - z ， 大 写 字 母 A - Z ， 数 字 0 - 9 ， 再 加 上 ’ _ ' 、 ’ . ' 、 ’ - ' 这 三 个 符 号 ， 扫 描 m o v i e N a m e 参 数 的 每 个 字 符 ， 只 要 一 个 字 符 不 在 上 述 的 字 符 集 里 面 ， 就 删 除 掉 ， 大 白 话 就 是 这 个 意 思 再 列 一 下 可 能 出 现 s w f u p l o a d . s w f 的 p a y l o a d 目 录 / s w f u p l o a d . s w f [ ^ a - z A - Z 0 - 9 _ . - ]
/ s w f u p l o a d / s w f u p l o a d . s w f / u p l o a d / s w f u p l o a d . s w f / i m a g e s / s w f u p l o a d . s w f / s t a t i c / s w f u p l o a d . s w f / c o m m o n / s w f u p l o a d . s w f … … 设 计 思 路 设 计 思 路 为 了 实 现 对 上 述 两 个 s w f 文 件 的 扫 描 ， 首 先 需 要 一 个 子 域 名 列 表 ， 这 里 推 荐 两 款 ， 一 个 是 s e a y 的 l a y e r 子 域 名 挖 掘 机 ， 字 典 比 较 全 ， 速 度 比 较 慢 ； 一 个 是 l i j i j i e 的 s u b D o m a i n s B r u t e ， 字 典 比 较 小 ， 速 度 比 较 快 。 看 个 人 兴 趣 了 ， 两 款 都 能 导 出 扫 描 结 果 到 t x t 文 件 ， 这 是 我 们 需 要 的 根 据 手 工 成 功 的 经 验 ， 两 个 s w f 文 件 一 般 都 存 在 于 w e b 的 静 态 资 源 目 录 里 ， 这 些 个 目 录 是 我 们 需 要 找 出 来 的 ， 怎 么 找 ， 找 哪 些 ， 其 实 是 一 个 取 舍 的 过 程 ， 更 多 的 是 舍 的 过 程 1 、 一 舍 子 域 名 、 一 舍 子 域 名 放 弃 了 h t t p s 的 子 域 名 w e b ， 因 为 无 法 判 断 子 域 名 是 h t t p 或 者 h t t p s , 如 果 全 部 判 断 两 个 ， 扫 描 时 间 d o u b l e ， 不 合 算 h o m e _ p a g e   =   " h t t p : / / " + d o m a i n _ n a m e 2 、 二 舍 访 问 页 面 、 二 舍 访 问 页 面 我 这 里 的 思 路 是 只 扫 首 页 ， 把 首 页 链 接 爬 下 来 ， 整 个 网 站 的 静 态 资 源 比 如 j s 文 件 ， c s s 文 件 ， i m a g e 文 件 的 目 录 差 不 多 都 全 了 ， 然 后 提 取 目 录 与 上 面 的 p a y l o a d 拼 接 进 行 访 问 ， 其 他 页 面 出 现 的 新 的 目 录 只 能 放 弃 ， 同 时 放 弃 的 还 有 需 要 j s 跳 转 的 首 页 r   =   r e q u e s t s . g e t ( h o m e _ p a g e ) 3 、 三 舍 扫 描 链 接 、 三 舍 扫 描 链 接 首 页 中 扫 描 出 的 链 接 只 取 h r e f ， s r c ， a c t i o n 后 面 的 链 接 ， 而 且 放 弃 了 解 析 j s 里 面 复 杂 的 链 接 ， 只 取 正 常 的 u r l 进 行 访 问 ， 虽 然 知 道 可 以 通 过 P h a n t o m j s 之 类 的 轻 量 级 浏 览 器 引 擎 做 到 ， 但 是 意 义 不 大 l i n k _ l i s t   = r e . f i n d a l l ( r " ( ? < = h r e f = " ) . + ? ( ? = " ) | ( ? < = h r e f = ' ) . + ? ( ? = ' ) | ( ? < = s r c = " ) . + ? ( ? = " ) | ( ? < = s r c = ' ) . + ? ( ? = ' ) | ( ? < = a c t i o n = " ) . + ? ( ? = " ) | ( ? < = a c t i o n = ' ) . + ? ( ? = ' ) "   , d a t a ) 4 、 四 舍 访 问 时 间 、 四 舍 访 问 时 间 限 制 访 问 时 间 为 3 s ， 超 时 即 继 续 下 一 个 ， 防 止 线 程 卡 死 ， 这 里 的 3 s 是 根 据 我 的 网 络 速 度 设 定 的 ， 网 速 快 当 然 可 以 设 小 点 t i m e o u t = 3 下 面 是 具 体 设 计 流 程 图        
       
        相 关 问 题 相 关 问 题 没 写 过 爬 虫 ， 一 直 是 抱 着 边 实 践 边 修 补 的 方 法 改 善 这 个 脚 本 ， 碰 到 的 相 关 问 题 如 下 ： 1 、 存 在 、 存 在 s w f 误 报 问 题 误 报 问 题 如 何 判 断 是 否 存 在 f l a s h 文 件 ， 之 前 一 直 判 断 的 是 返 回 码 2 0 0 ， 误 报 比 较 严 重 。 这 里 其 实 有 两 个 坑 ， 一 个 是 用 r e q u e s t s 默 认 自 动 跳 转 ， 有 些 网 站 访 问 不 存 在 的 文 件 会 跳 转 首 页 或 者 错 误 页 面 等 ， 需 要 设 置 a l l o w _ r e d i r e c t s 为 F a l s e ， 比 较 简 单 。 还 有 一 个 就 是 不 管 存 不 存 在 文 件 ， 都 返 回 2 0 0 的 网 站 ， 这 个 只 能 判 断 响 应 包 的 内 容 了 。 通 过 对 s w f 文 件 格 式 的 研 究 ， s w f 文 件 开 头 必 为 ’ c w s ’ 或 者 ’ f w s ’ ， 这 里 的 ’ c w s ’ 表 示 文 件 压 缩 ， ’ f w s ’ 表 示 文 件 没 有 压 缩 。 所 以 有 代 码 如 下 ： i f   r . s t a t u s _ c o d e   = =   2 0 0 :         i f   b 2 a _ h e x ( r . c o n t e n t [ : 3 ] )   = =   " 4 3 5 7 5 3 "   o r   b 2 a _ h e x ( r . c o n t e n t [ : 3 ] )   = =   " 4 6 5 7 5 3 " : # C W S 或 者 F W S             r e t u r n   T r u e 2 、 效 率 问 题 、 效 率 问 题 单 线 程 在 跑 ， 测 试 子 域 名 比 较 少 的 时 候 还 行 ， 多 了 简 直 忍 无 可 忍 。 一 个 子 域 名 大 约 会 产 生 1 0 0 个 链 接 ， 1 个 链 接 再 拼 接 成 1 0 个 p a y l o a d 链 接 ， 一 个 p a y l o a d 访 问 0 - 3 s 之 间 ， 经 测 试 一 个 w e b 大 约 需 要 1 0 0 s 左 右 的 时 间 ， 几 百 个 子 域 名 的 大 厂 商 可 以 洗 洗 睡 了 。 没 有 办 法 ， 加 上 多 线 程 ， 幸 好 p y t h o n 多 线 程 比 较 简 单 ， 几 句 话 的 事 儿 ： p o o l   =   T h r e a d P o o l ( 5 0 ) r e s u l t s   =   p o o l . m a p ( g e t _ u r l _ c o d e ,   n e w _ u r l _ l i s t ) # g e t _ u r l _ c o d e 是 r e q u e s t s . g e t 封 装 p o o l . c l o s e ( ) p o o l . j o i n ( ) 3 、 无 法 建 立 新 连 接 问 题 、 无 法 建 立 新 连 接 问 题 查 看 出 错 信 息 发 现 出 现 了 大 量 错 误 信 息 ， 格 式 差 不 多 如 下 ： H T T P S C o n n e c t i o n P o o l ( h o s t = ' x x x . x x x . x x x ' ,   p o r t = x x x ) :   M a x   r e t r i e s   e x c e e d e d   w i t h   u r l :   / x x x / x x x   ( C a u s e d   b y   N e w C o n n e c t i o n E r r o r ( ' :   F a i l e d   t o e s t a b l i s h   a   n e w   c o n n e c t i o n :   [ E r r n o   1 1 0 0 4 ]   g e t a d d r i n f o   f a i l e d ' , ) ) h t t p 连 接 太 多 ， 无 法 建 立 新 的 连 接 ？ g o o g l e 一 把 ， 了 解 了 个 大 概 ， r e q u e s t s 使 用 了 u r l l i b 3 库 ， 默 认 的 h t t p   c o n n e c t i o n 是 k e e p - a l i v e 的 ， 我 们 要 做 的 就 是 把 它 关 掉 r e q u e s t s . g e t ( " h t t p : / / . . . " ,   h e a d e r s = { ' C o n n e c t i o n ' : ' c l o s e ' } ) r e q u e s t s . p o s t ( " h t t p : / / . . . " ,   h e a d e r s = { ' C o n n e c t i o n ' : ' c l o s e ' } ) 总 结 总 结 说 了 这 么 多 ， 其 实 出 来 的 结 果 就 是 1 0 0 多 行 p y t h o n 代 码 ， 测 了 几 个 大 厂 商 的 站 ， 效 果 还 行 ， 就 不 知 天 高 地 厚 地 放 出 来 了 ， 接 受 批 评 和 自 我 批 评
代 码 下 载 作 者 微 博 地 址 ： h t t p : / / w e i b o . c o m / w h o a m i s b *   本 文 原 创 作 者 ： 本 文 原 创 作 者 ： w h o a m i s b ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理