搜索

[20621] 2021-06-09_一枚通过参数污染绕过百度RASP的XSS

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-06-09_一枚通过参数污染绕过百度RASP的XSS 一 枚 通 过 参 数 污 染 绕 过 百 度 R A S P 的 X S S 原 创   Y 1 S h u i   -   阿 硕   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 6 - 0 9                 日 常 工 作 过 程 中 ， 偶 然 发 现 一 个 网 站 登 录 页 面 ， 在 页 面 返 回 包 中 存 在 一 个 隐 藏 参 数 “ m e s s ” ， 且 该 页 面 部 署 了 百 度 R A S P 进 行 防 护 ， 本 文 介 绍 如 何 发 现 隐 藏 参 数 以 及 如 何 通 过 参 数 污 染 方 式 造 成 X S S 攻 击 。 涉 及 信 息 较 为 敏 感 ， 请 各 位 看 官 见 谅 。 一 、 参 数 污 染 H T T P 参 数 污 染 ， 也 叫 H P P （ H T T P   P a r a m e t e r   P o l l u t i o n ） 。 当 给 一 个 参 数 赋 两 个 值 或 者 更 多 的 值 时 ， 服 务 器 对 多 次 赋 值 参 数 的 数 据 处 理 也 是 不 同 的 ， 根 据 这 个 特 征 ， 可 以 对 某 些 防 护 设 备 进 行 绕 过 。               u r l ： h t t p : / / e x a m p l e . c o m / s e a r c h . p h p ? i d = 6 6 6 & i d = 9 9 9               服 务 端 接 收 到 i d 参 数 后 会 对 i d 进 行 解 析 。               谷 歌 处 理 如 下 ： 两 个 值 都 进 行 了 选 择 百 度 如 下 ：
只 有 第 一 个 值 被 选 择 ， 第 二 个 值 没 有 被 选 择 。   雅 虎 如 下 ：               第 二 个 p 值 被 选 择 。               故 我 们 可 以 利 用 这 个 特 征 ， 对 某 些 防 护 设 备 进 行 尝 试 绕 过 。   二 、 隐 藏 参 数               登 录 页 面 随 意 输 入 信 息 后 进 行 抓 包 ， 返 回 包 如 下 ： 在 返 回 包 中 搜 索 “ h i d d e n ” ， 发 现 参 数 “ m e s s ” 。 在 请 求 包 内 添 加 “ m e s s ” 参 数 进 行 测 试 请 求 包 ：
返 回 包 ：   三 、 尝 试 绕 过 百 度 R A S P 百 度 R A S P ： O p e n R A S P   抛 弃 了 传 统 防 火 墙 依 赖 请 求 特 征 检 测 攻 击 的 模 式 ， 创 造 性 的 使 用 R A S P 技 术 （ 应 用 运 行 时 自 我 保 护 ） ， 直 接 注 入 到 被 保 护 应 用 的 服 务 中 提 供 函 数 级 别 的 实 时 防 护 ， 可 以 在 不 更 新 策 略 以 及 不 升 级 被 保 护 应 用 代 码 的 情 况 下 检 测 / 防 护 未 知 漏 洞 ， 尤 其 适 合 大 量 使 用 开 源 组 件 的 互 联 网 应 用 以 及 使 用 第 三 方 集 成 商 开 发 的 金 融 类 应 用 ， 详 细 介 绍 可 自 行 搜 索 官 方 文 档 。   尝 试 常 规 X S S   p a y l o a d 被 拦 截               经 测 试 使 用 常 规 X S S   p a y l o a d 均 被 R A S P 拦 截             使 用 参 数 污 染 进 行 绕 过 :   S t e p 1 ：               尝 试 输 入 两 个 ” m e s s ” 参 数 ， 确 认 可 被 服 务 端 接 收 的 值 请 求 包 ：
返 回 包 ： 1 和 2 都 被 接 收 ， 但 在 1 结 束 处 出 现 了 “ ， ”   S t e p 2 ：               对 前 面 的 语 句 进 行 闭 合 ： 请 求 包 ： 返 回 包 ： S t e p 3 ：               尝 试 构 造 常 规 X S S   p a y l o a d 请 求 包 ： 返 回 包 ：                 此 时 出 现 了 一 个 问 题 ， 在 每 次 参 数 赋 值 后 ， 都 会 出 现 “ ， ” 且 “ ， ” 的 出 现 是 无 法 避 免 的 ， 因 此 我 们 需 要 构 造 一 个 p a y l o a d ， 使 其 能 够 合 理 的 存 在 “ ， ” ， 在 这 儿 使 用 定 义 参 数 来 进 行 构 造 ， 将 “ ， ” 合 理 的 包 含 在 p a y l o a d 中 。                 第 一 个 “ ， ” 定 义 v a r   a , b = a l e r t ( 1 )       # 在 < s c r i p t > 后 增 加 v a r   a ， 把 赋 值 出 现 的 “ ， ” 当 做 对 a 和 b 参 数 定 义 的 间 隔 。                 第 二 个 “ ， ” 在 a l e r t ( 1 ) 后 面 再 次 赋 值 c = 1 < / s c r i p t >     # 将 a l e r t ( 1 ) 后 出 现 的 “ ， ” 包 含 在 p a y l o a d 当 中 ， 使 < / s c r i p t > 前 面 紧 跟 的 是 c = 1
而 不 是 “ , ” 最 终 这 个 p a y l o a d 可 以 写 成 ： < s c r i p t > v a r a , b = a l e r t ( 1 ) , c = 1 < / s c r i p t > 本 地 测 试 ：   那 么 请 求 包 内 可 以 写 成 ： m e s s = ” > & < s c r i p t > v a r a & m e s s = b = a l e r t ( 1 ) & m e s s = c = 1 < / s c r i p t >   S t e p 4 ： 最 终 成 功 弹 窗     四 ： 总 结               本 文 从 寻 找 隐 藏 参 数 到 常 规 p a y l o a d 被 R A S P 拦 截 ， 再 到 参 数 污 染 方 式 进 行 绕 过 并 处 理 多 值 接 收 的 “ ， ” 问 题 ， 最 终 构 造 出 了 可 成 功 执 行 的 p a y l o a d 。 文 章 中 涉 及 漏 洞 实 际 风 险 有 限 ， 但 可 当 做 一 个 参 数 污 染 绕 过 防 护 设 备 的 典 型 案 例 ， 在 之 后 遇 到 X S S 或 者 S Q L 注 入 被 拦 截 时 ， 使 用 参 数 污 染 方 式 尝 试 绕 过 ， 可 能 会 有 奇 效 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理