搜索

[295] 2019-04-19_A3跨站脚本攻击XSS

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2019-04-19_A3跨站脚本攻击XSS A 3   跨 站 脚 本 攻 击   X S S 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 4 - 1 9 0 x 0 0 ： ： 审 计 介 绍 审 计 介 绍 对 于 跨 站 问 题 也 就 是 我 们 常 说 的 存 储 、 反 射 和   D O M   三 种 ， 在 挖 掘   X S S   上 我 们 一 般 的 思 路 是 查 找 可 能 在 页 面 上 进 行 输 出 的 变 量 ， 并 检 查 这 些 变 量 是 否 可 控 ， 然 后 跟 踪 传 递 过 程 ， 查 看 后 端 处 理 是 否 对 接 收 的 内 容 进 行 过 滤 或 编 码 ， 在 前 端 显 示 时 是 否 被   h t m l e n c o d e   之 类 的 函 数 做 过 处 理 。 对 于 很 多 系 统 ， 不 建 议 过 滤 特 殊 字 符 ， 一 个 体 验 不 佳 再 一 个 有 些 系 统 是 有 需 求 可 以 输 入 特 殊 符 号 的 ， 这 时 后 台 可 以 进 行 编 码 处 理 ， 例 如   a s p   的   S e r v e r . H T M L E n c o d e ， p h p   的   h t m l s p e c i a l c h a r s ， j a v a   的   o r g . a p a c h e . c o m m o n s . l a n g . S t r i n g E s c a p e U t i l s   等 。 这 里 需 要 注 意 的 是 后 台 如 果 对 收 到 的 内 容 整 体 进 行 编 码 ， 例 如 汉 子 编 码 后 就 会 多 出 很 多 字 节 ， 会 浪 费 空 间 ， 建 议 根 据 实 际 情 况 进 行 处 理 ， 可 以 只 过 滤 特 殊 符 号 这 种 ， 同 时 前 台 输 出 时 也 应 用 进 行 转 义 处 理 。 0 x 0 1 ： ： 反 射 跨 站 示 例 反 射 跨 站 示 例 这 里 我 们 以   p h p   为 例 简 单 的 看 个 例 子 ， 就 拿 我 们 常 说 的   b l u e c m s 1 . 6 . s p 1   为 例 ， 存 在 反 射 跨 站 的 是 根 目 录 的   a d _ j s . p h p   文 件 ， 其 源 码 如 下 ：
上 面 源 码 是 获 取 了   a d _ i d   的 值 ， 然 后 字 节 拼 接 到 了   s q l   语 句 中 ， 这 里 首 先 就 已 经 存 在 了 注 入 问 题 ， 当 给   a d _ i d   赋 一 个 字 符 字 符 串 之 类 的 东 西 时 ， a d   的 内 容 就 变 成 了   s q l   执 行 语 句 错 误 的 内 容 ， 最 后 会 字 节 输 出 到 页 面 ， 这 时 插 入 的 恶 意   j s   语 句 等 也 会 进 行 输 出 并 执 行 。 需 要 注 意 的 是 ， 代 码 中 的 正 则 替 换 只 匹 配 了   " / r / n ， 而 并 没 有   < >   符 。 0 x 0 2 ： ： 存 储 跨 站 示 例 存 储 跨 站 示 例 存 储 我 们 还 拿   b l u e c m s   做 示 例 ， 在   b l u e c m s   中 的   c o m m o n . f u n . p h p   文 件 中 有 一 个 获 取   i p   的 函 数 ， 其 中 使 用 了   g e t e n v   来 获 取 客 户 端 的   i p   地 址 ， 但 并 没 有 对   i p   进 行 过 滤 ， 可 伪 造 ， 函 数 代 码 如 下 。 < ? p h p $ a d _ i d   =   ! e m p t y ( $ _ G E T [ ' a d _ i d ' ] )   ?   t r i m ( $ _ G E T [ ' a d _ i d ' ] )   :   ' ' ; i f ( e m p t y ( $ a d _ i d ) ) {         e c h o   ' E r r o r ! ' ;         e x i t ( ) ; } $ a d   =   $ d b - > g e t o n e ( " S E L E C T   *   F R O M   " . t a b l e ( ' a d ' ) . "   W H E R E   a d _ i d   = " . $ a d _ i d ) ; i f ( $ a d [ ' t i m e _ s e t ' ]   = =   0 ) {         $ a d _ c o n t e n t   =   $ a d [ ' c o n t e n t ' ] ; } e l s e {         i f ( $ a d [ ' e n d _ t i m e ' ]   <   t i m e ( ) ) {                 $ a d _ c o n t e n t   =   $ a d [ ' e x p _ c o n t e n t ' ] ;         } e l s e {                 $ a d _ c o n t e n t   =   $ a d [ ' c o n t e n t ' ] ;         } } $ a d _ c o n t e n t   =   s t r _ r e p l a c e ( ' " ' ,   ' " ' , $ a d _ c o n t e n t ) ; $ a d _ c o n t e n t   =   s t r _ r e p l a c e ( " r " ,   " r " , $ a d _ c o n t e n t ) ; $ a d _ c o n t e n t   =   s t r _ r e p l a c e ( " n " ,   " n " , $ a d _ c o n t e n t ) ; e c h o   " < ! - - r n d o c u m e n t . w r i t e ( " " . $ a d _ c o n t e n t . " " ) ; r n - - > r n " ; ? >
以 上   g e t e n v   获 取 的 变 量 都 是 客 户 端 的   i p ， 这 里 可 以 抓 包 修 改 数 据 包 头 中 的   i p   值 ， 而 获 取   i p   这 个 函 数 在 程 序 中 的 评 论 功 能 有 使 用 ， 其 部 分 代 码 如 下 。 这 里 主 要 的 就 是   i n s e r t   语 句 ， i p   字 段 用 的 值 就 是   g e t i p   函 数 ， 因 为   i p   并 没 有 做 严 格 的 判 断 和 限 制 ， 其 构 造   p a y l o a d   如 下 。 以 上 代 码 放 到   s q l   语 句 的   i p   值 位 置 时 ， 整 个   s q l   语 句 就 变 成 了 插 入 两 条 数 据 ， 而 第 二 条 的   c o n t e n t   字 段 也 就 是 内 容 我 们 放 的   j s 代 码 ， 这 时 访 问 被 评 论 的 文 章 时 ， j s   代 码 便 会 执 行 。 这 里 需 要 注 意 的 是   c o n t e n t   内 容 字 段 是 被 经 过 过 滤 的 ， 所 以 无 法 插 入 恶 意 脚 本 ， 而 我 们 便 利 用 的   i p   字 段 问 题 来 构 造   s q l   成 功 插 入 了 恶 意 代 码 。 0 x 0 3 : D O M   跨 站 示 例 跨 站 示 例 D O M   简 单 来 说 就 是 客 户 端 的 脚 本 程 序 可 以 通 过   D O M   动 态 的 检 查 和 修 改 页 面 内 容 ， 他 不 会 依 赖 服 务 器 的 数 据 ， 而 是 从 客 户 端 的   D O M   中 获 取 数 据 并 在 本 地 执 行 ， 获 取 的 这 些 数 据 若 没 有 进 行 过 适 当 的 过 滤 和 消 毒 ， 则 可 能 会 造 成   D O M X S S 。 在 检 测 f u n c t i o n   g e t i p ( ) {         i f   ( g e t e n v ( ' H T T P _ C L I E N T _ I P ' ) ) {                 $ i p   =   g e t e n v ( ' H T T P _ C L I E N T _ I P ' ) ;         }         e l s e i f   ( g e t e n v ( ' H T T P _ X _ F O R W A R D E D _ F O R ' ) )         {   / / 获 取 客 户 端 用 代 理 服 务 器 访 问 时 的 真 实 i p   地 址                 $ i p   =   g e t e n v ( ' H T T P _ X _ F O R W A R D E D _ F O R ' ) ;         }         e l s e i f   ( g e t e n v ( ' H T T P _ X _ F O R W A R D E D ' ) )         {                 $ i p   =   g e t e n v ( ' H T T P _ X _ F O R W A R D E D ' ) ;         }         e l s e i f   ( g e t e n v ( ' H T T P _ F O R W A R D E D _ F O R ' ) )         {                 $ i p   =   g e t e n v ( ' H T T P _ F O R W A R D E D _ F O R ' ) ;         }         e l s e i f   ( g e t e n v ( ' H T T P _ F O R W A R D E D ' ) )         {                 $ i p   =   g e t e n v ( ' H T T P _ F O R W A R D E D ' ) ;         } e l s e {                 $ i p   =   $ _ S E R V E R [ ' R E M O T E _ A D D R ' ] ;         }         r e t u r n   $ i p ; } i f ( e m p t y ( $ c o n t e n t ) ) {         s h o w m s g ( ' 评 论 内 容 不 能 为 空 ' ) ; } i f ( $ _ C F G [ ' c o m m e n t _ i s _ c h e c k ' ]   = =   0 ) {           $ i s _ c h e c k   =   1 ;   } e l s e {           $ i s _ c h e c k   =   0 ;   } $ s q l   =   " I N S E R T   I N T O   " . t a b l e ( ' c o m m e n t ' ) . "   ( c o m _ i d ,   p o s t _ i d ,   u s e r _ i d ,   t y p e ,   m o o d ,   c o n t e n t ,   p u b _ d a t e ,   i p ,   i s _ c h e c k )   V A L U E S   ( ' ' ,   ' $ d b - > q u e r y ( $ s q l ) ; 0 0 ' , ' 1 ' ) , ( ' ' , ' 1 ' , ' 0 ' , ' 1 ' , ' 6 ' , ( ' < s c r i p t > a l e r t ( 1 ) < / s c r i p t > ' ) , ' 8 8 8 8 8 8 8 8 8 8 ' , ' 9 9
D O M X S S   时 ， 需 要 多 注 意 一 些 输 入 源 以 及 可 以 触 发   D O M   的 属 性 ， 例 如   d o c u m e n t . r e f e r e r , w i n d o w . n a m e , l o c a t i o n   等 。 这 里 我 们 列 一 个 简 单 的 示 例 ， 示 例 如 下 。 以 上 页 面 其   j s   通 过   d o c u m e n t   获 取   u r l   并 把   a   的 值 显 示 在 页 面 上 ， 而 当   a   的 值 为 恶 意 的 脚 本 代 码 时 ， 其 页 面 输 出 便 会 被 执 行 。 下 面 再 列 举 一 个   d o c u m e n t . r e f e r e r   的 例 子 ， 示 例 如 下 。 当 访 问   1 2 7 . 0 . 0 . 1 / d o m x s s . h t m l ? ＜ s c r i p t ＞ a l e r t ( 1 ) ＜ / s c r i p t ＞ 时 ， 点 击   d o m x s s   会 进 行 页 面 跳 转 ， 这 里 示 例 就 还 跳 到 页 面 本 身 ， 但 r e f e r r e r   会 记 录 上 一 个 的 页 面 地 址 ， 即 从 哪 里 跳 过 来 的 并 打 印 ， 而 上 一 个 地 址 我 们 最 后 添 加 了 恶 意 脚 本 ， 所 以 这 里 会 被 执 行 。 同 样 的 ， 例 如 一 些   w i n d o w s . n a m e , l o c a t i o n   等 属 性 也 都 有 可 能 造 成   d o m x s s s ， 例 如 以 下 示 例 。 l o c a t i o n   是   j s   用 来 管 理   u r l   的 一 个 内 置 对 象 ， 示 例 中 的   l o c a t i o n . h r e f   会 获 取   u r l   地 址 ， 而 当 我 们 访 问   1 2 7 . 0 . 0 . 1 / d o m x s s . h t m l ? # ＜ s c r i p t ＞ a l e r t ( 1 ) ＜ / s c r i p t ＞ 时 ， 其 恶 意 代 码 便 会 执 行 。 这 里 我 们 会 发 现   d o m x s s   其 实 和 反 射   x s s   有 点 像 ， d o m x s s   也 可 以 算 作 是 反 射   x s s   的 一 种 ， 都 是 通 过   u r l   去 控 制 和 触 发 的 ， 区 别 在 于 ， d o m   是 页 面 输 出 ， 和 服 务 器 没 有 交 互 ， 像 反 射 可 能 与 服 务 器 有 交 互 ， 例 如 搜 索 功 能 的 关 键 字 会 在 页 面 打 印 而 被 触 发 ， 其 此 操 作 交 互 了 服 务 器 。 挖 掘   d o m x s s ， 主 要 需 要 关 注 数 据 的 输 入 和 输 出 ， 例 如 刚 刚 的 输 入   d o c u m e n t . r e f e r e r , d o c u m e n t . n a m e , l o c a t i o n   等 ， 输 出 例 如 < h t m l >         < h e a d >         < t i t l e > D O M X S S < / t i t l e >         < / h e a d >         < b o d y >                 < s c r i p t >                         v a r   a   =   d o c u m e n t . U R L ;                         d o c u m e n t . w r i t e ( a . s u b s t r i n g ( a . i n d e x O F ( a = " " ) + 2 , a . l e n g t h ) ) ;                 < / s c i r p t >         < / b o d y > < / h t m l > < h t m l >         < h e a d >         < t i t l e > D O M X S S < / t i t l e >         < / h e a d >         < b o d y >                 < a   h r e f = " h t t p : / / 1 2 7 . 0 . 0 . 1 / d o m x s s . h t m l " > d o m x s s < / a >                 来 自 ： < s c r i p t > d o c u m e n t . w r i t e ( d o c u m e n t . r e f e r r e r ) ; < / s c r i p t >         < / b o d y > < / h t m l > < h t m l >         < h e a d >         < t i t l e > D O M X S S < / t i t l e >         < / h e a d >         < b o d y >                 < s c r i p t >                         d o c u m e n t . w r i t e ( " s i t e : "   +   d o c u m e n t . l o c a t i o n . h r e f ) ;                 < / s c r i p t >         < / b o d y > < / h t m l >
i n n e r H T M L , d o c u m e n t . w r i t e   等 。 不 论   d o m ， 反 射 和 存 储 也 一 样 ， 其 流 程 大 体 都 是 跟 踪 输 出 的 函 数 变 量 ， 找 出 可 能 危 害 的 地 方 ， 然 后 回 溯 变 量 和 函 数 的 调 用 过 程 ， 查 看 用 户 是 否 可 以 控 制 输 入 。 0 x 0 3 ： ： 防 御 和 总 结 防 御 和 总 结 对 于 跨 站 审 计 流 程 我 们 可 以 跟 踪 输 出 的 函 数 变 量 ， 找 出 可 能 危 害 的 地 方 ， 然 后 回 溯 变 量 和 函 数 的 调 用 过 程 ， 查 看 用 户 是 否 可 以 控 制 输 入 。 对 于 渗 透 测 试 只 要 有 输 入 的 地 方 就 有 可 能 存 在 ， 对 于 防 护 建 议 如 果 程 序 允 许 ， 可 以 在 入 库 的 时 候 就 过 滤 掉 特 殊 字 符 ， 如 果 程 序 需 要 特 殊 字 符 的 存 在 ， 则 在 出 库 显 示 页 面 时 需 要 根 据 输 出 的 位 置 来 做 好 编 码 ， 例 如   u r l   编 码 ， 页 面 显 示 编 码 ， 或 者 是 作 为 属 性 的 编 码 。 同 时 要 做 好 关 键 字 过 滤 ， 可 以 使 用 正 则 匹 配 ， 如 果 存 在 便 签 且 里 面 有   o n   开 头 的 内 容 则 应 该 都 被 过 滤 掉 。 因 为 跨 站 类 型 多 且 很 多 功 能 一 不 小 心 就 会 存 在 此 问 题 ， 所 以 跨 站 漏 洞 也 比 较 多 ， 且 危 害 高 ， 在 审 计 和 渗 透 时 应 尽 可 能 的 仔 细 审 计 和 测 试 ， 尽 量 避 免 此 问 题 的 发 生 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理