搜索

[19400] 2018-08-23_快速找出网站中可能存在的XSS漏洞实践(一)

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2018-08-23_快速找出网站中可能存在的XSS漏洞实践(一) 快 速 找 出 网 站 中 可 能 存 在 的 X S S 漏 洞 实 践 ( 一 ) i 春 秋   2 0 1 8 - 0 8 - 2 3 作 者 ： 汤 青 松 i 春 秋 社 区 背 景 背 景 笔 者 最 近 在 慕 课 录 制 了 一 套 X S S 跨 站 漏 洞   加 强 W e b 安 全 视 频 教 程 ， 课 程 当 中 有 讲 到 X S S 的 挖 掘 方 式 ， 所 以 在 录 制 课 程 之 前 需 要 做 大 量 实 践 案 例 ， 最 近 视 频 已 经 录 制 完 成 ， 准 备 将 这 些 X S S 漏 洞 的 挖 掘 过 程 记 录 下 来 ， 方 便 自 己 也 方 便 他 人 。 在 本 篇 文 章 当 中 会 一 p e r m e a t e 生 态 测 试 系 统 为 例 ， 笔 者 此 前 写 过 一 篇 文 章 当 中 笔 者 已 经 讲 解 如 何 安 装 p e r m e a t e 渗 透 测 试 系 统 ， 因 此 这 里 不 再 重 复 讲 解 如 何 安 装 此 渗 透 测 试 系 统 ， 参 考 文 档 : 利 用 P H P 扩 展 T a i n t 找 出 网 站 的 潜 在 安 全 漏 洞 实 践 。 内 容 概 要 内 容 概 要 1 . X S S 漏 洞 原 理 2 . 反 射 型 挖 掘 3 . 存 储 型 挖 掘 漏 洞 简 介 漏 洞 简 介 在 实 践 漏 洞 之 前 ， 笔 者 准 备 先 简 单 介 绍 一 下 X S S 漏 洞 ， 不 过 X S S 的 相 关 概 念 介 绍 并 不 是 本 文 的 重 点 ， 因 此 不 会 过 多 细 讲 ； X S S 的 漏 洞 类 型 主 要 分 为 三 类 ： 反 射 型 、 存 储 型 、 D O M 型 。 漏 洞 成 因 漏 洞 成 因 X S S 的 漏 洞 主 要 成 因 是 后 端 接 收 参 数 时 未 经 过 滤 ， 导 致 参 数 改 变 了 H T M L 的 结 构 ， 如 下 图 所 示 ： 在 图 中 可 以 看 到 攻 击 者 的 参 数 被 原 样 放 到 了 H T M L 代 码 当 中 ， 导 致 原 本 的 结 构 被 改 变 ， 当 这 份 代 码 被 浏 览 器 执 行 之 后 ， 将 执 行 a l e r t 事 件 。 反 射 型 反 射 型 反 射 型 X S S 在 笔 者 闹 钟 的 定 义 是 ， 如 果 U R L 地 址 当 中 的 恶 意 参 数 会 直 接 被 输 出 到 页 面 中 ， 导 致 攻 击 代 码 被 触 发 ， 便 称 之 为 反 射 型 X S S ， 如 下 图 所 示 ： 在 图 中 可 以 看 到 ， 此 处 原 本 是 输 入 一 个 名 字 ， 单 实 际 传 递 了 一 个 s c r i p t 标 签 ， 此 标 签 也 被 原 样 放 到 了 H T M L 结 构 当 中 ， 结 果 s c r i p t 标 签 代 码 中 的 代 码 被 触 发 。
存 储 型 存 储 型 存 储 型 X S S ， 顾 名 思 义 便 是 恶 意 参 数 被 存 储 起 来 了 ， 通 常 存 储 在 后 端 服 务 器 当 中 ， 所 以 存 储 型 X S S 在 U R L 地 址 当 中 不 会 包 含 恶 意 参 数 ， 对 于 受 害 者 来 说 ， 很 难 发 现 已 经 被 攻 击 了 ， 如 下 图 存 储 型 X S S 被 触 发 。 在 图 中 笔 者 并 没 有 在 U R L 地 址 当 中 看 到 s c r i p t 代 码 ， 但 是 攻 击 代 码 依 然 被 触 发 ， 说 明 攻 击 代 码 来 自 于 服 务 器 ， 而 这 个 攻 击 代 码 确 实 是 由 攻 击 者 传 递 到 服 务 器 当 中 去 的 。 一 般 情 况 下 ， 当 攻 击 者 将 攻 击 代 码 通 过 表 单 传 递 到 服 务 器 当 中 去 ， 会 得 到 一 个 新 页 面 的 地 址 ， 这 个 地 址 中 U R L 并 没 有 明 显 异 常 ， 比 如 如 下 U R L 地 址 。 h t t p : / / p e r m e a t e . s o n g b o y . n e t / a r t i c l e / 1 但 当 存 在 存 储 型 X S S 时 ， 受 害 者 打 开 此 U R L ， 攻 击 代 码 将 会 被 触 发 ， 这 种 情 况 下 笔 者 便 称 之 为 存 储 型 X S S 漏 洞 。 D O M 型 型 D O M 型 X S S 较 为 特 殊 ， 笔 者 前 面 反 射 型 X S S 和 存 储 型 X S S 都 是 以 传 播 方 式 来 区 分 的 ， 而 D O M 型 X S S 和 传 参 方 式 无 关 ， 而 是 当 开 发 者 做 了 一 些 安 全 防 护 之 后 ， 任 出 现 安 全 问 题 的 一 种 现 象 ， 如 下 图 所 示 ： 在 图 片 中 ， 可 以 看 到 参 数 n a m e 已 经 使 用 函 数 转 义 了 ， 按 理 说 此 时 将 参 数 传 递 到 前 端 页 面 是 不 会 产 生 X S S 漏 洞 的 ； 但 当 J a v a S c r i p t 代 码 将 参 数 进 行 D O M 节 点 操 作 之 后 ， 原 本 被 转 义 的 代 码 又 会 被 还 原 ， 因 此 还 是 会 被 触 发 ， 如 下 图 所 示 : 在 图 中 看 到 X S S 代 码 已 经 被 触 发 ， 这 种 D O M 型 X S S 相 对 来 说 更 加 隐 蔽 ， 所 以 防 御 X S S 漏 洞 的 不 能 仅 仅 依 靠 后 端 开 发 者 ， 前 端 开 发 者 也 应 当 了 解 X S S 漏 洞 。 反 射 型 挖 掘 反 射 型 挖 掘 简 单 解 读 ， 只 要 规 则 中 出 现 的 单 词 或 连 续 字 符 ， 那 么 在 访 问 链 接 U R L 中 就 不 能 存 在 这 些 关 键 词 ， 否 则 就 会 被 拦 截 。 经 过 上 一 节 的 原 理 介 绍 ， 笔 者 相 信 大 家 对 X S S 已 经 有 一 些 了 解 ， 现 在 笔 者 需 要 进 行 手 工 X S S 漏 洞 挖 掘 ， 在 手 工 挖 掘 之 前 笔 者 需 要 先 逛 逛 网 站 有 哪 些 功 能 点 ， 如 下 图 是 p e r m e a t e 的 界 面 :
思 路 分 析 思 路 分 析 在 知 道 反 射 型 X S S ， 是 通 过 U R L 地 址 传 播 的 ， 那 么 笔 者 就 需 要 思 考 那 些 地 方 会 让 U R L 地 址 的 参 数 在 页 面 中 显 示 ； 相 信 读 者 都 用 过 一 些 网 站 的 站 内 搜 索 ， 在 站 内 搜 索 的 位 置 往 往 会 将 搜 索 的 关 键 词 展 示 在 页 面 当 中 ， 如 下 图 所 示 : 而 在 首 页 笔 者 也 看 见 此 网 站 有 搜 索 功 能 ， 因 此 可 以 从 搜 索 位 置 着 手 ， 可 以 在 搜 索 位 置 输 入 一 个 简 单 的 p a y l o a d , 参 考 如 下 : < s c r i p t > a l e r t ( 1 2 3 ) < / s c r i p t > 当 点 击 搜 索 后 ， 会 自 动 跳 转 到 以 下 U R L 当 中 ， 此 时 浏 览 器 的 U R L 地 址 已 经 发 生 了 变 化 ， U R L 地 址 如 下 ： h t t p : / / p e r m e a t e . s o n g b o y . n e t / h o m e / s e a r c h . p h p ? k e y w o r d s = < s c r i p t > a l e r t ( 1 2 3 ) < / s c r i p t > 搜 索 的 表 单 是 使 用 了 G E T 传 参 ， 满 足 了 测 试 反 射 型 的 第 一 步 要 求 。 漏 洞 检 验 漏 洞 检 验 接 下 来 就 需 要 看 看 笔 者 的 p a y l o a d 有 没 有 被 触 发 , 结 果 很 意 外 ， 不 但 没 有 被 触 发 还 被 浏 览 器 所 阻 止 了 ， 如 下 图 ： 这 里 就 需 要 跟 读 者 说 明 一 下 ， 谷 歌 内 核 浏 览 器 自 带 X S S 筛 选 器 ， 所 以 对 于 反 射 型 X S S 测 试 ， 尽 量 不 使 用 谷 歌 浏 览 器 ， 笔 者 建 议 使 用 火 狐 浏 览 器 进 行 测 试 ； 结 果 分 析 结 果 分 析 现 在 笔 者 将 上 面 的 U R L 地 址 复 制 下 来 ， 并 粘 贴 到 火 狐 浏 览 器 当 中 ， 并 按 下 回 车 ， 看 到 效 果 如 下 图 ： 此 时 p a y l o a d 已 经 被 触 发 ， 说 明 找 到 了 一 个 反 射 型 X S S 的 漏 洞 ， 这 种 漏 洞 相 对 来 说 非 常 初 级 ， 随 着 浏 览 器 的 X S S 筛 选 器 变 得 更 加 智 能 ， 这 种 漏 洞 也 越 来 越 少 ， 在 下 面 的 内 容 当 中 笔 者 将 会 提 到 存 储 型 X S S 挖 掘 与 绕 过 。
存 储 型 挖 掘 存 储 型 挖 掘 现 在 笔 者 来 寻 找 存 储 型 X S S ， 存 储 型 的 攻 击 代 码 是 存 储 在 服 务 端 ， 因 此 需 要 找 出 一 些 会 将 表 单 内 容 存 储 到 服 务 端 的 位 置 ， 笔 者 在 之 前 已 经 对 p e r m e a t e 做 了 一 番 了 解 ， 因 此 知 道 p e r m e a t e 拥 有 发 帖 和 回 帖 功 能 ， 这 些 功 能 正 是 需 要 将 参 数 存 储 起 来 并 展 示 的 地 方 。 发 现 漏 洞 发 现 漏 洞 在 首 页 点 击 X S S 板 块 ， 进 入 到 了 板 块 列 表 当 中 ， 如 下 图 ： 在 右 下 角 能 看 到 有 一 个 发 帖 按 钮 ， 点 击 发 帖 按 钮 后 ， 即 可 进 入 发 帖 界 面 ， 如 下 图 ： 在 p e r m e a t e 渗 透 测 试 系 统 当 中 ， 笔 者 如 果 要 发 表 帖 子 ， 那 么 就 需 要 有 账 号 ， 笔 者 这 里 随 便 注 册 一 个 账 号 ， 注 册 过 程 笔 者 就 不 详 细 讲 解 了 。 检 验 漏 洞 检 验 漏 洞 在 注 册 账 号 完 成 并 登 陆 之 后 ， 笔 者 再 次 打 开 发 帖 页 面 ， 并 在 标 题 处 和 内 容 处 都 填 写 p a y l o a d , 参 考 内 容 如 下 ： < s c r i p t > a l e r t ( 1 2 3 ) < / s c r i p t > 在 标 题 处 和 帖 子 内 容 中 分 别 填 写 p a y l o a d ， 填 写 好 之 后 ， 应 和 与 下 图 一 致 。 填 写 好 内 容 之 后 ， 笔 者 点 击 下 方 的 发 表 按 钮 ， 即 可 进 行 发 帖 ， 发 帖 成 功 会 弹 出 一 个 提 示 成 功 ， 如 下 图 所 示 ：
点 击 之 后 ， 会 跳 转 到 发 帖 列 表 ， 并 弹 出 一 个 1 2 3 的 提 示 框 ， 如 下 图 所 示 ： 如 果 看 到 这 个 弹 框 ， 说 明 笔 者 的 p a y l o a d 已 经 被 执 行 ， 点 击 确 定 就 可 以 看 到 列 表 的 内 容 ， 如 下 图 所 示 ： 在 列 表 中 只 显 示 标 题 ， 所 以 帖 子 内 容 中 的 p a y l o a d 并 没 有 被 执 行 ； 抓 包 绕 过 抓 包 绕 过 现 在 点 击 标 题 ， 进 入 帖 子 详 情 页 面 ， 在 详 情 页 笔 者 发 现 p a y l o a d 也 只 触 发 了 一 次 ， 而 且 内 容 当 中 的 标 签 被 直 接 显 示 了 出 来 ， 如 下 图 ： 当 标 签 被 直 接 显 示 出 来 ， 这 说 明 笔 者 的 参 数 被 转 义 了 ； 转 义 分 为 两 种 ， 前 端 转 义 和 后 端 转 义 ， 如 果 是 后 端 转 义 通 常 笔 者 会 放 弃 测 试 ， 如 果 是 前 端 转 义 则 可 以 绕 过 这 个 限 制 ； 在 这 里 笔 者 发 现 标 题 没 有 被 转 义 ， 而 内 容 被 转 ， 猜 测 可 能 是 前 端 做 的 转 义 ， 因 此 可 以 通 过 浏 览 器 的 审 查 工 具 将 数 据 包 拷 贝 下 来 ； 首 先 重 新 打 开 发 帖 页 面 ， 然 后 在 网 页 随 便 一 个 位 置 单 击 鼠 标 右 键 - > 选 择 审 查 元 素 - > 切 换 到 n e t w o r k 标 签 并 勾 选 P r e s e r v e   l o g ， 打 开 网 络 并 勾 选 P r e s e r v e   l o g 的 目 的 是 让 发 表 帖 子 之 后 ， 能 在 网 络 请 求 中 找 到 该 记 录 ， 现 在 笔 者 可 以 填 写 新 的 p a y l o a d ， 如 下 图 ： 确 定
点 击 发 表 按 钮 之 后 ， 笔 者 可 以 在 控 制 台 中 找 到 刚 才 的 p o s t 请 求 ， 从 请 求 中 可 以 看 出 ， 这 个 数 据 发 出 去 就 已 经 被 转 义 了 ， 如 下 图 ： 编 码 替 换 编 码 替 换 当 确 定 这 个 地 方 存 在 前 端 做 了 转 义 处 理 ， 如 果 后 端 没 有 做 处 理 ， 笔 者 就 可 以 绕 过 它 ， 现 在 笔 者 将 请 求 复 制 出 来 ， 然 后 改 变 里 面 的 数 据 ， 如 下 图 ： 复 制 出 来 的 数 据 如 下 ： c u r l   ' h t t p : / / p e r m e a t e . s o n g b o y . n e t / h o m e / _ f a t i e . p h p ? b k = 6 & z t = 0 '   - H   ' C o n n e c t i o n :   k e e p - a l i v e '   - H   ' C a c h e - C o n t r o l :   m a x - a g e = 0 '   - H   ' O r i g i n :   h t t p : / / p e r m e a t e . s o n g b o y . n e t '   - H   ' U p g r a d e - I n s e c u r e - R e q u e s t s : 1 '   - H   ' C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d '   - H   ' U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 _ 1 3 _ 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 8 . 0 . 3 4 4 0 . 1 0 6 S a f a r i / 5 3 7 . 3 6 '   - H   ' A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 '   - H   ' R e f e r e r :   h t t p : / / p e r m e a t e . s o n g b o y . n e t / h o m e / f a t i e . p h p ? b k = 6 '   - H   ' A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e '   - H   ' A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 , e n ; q = 0 . 8 '   - H   ' C o o k i e :   _ _ c f d u i d = d e f c 9 7 0 e f 7 0 8 1 e 3 0 a e d d 7 6 1 d a 5 7 6 2 b 1 8 9 1 5 3 2 0 0 3 5 7 9 ;   U M _ d i s t i n c t i d = 1 6 5 5 a 6 1 a 2 3 3 4 3 c - 0 3 f 0 9 0 4 5 4 0 a 3 3 3 - 3 4 6 5 7 9 0 8 - 1 f a 4 0 0 - 1 6 5 5 a 6 1 a 2 3 4 3 2 3 ;   P H P S E S S I D = r u f h m 0 7 4 1 q f v 5 5 c p f n c 8 0 k 1 g 4 l '   - - d a t a ' c s r f _ t o k e n = 3 9 0 8 & b k = 6 & t i t l e = 2 2 2 % 3 C s c r i p t + % 3 E a l e r t % 2 8 1 2 3 % 2 9 % 3 C % 2 F s c r i p t % 3 E & c o n t e n t = % 3 C p % 3 E 2 2 2 % 2 6 l t % 3 B s c r i p t + % 2 6 g t % 3 B a l e r t % 2 8 1 2 3 % 2 9 % 2 6 l t % 3 B % 2 F s c r i p t % 2 6 g t % 3 B % 3 C % 2 F p % 3 E ' - - c o m p r e s s e d 笔 者 找 到 参 数 中 的 t i t l e 和 c o n t e n t 参 数 值 ， 将 t i t l e 的 参 数 值 复 制 下 来 ， 然 后 替 换 c o n t e n t 的 参 数 值 ， 替 换 后 的 内 容 如 下 ： c u r l   ' h t t p : / / p e r m e a t e . s o n g b o y . n e t / h o m e / _ f a t i e . p h p ? b k = 6 & z t = 0 '   - H   ' C o n n e c t i o n :   k e e p - a l i v e '   - H   ' C a c h e - C o n t r o l :   m a x - a g e = 0 '   - H   ' O r i g i n :   h t t p : / / p e r m e a t e . s o n g b o y . n e t '   - H   ' U p g r a d e - I n s e c u r e - R e q u e s t s : 1 '   - H   ' C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d '   - H   ' U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 _ 1 3 _ 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 8 . 0 . 3 4 4 0 . 1 0 6 S a f a r i / 5 3 7 . 3 6 '   - H   ' A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 '   - H   ' R e f e r e r :   h t t p : / / p e r m e a t e . s o n g b o y . n e t / h o m e / f a t i e . p h p ? b k = 6 '   - H   ' A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e '   - H   ' A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 , e n ; q = 0 . 8 '   - H   ' C o o k i e :   _ _ c f d u i d = d e f c 9 7 0 e f 7 0 8 1 e 3 0 a e d d 7 6 1 d a 5 7 6 2 b 1 8 9 1 5 3 2 0 0 3 5 7 9 ;   U M _ d i s t i n c t i d = 1 6 5 5 a 6 1 a 2 3 3 4 3 c - 0 3 f 0 9 0 4 5 4 0 a 3 3 3 - 3 4 6 5 7 9 0 8 - 1 f a 4 0 0 - 1 6 5 5 a 6 1 a 2 3 4 3 2 3 ;   P H P S E S S I D = r u f h m 0 7 4 1 q f v 5 5 c p f n c 8 0 k 1 g 4 l '   - - d a t a ' c s r f _ t o k e n = 3 9 0 8 & b k = 6 & t i t l e = 2 2 2 % 3 C s c r i p t + % 3 E a l e r t % 2 8 1 2 3 % 2 9 % 3 C % 2 F s c r i p t % 3 E & c o n t e n t = 2 2 2 % 3 C s c r i p t + % 3 E a l e r t % 2 8 1 2 3 % 2 9 % 3 C % 2 F s c r i p t % 3 E '   - - c o m p r e s s e d 替 换 完 成 之 后 ， 笔 者 将 此 内 容 复 制 到 终 端 当 中 （ 如 果 读 者 用 的 是 w i n d o w s 操 作 系 统 ， 可 以 下 载 一 个 c m d e r ） ， 然 后 按 下 回 车 键 ， 结 果 如 下 图 ： 结 果 分 析 结 果 分 析 在 返 回 结 果 当 中 可 以 看 到 提 示 发 帖 成 功 ， 此 时 就 笔 者 已 经 成 功 发 布 了 一 个 新 帖 子 ， 回 到 帖 子 列 表 当 中 看 到 有 三 条 帖 子 ， 在 最 后 面 的 帖 子 则 是 笔 者 新 发 布 的 ， 如 下 图 ：
打 开 详 情 页 ， 笔 者 被 弹 了 两 次 提 示 框 ， 说 明 标 题 和 内 容 当 中 的 p a y l o a d 都 被 触 发 , 并 且 在 控 制 台 当 中 也 可 以 看 到 s c r i p t 变 成 了 D O M 节 点 ， 而 不 是 文 本 展 现 出 来 ， 如 下 图 所 示 ： 看 到 此 处 说 明 笔 者 已 经 成 功 绕 过 前 端 X S S 过 滤 器 ， 晚 一 些 在 发 表 一 篇 工 具 盘 ， 和 防 御 篇 ， 大 家 有 兴 趣 也 可 以 支 持 一 下 笔 者 的 视 频 教 程 ， U R L 地 址 如 下 ： h t t p s : / / c o d i n g . i m o o c . c o m / c l a s s / 2 4 2 . h t m l 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理