搜索

[15336] 2020-05-05_通过代码重用攻击绕过现代XSS防御

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-05-05_通过代码重用攻击绕过现代XSS防御 通 过 代 码 重 用 攻 击 绕 过 现 代 X S S 防 御 周 大 涛   F r e e B u f   2 0 2 0 - 0 5 - 0 5 X S S 已 有 近 二 十 年 的 历 史 了 ， 但 它 仍 然 是 已 有 近 二 十 年 的 历 史 了 ， 但 它 仍 然 是 W e b 上 最 常 见 的 漏 洞 之 一 。 因 此 ， 已 经 发 展 了 许 多 机 制 来 减 轻 漏 洞 的 影 响 。 我 经 常 会 误 以 为 这 些 机 制 可 以 作 为 针 对 上 最 常 见 的 漏 洞 之 一 。 因 此 ， 已 经 发 展 了 许 多 机 制 来 减 轻 漏 洞 的 影 响 。 我 经 常 会 误 以 为 这 些 机 制 可 以 作 为 针 对 X S S 的 保 护 。 今 天 ， 我 们 将 的 保 护 。 今 天 ， 我 们 将 了 解 为 什 么 情 况 并 非 如 此 。 我 们 将 在 代 码 重 用 攻 击 领 域 探 索 一 种 相 对 较 新 的 技 术 。 了 解 为 什 么 情 况 并 非 如 此 。 我 们 将 在 代 码 重 用 攻 击 领 域 探 索 一 种 相 对 较 新 的 技 术 。 W e b 的 代 码 重 用 攻 击 于 的 代 码 重 用 攻 击 于 2 0 1 7 年 首 次 描 述 ， 可 用 于 绕 过 大 多 数 现 代 浏 览 器 保 护 ， 包 括 ： 年 首 次 描 述 ， 可 用 于 绕 过 大 多 数 现 代 浏 览 器 保 护 ， 包 括 ： H T M L s a n i t i z e r s ， ， W A F 和 和 C S P 。 。 介 绍 介 绍 让 我 们 使 用 示 例 进 行 演 示 ： 该 程 序 具 有 基 于 D O M 的 X S S 漏 洞 。 M a i n . j s 获 取 G E T 参 数 的 值 ， 并 将 其 作 为 原 始 H T M L 插 入 到 D O M 中 。 这 是 一 个 问 题 ， 因 为 用 户 可 以 控 制 参 数 的 值 。 因 此 ， 用 户 可 以 随 意 操 作 D O M 。 下 面 的 请 求 是 一 个 p o c ， 证 明 我 们 可 以 注 入 任 意 J a v a S c r i p t 。 i m a g e 元 素 将 插 入 到 D O M 中 ， 并 且 在 加 载 期 间 会 出 错 ， 从 而 触 发 o n e r r o r 事 件 处 理 程 序 。 这 会 弹 出 一 个 警 告 消 息 ， 提 示 “   X S S ” ， 证 明 我 们 可 以 使 该 应 用 运 行 任 意 J a v a S c r i p t 。 现 在 ， 通 过 删 除 i n d e x . p h p 中 第 5 行 的 注 释 来 启 用 内 容 安 全 策 略 。 然 后 重 新 加 载 页 面 ， 您 将 看 到 攻 击 失 败 。 如 果 在 浏 览 器 中 打 开 开 发 者 控 制 台 ， 则 会 看 到 一 条 说 明 原 因 的 消 息 。 凉 ！ 所 以 发 生 了 什 么 事 ？ I M G   h t m l 元 素 已 创 建 ， 浏 览 器 看 到 了 o n e r r o r 事 件 属 性 ， 但 由 于 C S P 而 拒 绝 执 行 J a v a S c r i p t 。 用 一 个 不 切 实 际 的 简 单 小 工 具 绕 过 用 一 个 不 切 实 际 的 简 单 小 工 具 绕 过 C S P 在 我 们 的 示 例 中 ， C S P 限 制 – 允 许 来 自 同 一 主 机 的 J a v a S c r i p t – 阻 止 危 险 的 功 能 ， 例 如 e v a l （ 不 安 全 的 e v a l ） – 阻 止 了 所 有 其 他 脚 本 – 阻 止 了 所 有 对 象 （ 例 如 f l a s h ） 但 是 ， 如 果 我 们 能 以 某 种 方 式 触 发 C S P 白 名 单 中 已 经 存 在 的 J a v a S c r i p t 代 码 怎 么 办 ？ 如 果 是 这 样 ， 我 们 也 许 可 以 执 行 任 意 J a v a S c r i p t 而 不 会 违 反 该 政 策 。 让 我 们 看 一 个 小 工 具 的 简 单 示 例 ， 以 了 解 基 本 概 念 。 假 设 m a i n . j s 文 件 看 起 来 像 这 样 ： 代 码 基 本 相 同 ， 但 是 这 次 我 们 的 目 标 也 有 某 种 数 学 计 算 器 。 请 注 意 ， 仅 m a i n . j s 被 更 改 ， i n d e x . p h p 与 以 前 相 同 。 您 可 以 将 数 学 函 数 视 为 一 些 未 真 正 使 用 的 旧 代 码 。 作 为 攻 击 者 ， 我 们 可 以 滥 用 数 学 计 算 器 代 码 来 评 估 并 执 行 J a v a S c r i p t ， 而 不 会 违 反 C S P 。 我 们 不 需 要 注 入 J a v a S c r i p t 。 我 们 只 需 要 注 入 一 个 I D 为 “   e x p r e s s i o n ” 和 一 个 名 为 “   d a t a ” 的 属 性 的 H T M L 元 素 。 内 部 数 据 将 传 递 给 e v a l 。 我 们 试 一 试 ， 是 的 ！ 我 们 绕 过 了 C S P ！ 转 向 现 实 的 脚 本 小 工 具 转 向 现 实 的 脚 本 小 工 具 如 今 的 网 站 包 含 许 多 第 三 方 资 源 ， 而 且 情 况 越 来 越 糟 。 这 些 都 是 合 法 的 列 入 白 名 单 的 资 源 ， 即 使 强 制 执 行 了 C S P 。 数 百 万 行 的 J a v a S c r i p t 中 也 许 有 有 趣 的 小 工 具 ？ 嗯 ， 是 ！ L e k i e s 等 。 （ 2 0 1 7 ） 分 析 了 1 6 个 广 泛 使 用 的 J a v a S c r i p t 库 ， 发 现 几 乎 所 有 库 中 都 有 多 个 小 工 具 。 小 工 具 有 几 种 类 型 ， 它 们 可 以 直 接 有 用 ， 或 者 需 要 与 其 他 小 工 具 链 接 才 能 有 用 。 字 符 串 操 作 小 工 具 ： 用 于 绕 过 基 于 模 式 的 缓 解 措 施 很 有 用 。 元 素 构 造 小 工 具 ： 有 助 于 绕 过 X S S 缓 解 措 施 ， 例 如 创 建 脚 本 元 素 。 函 数 创 建 小 工 具 ： 可 以 创 建 新 的 函 数 对 象 ， 以 后 可 以 由 第 二 个 小 工 具 执 行 。 J a v a S c r i p t 执 行 接 收 器 小 工 具 ： 类 似 于 我 们 刚 才 看 到 的 示 例 ， 可 以 独 立 运 行 ， 也 可 以 作 为 链 中 的 最 后 一 步 让 我 们 看 另 一 个 例 子 。 我 们 将 使 用 相 同 的 应 用 程 序 ， 但 现 在 让 我 们 包 括 j Q u e r y   m o b i l e 。 C S P 进 行 了 少 许 更 改 ， 以 允 许 来 自 c o d e . j q u e r y . c o m 的 任 何 内 容 ， 幸 运 的 是 ， j Q u e r y   M o b i l e 有 一 个 已 知 的 脚 本 小 工 具 可 供 我 们 使 用 。 该 小 工 具 还 可 以 严 格 动 态 地 绕 过 C S P 。 < ? p h p   / *   F i l e :   i n d e x . p h p   * / / /   C S P   d i s a b l e d   f o r   n o w ,   w i l l   e n a b l e   l a t e r / /   h e a d e r ( " C o n t e n t - S e c u r i t y - P o l i c y :   s c r i p t - s r c   ' s e l f '   ' u n s a f e - e v a l ' ;   o b j e c t - s r c   ' n o n e ' ; " ) ; ? > < ! D O C T Y P E   h t m l > / * *   F I L E :   m a i n . j s   * * / v a r   r e f = d o c u m e n t . l o c a t i o n . h r e f . s p l i t ( " ? i n j e c t m e = " ) [ 1 ] ; d o c u m e n t . g e t E l e m e n t B y I d ( " a p p " ) . i n n e r H T M L   =   d e c o d e U R I C o m p o n e n t ( r e f ) ; i n j e c t m e h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 0 0 / ? i n j e c t m e = < i m g   s r c = " n / a "   o n e r r o r = " a l e r t ( ' X S S ' ) " / > / * *   F I L E :   m a i n . j s   * * / v a r   r e f   =   d o c u m e n t . l o c a t i o n . h r e f . s p l i t ( " ? i n j e c t m e = " ) [ 1 ] ; d o c u m e n t . g e t E l e m e n t B y I d ( " a p p " ) . i n n e r H T M L   =   d e c o d e U R I C o m p o n e n t ( r e f ) ; d o c u m e n t . a d d E v e n t L i s t e n e r ( " D O M C o n t e n t L o a d e d " < ? p h p   / * *   F I L E :   i n d e x . p h p   * * / h e a d e r ( " C o n t e n t - S e c u r i t y - P o l i c y :   s c r i p t - s r c   ' s e l f '   h t t p s : / / c o d e . j q u e r y . c o m : 4 4 3   ' u n s a f e - e v a l ' ;   o b j e c t - s r c   ' n o n e ' ; " ) ; ? > < ! D O C T Y P E   h t m l > < h t m l   l a n g = " e n " / * *   F I L E :   m a i n . j s   * * / v a r   r e f   =   d o c u m e n t . l o c a t i o n . h r e f . s p l i t ( " ? i n j e c t m e = " ) [ 1 ] ; d o c u m e n t . g e t E l e m e n t B y I d ( " a p p " ) . i n n e r H T M L   =   d e c o d e U R I C o m p o n e n t ( r e f ) ;
让 我 们 首 先 考 虑 以 下 h t m l 此 H T M L 将 触 发 j Q u e r y   M o b i l e 的 P o p u p   W i d g e t 中 的 代 码 。 可 能 不 明 显 的 是 ， 当 您 创 建 弹 出 窗 口 时 ， 库 会 将 i d 属 性 写 入 H T M L 注 释 中 。 j Q u e r y 中 负 责 此 工 作 的 代 码 如 下 所 示 ： 这 是 一 个 代 码 小 工 具 ， 我 们 可 以 滥 用 它 来 运 行 J a v a S c r i p t 。 我 们 只 需 要 绕 过 注 释 ， 然 后 我 们 就 可 以 做 我 们 想 做 的 任 何 事 情 。 我 们 最 终 的 p a y l o a d 将 如 下 所 示 ： 执 行 ， 弹 框 ！ 最 后 的 话 最 后 的 话 这 是 对 W e b 上 的 代 码 重 用 攻 击 的 介 绍 ， 我 们 已 经 看 到 了 j Q u e r y   M o b i l e 中 的 真 实 脚 本 小 工 具 的 示 例 。 我 们 只 看 到 过 C S P 绕 过 ， 但 可 以 说 ， 该 技 术 也 可 以 绕 过 H T M L 清 理 器 ， W A F 和 X S S 过 滤 器 （ 例 如 N o S c r i p t ） 。 如 果 您 对 更 深 的 潜 水 感 兴 趣 ， 建 议 阅 读 L e k i e s 等 人 的 论 文 。 真 实 情 况 是 国 内 s r c 一 般 忽 视 反 射 x s s ! * 参 考 来 源 参 考 来 源 : t r u e s e c ， ， F B 小 编 周 大 涛 编 译 ， 转 载 请 注 明 来 自 小 编 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 < d i v   d a t a - r o l e = p o p u p   i d = ' h e l l o   w o r l d ' > < / d i v > < d i v   d a t a - r o l e = p o p u p   i d = ' - - ! > < s c r i p t > a l e r t ( " X S S " ) < / s c r i p t > ' > < / d i v >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理