搜索

[11814] 2017-09-23_ChromeXSS审计之SVG标签绕过

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-09-23_ChromeXSS审计之SVG标签绕过 C h r o m e   X S S 审 计 之 S V G 标 签 绕 过 东 林   F r e e B u f   2 0 1 7 - 0 9 - 2 3 在 一 年 前 在 一 年 前 , 在 我 的 私 人 在 我 的 私 人 T w i t t e r 账 户 账 户     b r u t a l   s e c r e t   , 我 分 享 了 一 个 有 趣 的 方 法 来 通 过 审 计 绕 过 我 分 享 了 一 个 有 趣 的 方 法 来 通 过 审 计 绕 过 c h r o m e   的 的 x s s 过 滤 过 滤 器 。 我 们 将 从 黑 盒 测 试 的 角 度 来 观 察 器 。 我 们 将 从 黑 盒 测 试 的 角 度 来 观 察 , 一 个 逻 辑 假 设 和 结 论 一 个 逻 辑 假 设 和 结 论 ,   导 致 我 们 的 导 致 我 们 的   X S S   向 量 绕 过 了 向 量 绕 过 了 x s s 过 滤 器 。 过 滤 器 。 我 们 从 已 知 的 所 有   X H T M L   解 析 器   ( 浏 览 器 )   的 麻 烦 开 始 : S c a l a b l e _ V e c t o r _ G r a p h i c s ( s v g ) : 如 果 你 不 知 道 s v g 可 以 干 什 么 , 点 击 这 里 深 入 了 解 信 息   （ 点 击 阅 读 原 文 查 看 链 接 ） 我 们 需 要 知 道 的 是 ,   S V G   标 记 比 简 单 的   X M L / H T M L   更 复 杂 ,   并 且 对 攻 击 者 充 满 了 未 知 的 资 源 。 开 始 一 个 简 单 的 s v g 标 签 , 我 们 再 继 续 使 用 a 标 签 制 造 一 个 空 锚 点 . 这 个 a 标 签 创 造 了 一 个 超 链 接 。 嵌 套 a 标 签 我 们 制 造 一 个 矩 形 来 创 造 一 个 可 点 击 区 域 , 最 后 是 像 这 样 的 。 注 意 ： 由 于 是 国 外 站 。 会 导 致 j s 文 件 加 载 失 败 。 请 使 用 合 理 方 法 获 取 国 外 j s 文 件 我 们 现 在 正 在 寻 找 一 种 与 元 素 交 互 的 方 法 ,   但 是 由 于 x s s 过 滤 程 序 ,   我 们 不 能 使 用 事 件 处 理 程 序 。 所 以 我 们 将 尝 试 创 造 一 个 动 画 , 特 别 是 这 个 标 签 。 a n i m a t e   标 签   采 用 父 元 素   ( 在 我 们 的 情 况 下 为   r e c t   标 签 )   的 一 个 属 性 并 操 作 它 的 值 ,   例 如   “ 宽 度 ” 。 它 在 自 己 的 属 性 “ f r o m ” 、 ” t o ”   和   “ d u r ”   ( 持 续 时 间 )   的 帮 助 下 创 建 动 画 效 果 。 有 趣 的 结 论 是 ,   我 们 实 际 上 是 在 按 顺 序 改 变   “ 宽 度 ”   属 性 的 原 始 值 , 但 如 果 我 们 针 对 不 同 的 属 性 呢 ？ 让 我 们 取 锚 点   ( a )   的   h r e f ,   它 我 们 没 有 设 置 ,   但 是 是 隐 式 的 . 在 属 性 和 中 进 行 一 些 调 整 后 ,   我 们 就 可 以 开 始 了 。 通 过 点 击 我 们 的 现 在 ,   我 们 被 重 定 向 到 谷 歌 的 网 站 。 因 此 ,   要 弹 出 一 个 警 告 框 , 我 们 只 需 要 尝 试 将 其 更 改 为 < a n i m a t e > < r e c t > < r e c t >
“ j a v a s c r i p t :   a l e r t ( 1 ) ” 没 那 么 容 易 , 即 使 试 图 使 用   H T M L   编 码 欺 骗 x s s 过 滤 器 也 会 被 阻 止 我 们 回 到   S V G   属 性 参 考 ,   找 到 一 个 有 趣 的 替 代 属 性 ” f r o m ”   和   “ t o ” :   动 画 元 素 也 可 以 使 用   “ v a l u e ”   属 性 ,   为 动 画 提 供 相 同 的 值 . 只 需 将   “ 值 ”   设 置 为   “ j a v a s c r i p t :   a l e r t ( 1 ) ” ,   我 们 就 会 再 次 受 阻 . 但 是 ,   令 人 惊 讶 的 是 ,   这 次 我 们 使 用   H T M L   编 码 的 形 式 成 功 弹 出 一 个 警 报 , “ j a v a s & # 9 9 r i p t : a l e r t ( 1 ) ” 。 奇 怪 的 是 ,   任 何 其 他 任 意 属 性 与 我 们 的 模 糊 测 试 使 用 的 有 效 载 荷 将 触 发 一 个 拦 截 ,   但 是 似 乎 是 一 个   “ 黑 名 单 ” ! 我 们 更 改     在 他 前 面 添 加   标 签 ,   更 适 合 于 吸 引 受 害 者 的 单 击 。 少 量 添 加 文 本 标 记 . . b o o m , 点 击 后 我 们 成 功 了 此 绕 过 在 版 本 5 1 中 找 到 ,   尽 管 它 可 能 在 几 个 以 前 的 版 本 中 使 用 , 但 是 它 目 前 仍 然 可 以 在 本 博 客 写 作 的 时 候 ( 2 0 1 7 年 8 月 1 4 日 ) 谷 歌   C h r o m e   v 6 0 最 新 版 本 的 时 候 使 用 。 注 ： 现 在 我 测 试 依 然 可 用 。 < r e c t > < i m a g e >
* 本 文 作 者 ： 东 林 ， 转 载 请 注 明 来 自 本 文 作 者 ： 东 林 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理