搜索

[11324] 2017-05-08_通过浏览器缓存来bypassnoncescriptCSP

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2017-05-08_通过浏览器缓存来bypassnoncescriptCSP 通 过 浏 览 器 缓 存 来 b y p a s s   n o n c e   s c r i p t   C S P L o R e x x a r   F r e e B u f   2 0 1 7 - 0 5 - 0 8 *   本 文 原 创 作 者 ： L o R e x x a r ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 最 近 看 了 去 年 g o o g l e 团 队 写 的 文 章 C S P   I s   D e a d ,   L o n g   L i v e   C S P ! ， 对 c s p 有 了 新 的 认 识 ， 在 文 章 中 ， g o o g l e 团 队 提 出 了 n o n c e - { r a n d o m } 的 c s p 实 现 方 式 ， 而 事 实 上 ， 在 去 年 的 圣 诞 节 ， S e b a s t i a n   演 示 了 这 种 c s p 实 现 方 式 的 攻 击 方 式 ， 也 就 是 利 用 浏 览 器 缓 存 来 攻 击 ， 现 在 来 详 细 分 析 下 。 漏 洞 分 析 原 文 查 看 ： h t t p : / / s i r d a r c k c a t . b l o g s p o t . j p / 2 0 1 6 / 1 2 / h o w - t o - b y p a s s - c s p - n o n c e s - w i t h - d o m - x s s . h t m l 国 内 的 翻 译 （ 只 有 翻 译 ） ： h t t p : / / p a p e r . s e e b u g . o r g / 1 6 6 / 首 先 我 需 要 个 d e m o 首 先 是 实 现 了 n o n c e   s c r i p t 的 站 ， 然 后 包 含 了 因 为 是 利 用 了 浏 览 器 缓 存 ， 所 以 我 们 不 能 对 页 面 发 起 请 求 ， 因 为 发 起 请 求 之 后 ， 后 台 就 会 刷 新 页 面 并 刷 新 n o n c e 的 字 符 串 ， 符 合 条 件 的 只 有 3 种 。 持 久 型   D O M   X S S ， 当 攻 击 者 可 以 强 制 将 页 面 跳 转 至 易 受 攻 击 的 页 面 ， 并 且   p a y l o a d   不 包 括 在 缓 存 的 响 应 中 （ 需 要 提 取 ） 。 包 含 第 三 方   H T M L   代 码 的   D O M   X S S   漏 洞 （ 例 如 ， f e t c h ( l o c a t i o n . p a t h N a m e ) . t h e n ( r = > r . t e x t ( ) ) . t h e n ( t = > b o d y . i n n e r H T M L = t ) ; ） X S S   p a y l o a d   存 在 于   l o c a t i o n . h a s h   中 的   D O M   X S S   漏 洞 （ 例 如   h t t p s : / / v i c t i m / x s s # ! f o o ? p a y l o a d = ） 这 里 首 先 我 们 需 要 一 个 开 启 了 n o n c e   s c r i p t 规 则 的 站 ， 并 加 入 一 个 x s s 点
i f r a m e 引 用 然 后 我 们 需 要 利 用 i f r a m e 引 入 这 个 页 面 ， 并 对 其 发 起 请 求 获 取 页 面 内 容 ， 这 里 我 们 通 过 向 其 中 注 入 一 个 < t e x t a r e a > 标 签 来 吃 掉 后 面 的 s c r i p t 标 签 ， 这 样 就 可 以 获 取 内 容 。
获 取 n o n c e 字 符 串
然 后 我 们 需 要 一 个 页 面 去 获 取 n o n c e 字 符 串 ， 为 了 反 复 获 得 ， 这 里 需 要 开 启 s e s s i o n 。 一 切 就 绪 了 ， 唯 一 的 问 题 就 是 在 n o n c e   s c r i p t 上 ， 由 于 c s p 开 启 的 问 题 ， 我 们 没 办 法 自 动 实 现 自 动 提 交 ， 也 就 是 攻 击 者 必 须 要 使 按 钮 被 点 击 ， 才 能 实 现 一 次 攻 击 。 n o n c e 绕 过 实 例 - p w n h u b 绝 对 防 御 为 了 研 究 整 个 漏 洞 的 限 制 性 ， 我 专 门 写 了 一 个 p w n h u b 的 题 目 。 题 目 环 境 大 概 是 这 样 的 。 前 台 是 个 聊 天 版 ， 可 以 发 给 任 何 人 ， 有 简 单 的 x s s 过 滤 ， 但 是 可 以 随 便 绕 过
在 a d m i n 的 聊 天 版 里 可 以 找 到 后 台 的 信 息 ， 通 过 构 造 任 意 x s s 获 得 后 台 地 址 。 W o w ,   g o o d   g u y s , m a y b e   y o u   w a n t   / a d m i n s h i g e s h a 2 3 3 e 3 3 3 3 / # a d m i n 打 开 看 一 眼 发 现 敏 感 信 息 右 键 看 源 码 是 这 样 的 存 在 d o m   x s s ， 看 看 返 回 头 还 可 以 发 现 更 多 信 息 。 服 务 端 不 但 开 启 了 最 新 版 的 n o n c e   c s p ， 而 且 还 开 启 了 浏 览 器 缓 存
这 就 让 我 们 有 了 可 乘 之 机 ， 就 如 同 上 面 提 到 的 一 样 ， 如 果 我 们 仅 修 改 l o c a t i o n . h a s h ， 浏 览 器 不 会 请 求 服 务 器 ， 那 么 n o n c e   s t r i n g 就 不 会 更 换 。 那 么 思 路 就 很 清 楚 了 ， 我 们 可 以 在 主 站 构 造 x s s ， 先 开 i f r a m e 请 求 a d m i n 目 录 的 ， 获 取 到 n o n c e 值 后 ， 再 新 建 一 个 i f r a m e ， 添 加 带 有 n o n c e 字 符 串 的 i f r a m e 窗 口 ， 执 行 任 意 x s s 总 结 但 是 让 我 回 过 头 来 总 结 下 上 面 的 利 用 条 件 ： 1 、 目 标 站 开 启 了 缓 存 机 制 。 2 、 目 标 站 同 源 下 存 在 未 被 c s p 保 护 的 存 在 x s s 的 站 点 。 但 事 实 上 ， 我 们 本 可 以 用 更 简 单 的 方 式 获 得 目 标 站 的 f l a g ， 比 如 构 造 一 个 i f r a m e 引 入 f l a g . p h p ， 然 后 读 i f r a m e 内 容 ， 在 同 源 的 情 况 下 是 允 许 的 。
p a y l o a d 如 下 那 么 如 果 a d m i n 站 点 和 x s s 站 点 非 同 源 呢 ？ 由 于 同 源 策 略 的 影 响 ， 你 不 能 从 父 窗 口 获 取 子 窗 口 的 内 容 ， 那 么 就 只 能 通 过 点 击 劫 持 的 方 式 ， 来 发 送 请 求 ， p a y l o a d 如 前 面 漏 洞 分 析 时 讲 到 的 。 p a y l o a d 如 下
如 果 被 攻 击 者 点 击 提 交 按 钮 ， 那 么 攻 击 者 就 可 以 获 取 想 要 的 所 有 信 息 了 。 回 顾 漏 洞 ， 我 们 不 难 发 现 整 个 漏 洞 处 处 都 受 到 同 源 策 略 的 限 制 ， 而 且 如 果 在 c h r o m e 环 境 下 ， 还 会 受 到 x s s   a u d i t o r 的 限 制 ， 所 以 虽 然 n o n c e   s c r i p t   c s p 存 在 理 论 被 绕 过 的 可 能 ， 但 是 被 作 为 C S P 的 新 解 决 方 案 来 说 ， 前 景 仍 然 光 明 。 *   本 文 原 创 作 者 ： L o R e x x a r ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理