搜索

[28162] 2020-02-14_某BC娱乐城DOMXSS篇

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2020-02-14_某BC娱乐城DOMXSS篇 某 B C 娱 乐 城   D O M   X S S 篇 7 0 7   O t s 安 全   2 0 2 0 - 0 2 - 1 4 摘 要 摘 要 我 们 都 听 说 过 跨 站 脚 本 （ x s s ） ， 对 吗 ？ 它 利 用 恶 意 的 数 据 （ 通 常 是 使 用 j a v a s c r i p t 代 码 填 充 到 h t m l 中 ） 嵌 入 到 你 的 应 用 程 序 的 H T M L 文 本 中 ， 然 后 执 行 注 入 的 j a v a s c r i p t 代 码 。 好 吧 ， 错 了 。 还 有 一 种 和 这 个 描 述 不 太 相 符 的 X S S ， 至 少 在 一 些 基 本 性 质 上 不 一 样 。 上 面 描 述 的 X S S 攻 击 要 么 是 “ 非 持 久 ” / “ 反 射 ” （ 即 恶 意 数 据 嵌 入 到 页 面 后 会 紧 跟 请 求 立 刻 返 回 到 浏 览 器 ） 要 么 是 “ 持 久 化 ” / “ 存 储 型 ” （ 在 这 种 情 况 下 恶 意 数 据 一 段 时 间 后 也 能 返 回 ） 。 但 是 还 存 在 第 三 种 X S S 攻 击 - 这 种 类 型 的 攻 击 不 依 赖 于 起 初 发 送 到 服 务 端 的 恶 意 数 据 ！ 虽 然 这 似 乎 与 定 义 和 常 识 有 些 矛 盾 ， 事 实 上 ， 对 于 这 类 攻 击 有 两 个 很 好 的 描 述 例 子 。 我 们 讨 论 的 这 个 技 术 被 称 为 “ D O M   B a s e d   X S S （ 基 于 d o m 的 x s s ） ” 。 对 于 攻 击 来 说 没 什 么 新 颖 的 ， 当 然 ， 在 这 篇 文 章 中 这 个 创 新 属 于 一 个 不 同 的 “ 味 道 ” ， 这 个 “ 味 道 ” 还 是 蛮 有 趣 和 重 要 的 。 应 用 程 序 开 发 者 和 用 户 需 要 了 解 基 于 D O M 的 X S S ， 由 于 它 代 表 了 w e b 应 用 程 序 的 一 种 威 胁 ， 比 标 准 的 X S S 有 了 不 同 的 先 决 条 件 。 同 样 地 ， 互 联 网 上 很 多 w e b 应 用 程 序 易 受 基 于 D O M 的 X S S 攻 击 ， 但 是 当 测 试 （ 标 准 的 ） X S S 时 ， 它 却 被 标 明 为 “ 非 脆 弱 的 ” 。 开 发 人 员 和 网 站 维 护 人 员 （ 或 者 审 计 员 ） 需 要 熟 悉 相 关 技 术 来 检 测 基 于 D O M 的 x s s 漏 洞 ， 以 及 使 用 相 关 技 术 来 防 护 该 漏 洞 的 攻 击 ， 这 些 和 适 用 的 标 准 x s s 有 些 不 同 。 注 意 这 些 读 者 不 熟 悉 的 j a v a s c r i p t 对 象 ： 当 j a v a s c r i p t 在 浏 览 器 执 行 时 ， 浏 览 器 提 供 给 j a v a s c r i p t 代 码 几 个 D O M 对 象 。 文 档 对 象 首 先 在 这 些 对 象 之 中 ， 并 且 它 代 表 着 大 多 数 浏 览 器 呈 现 的 页 面 的 属 性 。 这 个 文 档 对 象 包 含 很 多 子 对 象 ， 例 如 l o c a t i o n ， U R L 和 r e f e r r e r 。 这 些 对 象 根 据 浏 览 器 的 显 示 填 充 浏 览 器 。 因 此 ，   d o c u m e n t . U R L   和   d o c u m e n t . l o c a t i o n 是 由 页 面 的 U R L 按 照 浏 览 器 的 解 析 填 充 的 。 注 意 这 些 对 象 不 是 提 取 自 H T M L 的 b o d y - 它 们 不 会 出 现 在 数 据 页 面 。 文 档 对 象 包 含 一 个 b o d y 对 象 ， 它 代 表 对 于 H T M L 的 解 析 。 例 子 和 讨 论 例 子 和 讨 论 在 描 述 基 本 方 案 前 ， 先 强 调 下 这 里 一 些 技 术 概 论 已 经 得 到 公 众 的 证 明 ， 同 样 地 ， 下 面 的 也 不 是 一 些 新 技 术 （ 尽 管 可 能 有 些 陌 生 技 术 ） 。 前 提 是 易 受 攻 击 的 网 站 有 一 个 H T M L 页 面 采 用 不 安 全 的 方 式 从 d o c u m e n t . l o c a t i o n   或 d o c u m e n t . U R L   或   d o c u m e n t . r e f e r r e r 获 取 数 据 （ 或 者 任 何 其 他 攻 击 者 可 以 修 改 的 对 象 ） . 注 意 这 些 读 者 不 熟 悉 的 j a v a s c r i p t 对 象 ： 当 j a v a s c r i p t 在 浏 览 器 执 行 时 ， 浏 览 器 提 供 给 j a v a s c r i p t 代 码 几 个 D O M 对 象 。 文 档 对 象 首 先 在 这 些 对 象 之 中 ， 并 且 它 代 表 着 大 多 数 浏 览 器 呈 现 的 页 面 的 属 性 。 这 个 文 档 对 象 包 含 很 多 子 对 象 ， 例 如 l o c a t i o n ， U R L 和 r e f e r r e r 。 这 些 对 象 根 据 浏 览 器 的 显 示 填 充 浏 览 器 。 因 此 ，   d o c u m e n t . U R L   和   d o c u m e n t . l o c a t i o n 是 由 页 面 的 U R L 按 照 浏 览 器 的 解 析 填 充 的 。 注 意 这 些 对 象 不 是 提 取 自 H T M L 的 b o d y - 它 们 不 会 出 现 在 数 据 页 面 。 文 档 对 象 包 含 一 个 b o d y 对 象 ， 它 代 表 对 于
H T M L 的 解 析 。 你 常 常 会 发 现 在 一 个 应 用 程 序 的 H T M L 页 面 里 包 含 解 析 U R L （ 通 过 访 问 d o c u m e n t . U R L   或 者   d o c u m e n t . l o c a t i o n ） 和 执 行 一 些 客 户 端 逻 辑 的 j a v a s c r i p t 代 码 ， 下 面 的 例 子 就 是 对 这 样 一 个 逻 辑 的 说 明 。 < H T M L > < T I T L E > W e l c o m e ! < / T I T L E > H i < S C R I P T > v a r   p o s = d o c u m e n t . U R L . i n d e x O f ( " n a m e = " ) + 5 ; d o c u m e n t . w r i t e ( d o c u m e n t . U R L . s u b s t r i n g ( p o s , d o c u m e n t . U R L . l e n g t h ) ) ; < / S C R I P T > < B R > W e l c o m e   t o   o u r   s y s t e m … < / H T M L > 通 常 这 个 页 面 作 为 用 户 欢 迎 页 面 ,   例 如 :     h t t p : / / w w w . v * * * e r a b l e . s i t e / w e l c o m e . h t m l ? n a m e = J o e   然 而 ， 如 下 的 一 个 请 求 :       h t t p : / / w w w . v * * * e r a b l e . s i t e / w e l c o m e . h t m l ? n a m e =   < s * * i p t > a * e r t ( d o c u m e n t . c o o k i e ) < / * * r i p t >   因 服 务 器 对 敏 感 入 侵 关 键 字 进 行 过 滤 ， 所 以 要 打 上 * 将 产 生 x s s 条 件 。 让 我 们 看 看 为 什 么 ： 受 害 者 的 浏 览 器 接 收 到 这 个 链 接 ， 发 送 H T T P 请 求 到 w w w . v * * e r a b l e . s i t e 并 且 接 受 到 上 面 的 H T M L 页 。 受 害 者 的 浏 览 器 开 始 解 析 这 个 H T M L 为 D O M ， D O M 包 含 一 个 对 象 叫 d o c u m e n t ， d o c u m e n t 里 面 有 个 U R L 属 性 ， 这 个 属 性 里 填 充 着 当 前 页 面 的 U R L 。 当 解 析 器 到 达 j a v a s c r i p t 代 码 ， 它 会 执 行 它 并 且 修 改 你 的 H T M L 页 面 。 倘 若 代 码 中 引 用 了 d o c u m e n t . U R L ， 那 么 ， 这 部 分 字 符 串 将 会 在 解 析 时 嵌 入 到 H T M L 中 ， 然 后 立 即 解 析 ， 同 时 ， j a v a s c r i p t 代 码 会 找 到 ( a l * r t ( … ) ) 并 且 在 同 一 个 页 面 执 行 它 ， 这 就 产 生 了 x s s 的 条 件 。 注 意 注 意 : 1 .   恶 意 程 序 脚 本 在 任 何 时 候 不 会 嵌 入 到 处 于 自 然 状 态 下 的 H T M L 页 面 （ 这 和 其 他 种 类 的 x s s 不 太 一 样 ） 。 2 . 这 个 攻 击 只 有 在 浏 览 器 没 有 修 改 U R L 字 符 时 起 作 用 。 当 u r l 不 是 直 接 在 地 址 栏 输 入 ， M o z i l l a . 会 自 动 转 换 在 d o c u m e n t . U R L 中 字 符 < 和 > （ 转 化 为 % 3 C   和   % 3 E ） ， 因 此 在 就 不 会 受 到 上 面 示 例 那 样 的 攻 击 了 ， 在 I E 6 下 没 有 转 换 < 和 > ， 因 此 他 很 容 易 受 到 攻 击 。 当 然 ， 直 接 嵌 入 到 H T M L 只 是 攻 击 的 一 个 挂 载 点 ， 有 很 多 脚 本 不 需 要 依 赖 < 和 > 漏 洞 ， 因 此 M o z i l l a 通 常 也 是 无 法 阻 止 这 些 攻
击 的 。 绕 过 标 准 检 测 和 防 护 的 技 术 绕 过 标 准 检 测 和 防 护 的 技 术 : 在 上 面 的 例 子 中 ， 可 能 仍 然 存 在 争 论 ， 恶 意 脚 本 没 有 到 达 服 务 器 （ 在 H T T P 请 求 的 查 询 部 分 ） ， 也 就 能 像 其 他 x s s 攻 击 一 样 阻 止 它 了 。 但 是 我 们 还 是 能 “ 照 顾 ” 好 它 免 受 打 击 的 ， 看 下 面 的 攻 击 :   h t t p : / / w w w . v * * * e r a b l e . s i t e / w e l c o m e . h t m l # n a m e = < s c r * p t > a l * r t ( d o c u m e n t . c o o k i e ) < s c * i p t >   注 意 文 件 名 后 面 的 数 字 符 号 （ # ） ， 它 告 诉 浏 览 器 所 有 它 后 面 的 东 西 都 是 个 片 段 ， 也 就 是 不 作 为 查 询 的 一 部 分 。 I E （ 6 . 0 ） 和 M o z i l l a 不 会 把 这 个 片 段 发 送 到 服 务 器 ， 因 此 服 务 端 将 看 到 同 样 的 h t t p : / / w w w . v u l n * * * b l e . s i t e / w e l c o m e . h t m l ， 这 样 这 个 恶 意 脚 本 就 不 会 被 服 务 端 看 到 。 我 们 了 解 到 这 个 逃 避 技 术 主 要 是 利 用 浏 览 器 不 向 服 务 器 发 送 恶 意 脚 本 。 实 战 ： 实 战 ： 今 天 发 现 了 一 个 娱 乐 城 出 现 了 D o m   x s s   感 觉 很 久 没 有 发 现 过 了 ， 所 以 拿 出 来 讲 讲 ， 然 后 加 上 在 其 它 的 论 坛 收 集 了 文 章 写 在 一 起 ， 那 么 开 始 吧 ！   一 般 测 试 x s s 都 在 表 单 或 者 U R L   控 制 台 等 ， 因 为 X S S 的 类 型 也 有 很 多 种 。   火 狐 的 一 个 安 全 插 件 拦 截 了 ， 我 们 跳 过 ！
本 来 想 写 多 写 点 内 容 ， 然 后 有 朋 友 今 天 回 来 赶 着 出 去 ， 所 以 我 就 直 接 上 图 了 ， 然 后 我 们 看 一 下 参 数 什 么 的 ！
总 结 ： 总 结 ： 用 一 句 话 来 总 结 所 有 D O M   X S S 的 场 景 ， 就 是 ： 不 可 控 的 危 险 数 据 ， 未 经 过 滤 被 传 入 存 在 缺 陷 的 J a v a S c r i p t 代 码 处 理 ， 最 终 触 发 D O M   X S S 漏 洞 。 而 在 制 定 防 护 D O M   X S S 漏 洞 方 案 时 ， 应 首 先 树 立 起 “ 安 全 的 开 发 意 识 和 规 范 ” ， 从 存 在 缺 陷 的 代 码 入 手 ， 从 源 头 解 决 D O M   X S S ， 最 后 辅 之 以 W e b 前 端 应 用 相 关 防 护 措 施 。   在 防 御 和 消 灭 D O M   X S S 漏 洞 的 斗 争 一 线 ， 希 望 W e b 前 端 工 程 师 们 树 立 起 安 全 的 开 发 意 识 ， 与 广 大 运 维 安 全 人 员 携 手 ， 将 D O M   X S S 漏 洞 消 灭 在 萌 芽 之 中 。 驱 散 前 端 安 全 梦 魇 ， 保 护 用 户 安 全 。 参 考 ：
C h r o m e 和 I E 的 x s s 过 滤 器 分 析 总 结 散 前 端 安 全 梦 魇 — — D O M X S S 典 型 场 景 分 析 与 修 复 指 南 基 于   D O M   的 第 三 类 跨 站 脚 本   X S S D O M   B a s e d   X S S
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理