搜索

[900] 2019-04-01_PHP代码审计笔记--XSS跨站脚本

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-16
2019-04-01_PHP代码审计笔记--XSS跨站脚本 P H P 代 码 审 计 笔 记 - - X S S 跨 站 脚 本 原 创   B y p a s s   B y p a s s   2 0 1 9 - 0 4 - 0 1 0 x 0 1   最 简 单 的 最 简 单 的 X S S 输 入 即 输 出 ， 漏 洞 代 码 示 例 ：   测 试 语 句 ： 安 全 建 议 ： 将 输 出 到 页 面 的 参 数 转 义 为 h t m l 实 体 编 码 。 0 x 0 2   编 码 解 码 编 码 解 码 编 码 解 码 输 出 时 ， 可 能 导 致 X S S 编 码 绕 过 的 情 况 。 漏 洞 代 码 示 例 ： 测 试 语 句 ： 这 边 代 码 逻 辑 中 ， 问 题 根 源 在 于 最 后 一 句 的 u r l 解 码 输 出 ， 导 致 存 在 三 重 u r l 编 码 绕 过 的 情 况 。 根 据 实 际 情 况 ， 给 出 安 全 建 议 ： H T M L   E N C O D E 处 理 后 直 接 输 出 变 量 ， 无 需 再 次 u r l 解 码 。 0 x 0 3   H T M L 不 规 范 不 规 范 H T M L 代 码 编 写 不 规 范 ， 可 能 导 致 的 问 题 ， 我 们 来 看 一 个 案 例 ： 漏 洞 代 码 示 例 ： 获 取 参 数 ， 在 一 个 i n p u t 元 素 的 属 性 里 输 出 这 个 变 量 ， 我 们 注 意 到 这 里 使 用 的 是 单 引 号 闭 合 ， 而 函 数 默 认 只 是 转 化 双 引 号 ( " ) ,   不 对 单 引 号 ( ' ) 做 转 义 。 因 此 ， 可 以 用 单 引 号 闭 合 ， 测 试 语 句 ： 针 对 这 种 情 况 的 修 复 安 全 建 议 ： 将 H T M L 标 签 的 属 性 值 用 双 引 号 引 起 来 。 0 x 0 4     黑 名 单 过 滤 黑 名 单 过 滤 通 过 在 全 局 引 入 过 滤 函 数 ， 提 供 黑 名 单 过 滤 ， 漏 洞 代 码 示 例 ：   从 h t m l 编 写 不 规 范 ， 我 们 可 以 使 用 单 引 号 闭 合 ， 然 后 去 进 一 步 构 造 触 发 事 件 ， 可 是 常 见 的 X S S 事 件 大 多 都 被 过 滤 了 ， 怎 么 快 速 地 去 找 到 可 以 拿 来 利 用 的 X S S 触 发 事 件 呢 ?     答 ： X S S   F U Z Z 。 前 提 是 要 收 集 积 累 一 些 触 发 事 件 ， 利 用 自 己 编 写 p y t h o n 脚 本 进 行 f u z z ： < ? p h p         e c h o   $ _ R E Q U E S T [   ' i d '   ] ; ? > ? i d = < s c r i p t > a l e r t ( / x s s / ) < / s c r i p t > < ? p h p $ a = u r l d e c o d e ( $ _ G E T [ ' i d ' ] ) ;   / / 接 收 参 数 并 进 行 u r l 解 码 $ b = h t m l s p e c i a l c h a r s ( $ a ) ;       / / H T M L   E N C O D E 处 理 , 到 这 里 都 是 没 有 问 题 的 e c h o   u r l d e c o d e ( $ b ) ;                 / / 最 后 ， u r l 解 码 输 出 ? > i d = % 2 5 2 5 3 C s c r i p t % 2 5 2 5 3 E a l e r t ( / x s s / ) % 2 5 2 5 3 C / s c r i p t % 2 5 2 5 3 E   < ? p h p         $ n a m e   =   h t m l s p e c i a l c h a r s ( $ _ G E T [ ' n a m e ' ] ) ; ? > < i n p u t   t y p e = ' t e x t '   c l a s s = ' s e a r c h '   v a l u e = ' < ? = $ n a m e ? > ' > ? n a m e = 2 2 2 '   o n c l i c k = ' a l e r t ( / x x s / ) < ? p h p         $ n a m e   =   h t m l s p e c i a l c h a r s ( $ _ G E T [ ' n a m e ' ] ) ;         $ p r e g s   =   " / < s c r i p t > | < / s c r i p t > | o n c l i c k | o n c o n t e x t m e n u | o n d b l c l i c k | o n m o u s e d o w n | o n m o u s e e n t e r | o n m o u s e l e a v e | o n m o u s e m o v e | o n m o u s e o v e r | o n m o u s e o u t | o n m o u s e u p | o n k e y d o w n | o n k e y p r e s s | o n k e y u p / i "         $ c h e c k   =   p r e g _ m a t c h ( $ p r e g s ,   $ n a m e ) ;         i f   ( $ c h e c k )   {                       e c h o   ' n o t   f o u n d ' ;                       e x i t ;         } ? > < i n p u t   t y p e = ' t e x t '   c l a s s = ' s e a r c h '   v a l u e = ' < ? = $ n a m e ? > ' >
虽 然 f u z z 出 来 很 多 事 件 ， 但 要 结 合 具 体 输 出 位 置 去 分 析 ， 找 到 合 适 的 事 件 ， 最 终 得 出 P a y l o a d 。 测 试 语 句 ： ? n a m e = 1 1 1 '   o n f o c u s = ' a l e r t ( / x s s / )
0 x 0 5     漏 洞 防 护 漏 洞 防 护 针 对 具 体 的 漏 洞 情 况 去 分 析 漏 洞 原 因 ， 给 出 修 复 建 议 ， 详 见 如 上 。 常 见 的 x s s 修 复 方 法 如 下 ： 1 、 P H P 提 供 了 两 个 函 数 h t m l e n t i t i e s ( ) 和 h t m l s p e c i a l c h a r s ( )   ， 把 一 些 预 定 义 的 字 符 转 换 为   H T M L   实 体 。 防 御 代 码 示 例 : 2 、 其 它 的 通 用 的 补 充 性 防 御 手 段 最 后 ， 附 X S S   F U Z Z   脚 本 ： < ? p h p                 e c h o   h t m l s p e c i a l c h a r s ( $ _ R E Q U E S T [   ' i d '   ] ) ; ? > 1 . 在 输 出 h t m l 时 ， 加 上 C o n t e n t   S e c u r i t y   P o l i c y 的 H t t p   H e a d e r （ 作 用 ： 可 以 防 止 页 面 被 X S S 攻 击 时 ， 嵌 入 第 三 方 的 脚 本 文 件 等 ） （ 缺 陷 ： I E 或 低 版 本 的 浏 览 器 可 能 不 支 持 ） 2 . 在 设 置 C o o k i e 时 ， 加 上 H t t p O n l y 参 数 （ 作 用 ： 可 以 防 止 页 面 被 X S S 攻 击 时 ， C o o k i e 信 息 被 盗 取 ， 可 兼 容 至 I E 6 ） （ 缺 陷 ： 网 站 本 身 的 J S 代 码 也 无 法 操 作 C o o k i e ， 而 且 作 用 有 限 ， 只 能 保 证 C o o k i e 的 安 全 ） 3 . 在 开 发 A P I 时 ， 检 验 请 求 的 R e f e r e r 参 数 （ 作 用 ： 可 以 在 一 定 程 度 上 防 止 C S R F 攻 击 ） （ 缺 陷 ： I E 或 低 版 本 的 浏 览 器 中 ， R e f e r e r 参 数 可 以 被 伪 造 ） # !   / u s r / b i n / e n v   p y t h o n #   _ * _     c o d i n g : u t f - 8   _ * _ i m p o r t   r e q u e s t s i m p o r t   u r l p a r s e i m p o r t   u r l l i b #   使 用 说 明 ， 修 改 字 典 即 可 使 用 ， 支 持 G E T 、 P O S T 等 简 单 X S S 验 证 #   u r l   支 持   *   号     如     h t t p : / / 1 2 7 . 0 . 0 . 1 / t e s t . p h p ? i d = 1 * 3 3 3 3       p a y l o a d 会 替 换 * 号 内 容 g l o b a l   r e s u l t _ d i c t r e s u l t _ d i c t = { } d e f   g e t ( u r l , p a r a , p a y l o a d ) :     p a r a m s = { }     r e s u l t = u r l p a r s e . u r l p a r s e ( u r l )     p a r a m s = u r l p a r s e . p a r s e _ q s ( r e s u l t . q u e r y , T r u e )       i f   ' * '   i n   p a r a m s [ p a r a ] [ 0 ] :         p a r a m s [ p a r a ] = s t r ( p a r a m s [ p a r a ] [ 0 ] ) . r e p l a c e ( " * " ,   p a y l o a d ) ;     e l s e :         p a r a m s [ p a r a ] = s t r ( p a r a m s [ p a r a ] [ 0 ] ) + p a y l o a d     m _ u r l = r e s u l t . s c h e m e + " : / / " + r e s u l t . n e t l o c + r e s u l t . p a t h     d a t a   =   u r l l i b . u r l e n c o d e ( p a r a m s )     g e t u r l   =   m _ u r l + ' ? ' + d a t a     r e s p o n s e   =   r e q u e s t s . g e t ( g e t u r l )     r e s u l t _ d i c t [ p a y l o a d ] = [ r e s p o n s e . c o n t e n t , l e n ( r e s p o n s e . c o n t e n t ) , r e s p o n s e . s t a t u s _ c o d e ]     r e t u r n   r e s u l t _ d i c t d e f   m a k e _ g e t _ r e s u l e ( u r l , p a r a ) :     w i t h   o p e n ( ' o n . t x t ' )   a s   f :             f o r   p a y l o a d   i n   f . x r e a d l i n e s ( ) :             p a y l o a d   = p a y l o a d . s t r i p ( )             i f   ' # '   i n   p a y l o a d   o r   l e n ( p a y l o a d ) = = 0 :                 p a s s             e l s e :                 g e t ( u r l , p a r a , p a y l o a d )                 r e s u l t _ a n a l y s i s ( p a y l o a d )      
d e f   p o s t ( u r l , d a t a , p a r a , p a y l o a d ) :     p a r a m s = { }     p a r a m s = u r l p a r s e . p a r s e _ q s ( d a t a , T r u e )       i f   ' * '   i n   p a r a m s [ p a r a ] [ 0 ] :         p a r a m s [ p a r a ] = s t r ( p a r a m s [ p a r a ] [ 0 ] ) . r e p l a c e ( " * " ,   p a y l o a d ) ;     e l s e :         p a r a m s [ p a r a ] = s t r ( p a r a m s [ p a r a ] [ 0 ] ) + p a y l o a d     r e s p o n s e   =   r e q u e s t s . p o s t ( u r l , d a t a = p a r a m s , t i m e o u t = 5 )     r e s u l t _ d i c t [ p a y l o a d ] = [ r e s p o n s e . c o n t e n t , l e n ( r e s p o n s e . c o n t e n t ) , r e s p o n s e . s t a t u s _ c o d e ]     r e t u r n   r e s u l t _ d i c t d e f   m a k e _ p o s t _ r e s u l e ( u r l , d a t a , p a r a ) :     w i t h   o p e n ( ' o n . t x t ' )   a s   f :             f o r   p a y l o a d   i n   f . x r e a d l i n e s ( ) :             p a y l o a d   = p a y l o a d . s t r i p ( )             i f   ' # '   i n   p a y l o a d   o r   l e n ( p a y l o a d ) = = 0 :                 p a s s             e l s e :                 p o s t ( u r l , d a t a , p a r a , p a y l o a d )                 r e s u l t _ a n a l y s i s ( p a y l o a d ) d e f   r e s u l t _ a n a l y s i s ( p a y l o a d ) :     i f     p a y l o a d   i n   r e s u l t _ d i c t [ p a y l o a d ] [ 0 ] :         p r i n t   " [ + ] "   +   p a y l o a d   + "     o k "     i f     r e s u l t _ d i c t [ p a y l o a d ] [ 0 ] . c o u n t ( p a y l o a d ) > 1 :         p r i n t   " [ + ] "   +   p a y l o a d   + "     r e p e a t " i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :     r e s u l t _ d i c t = { }     m e t h o d s e l e c t   =   r a w _ i n p u t ( " [ ? ]   S e l e c t   m e t h o d :   [ G ] E T   o r   [ P ] O S T   ( G / P ) :   " ) . l o w e r ( )     i f   m e t h o d s e l e c t   = =   ' g ' :         u r l   =   r a w _ i n p u t ( " P l e a s e   i n p u t   u r l : " )         p a r a   =   r a w _ i n p u t ( " P l e a s e   i n p u t   p a r a : " )         i f   ' h t t p s : / / '   i n   u r l :             p a s s         e l i f   ' h t t p : / / '   i n   u r l :             p a s s         e l s e :             u r l   =   " h t t p : / / " + u r l                 m a k e _ g e t _ r e s u l e ( u r l , p a r a )     e l i f   m e t h o d s e l e c t   = =   ' p ' :         u r l   =   r a w _ i n p u t ( " P l e a s e   i n p u t   u r l : " )         d a t a   =   r a w _ i n p u t ( " P l e a s e   i n p u t   d a t a : " )         p a r a   =   r a w _ i n p u t ( " P l e a s e   i n p u t   p a r a : " )         i f   ' h t t p s : / / '   i n   u r l :             p a s s         e l i f   ' h t t p : / / '   i n   u r l :             p a s s         e l s e :             u r l   =   " h t t p : / / " + u r l         m a k e _ p o s t _ r e s u l e ( u r l , d a t a , p a r a )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理