搜索

[21990] 2021-05-20_干货快速找出网站中可能存在的XSS漏洞

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2021-05-20_干货快速找出网站中可能存在的XSS漏洞 干 货   |   快 速 找 出 网 站 中 可 能 存 在 的 X S S 漏 洞 白 帽 子 左 一   L e m o n S e c   2 0 2 1 - 0 5 - 2 0 一 、 背 景 一 、 背 景 在 本 篇 文 章 当 中 会 一 p e r m e a t e 生 态 测 试 系 统 为 例 ， 参 考 文 档 : 利 用 P H P 扩 展 T a i n t 找 出 网 站 的 潜 在 安 全 漏 洞 实 践 （ h t t p s : / / s e g m e n t f a u l t . c o m / a / 1 1 9 0 0 0 0 0 1 6 0 3 2 5 0 1 # a r t i c l e H e a d e r 1 1 ） 1 .   二 、 漏 洞 简 介 二 、 漏 洞 简 介 在 实 践 漏 洞 之 前 ， 先 简 单 介 绍 一 下 X S S 漏 洞 ， 不 过 X S S 的 相 关 概 念 介 绍 并 不 是 本 文 的 重 点 ， 因 此 不 会 过 多 细 讲 ； 如 果 原 理 都 懂 ， 可 以 直 接 跳 过 往 下 翻 至 第 三 节 X S S 的 漏 洞 类 型 主 要 分 为 三 类 ： 反 射 型 、 存 储 型 、 D O M 型 2 . 1   漏 洞 成 因 漏 洞 成 因 X S S 的 漏 洞 主 要 成 因 是 后 端 接 收 参 数 时 未 经 过 滤 ， 导 致 参 数 改 变 了 H T M L 的 结 构 ， 如 下 图 所 示 在 图 中 可 以 看 到 攻 击 者 的 参 数 被 原 样 放 到 了 H T M L 代 码 当 中 ， 导 致 原 本 的 结 构 被 改 变 ， 当 这 份 代 码 被 浏 览 器 执 行 之 后 ， 将 执 行 a l e r t 事 件 。 2 . 2   反 射 型 反 射 型 反 射 型 X S S 的 定 义 是 、 如 果 U R L 地 址 当 中 的 恶 意 参 数 会 直 接 被 输 出 到 页 面 中 ， 导 致 攻 击 代 码 被 触 发 ， 便 称 之 为 反 射 型 X S S ， 如 下 图 所 示
在 图 中 可 以 看 到 ， 此 处 原 本 是 输 入 一 个 名 字 ， 单 实 际 传 递 了 一 个 s c r i p t 标 签 ， 此 标 签 也 被 原 样 放 到 了 H T M L 结 构 当 中 ， 结 果 s c r i p t 标 签 代 码 中 的 代 码 被 触 发 2 . 3   存 储 型 存 储 型 存 储 型 X S S ， 顾 名 思 义 便 是 恶 意 参 数 被 存 储 起 来 了 ， 通 常 存 储 在 后 端 服 务 器 当 中 ， 所 以 存 储 型 X S S 在 U R L 地 址 当 中 不 会 包 含 恶 意 参 数 对 于 受 害 者 来 说 ， 很 难 发 现 已 经 被 攻 击 了 ， 如 下 图 存 储 型 X S S 被 触 发 在 图 中 并 没 有 在 U R L 地 址 当 中 看 到 s c r i p t 代 码 但 是 攻 击 代 码 依 然 被 触 发 ， 说 明 攻 击 代 码 来 自 于 服 务 器 ， 而 这 个 攻 击 代 码 确 实 是 由 攻 击 者 传 递 到 服 务 器 当 中 去 的 。 一 般 情 况 下 ， 当 攻 击 者 将 攻 击 代 码 通 过 表 单 传 递 到 服 务 器 当 中 去 ， 会 得 到 一 个 新 页 面 的 地 址 ， 这 个 地 址 中 U R L 并 没 有 明 显 异 常 ， 比 如 如 下 U R L 地 址
h t t p : / / p e r m e a t e . s o n g b o y . n e t / a r t i c l e / 1 但 当 存 在 存 储 型 X S S 时 ， 受 害 者 打 开 此 U R L ， 攻 击 代 码 将 会 被 触 发 ， 这 种 情 况 下 便 称 之 为 存 储 型 X S S 漏 洞 。 2 . 4   D O M 型 型 D O M 型 X S S 较 为 特 殊 ， 前 面 反 射 型 X S S 和 存 储 型 X S S 都 是 以 传 播 方 式 来 区 分 的 ， 而 D O M 型 X S S 和 传 参 方 式 无 关 而 是 当 开 发 者 做 了 一 些 安 全 防 护 之 后 ， 出 现 安 全 问 题 的 一 种 现 象 ， 如 下 图 所 示 在 图 片 中 ， 可 以 看 到 参 数 n a m e 已 经 使 用 函 数 转 义 了 ， 按 理 说 此 时 将 参 数 传 递 到 前 端 页 面 是 不 会 产 生 X S S 漏 洞 的 ； 但 当 J a v a S c r i p t 代 码 将 参 数 进 行 D O M 节 点 操 作 之 后 ， 原 本 被 转 义 的 代 码 又 会 被 还 原 ， 因 此 还 是 会 被 触 发 ， 如 下 图 所 示 在 图 中 看 到 X S S 代 码 已 经 被 触 发 ， 这 种 D O M 型 X S S 相 对 来 说 更 加 隐 蔽 所 以 防 御 X S S 漏 洞 的 不 能 仅 仅 依 靠 后 端 开 发 者 ， 前 端 开 发 者 也 应 当 了 解 X S S 漏 洞 。 三 、 反 射 型 挖 掘 三 、 反 射 型 挖 掘
经 过 上 面 的 原 理 介 绍 ， 相 信 大 家 对 X S S 已 经 有 一 些 了 解 ， 现 在 需 要 进 行 手 工 X S S 漏 洞 挖 掘 ， 在 手 工 挖 掘 之 前 需 要 先 逛 逛 网 站 有 哪 些 功 能 点 如 下 图 是 p e r m e a t e 的 界 面 3 . 1   思 路 分 析 思 路 分 析 在 知 道 反 射 型 X S S ， 是 通 过 U R L 地 址 传 播 的 ， 那 么 就 需 要 思 考 那 些 地 方 会 让 U R L 地 址 的 参 数 在 页 面 中 显 示 ； 相 信 你 们 都 用 过 一 些 网 站 的 站 内 搜 索 ， 在 站 内 搜 索 的 位 置 往 往 会 将 搜 索 的 关 键 词 展 示 在 页 面 当 中 ， 如 下 图 所 示 而 在 首 页 也 看 见 此 网 站 有 搜 索 功 能 ， 因 此 可 以 从 搜 索 位 置 着 手 ， 可 以 在 搜 索 位 置 输 入 一 个 简 单 的 p a y l o a d , 参 考 如 下 < s c r i p t > a l e r t ( 1 2 3 ) < / s c r i p t > 当 点 击 搜 索 后 ， 会 自 动 跳 转 到 以 下 U R L 当 中 ， 此 时 浏 览 器 的 U R L 地 址 已 经 发 生 了 变 化 ， U R L 地 址 如 下 ： h t t p : / / p e r m e a t e . s o n g b o y . n e t / h o m e / s e a r c h . p h p ? k e y w o r d s = < s c r i p t > a l e r t ( 1 2 3 ) < / s c r i p t > 搜 索 的 表 单 是 使 用 了 G E T 传 参 ， 满 足 了 测 试 反 射 型 的 第 一 步 要 求
3 . 2   漏 洞 检 验 漏 洞 检 验 接 下 来 就 需 要 看 看 p a y l o a d 有 没 有 被 触 发 , 结 果 很 意 外 ， 不 但 没 有 被 触 发 还 被 浏 览 器 所 阻 止 了 ， 如 下 图 这 里 就 需 要 跟 读 者 说 明 一 下 ， 谷 歌 内 核 浏 览 器 自 带 X S S 筛 选 器 ， 所 以 对 于 反 射 型 X S S 测 试 ， 尽 量 不 使 用 谷 歌 浏 览 器 ， 建 议 使 用 火 狐 浏 览 器 进 行 测 试 ； 3 . 3   结 果 分 析 结 果 分 析 现 在 将 上 面 的 U R L 地 址 复 制 下 来 ， 并 粘 贴 到 火 狐 浏 览 器 当 中 ， 并 按 下 回 车 ， 看 到 效 果 如 下 图 此 时 p a y l o a d 已 经 被 触 发 ， 说 明 找 到 了 一 个 反 射 型 X S S 的 漏 洞 ， 这 种 漏 洞 相 对 来 说 非 常 初 级 ， 随 着 浏 览 器 的 X S S 筛 选 器 变 得 更 加 智 能 ， 这 种 漏 洞 也 越 来 越 少 ， 在 下 面 的 内 容 当 中 将 会 提 到 存 储 型 X S S 挖 掘 与 绕 过 。 四 、 存 储 型 挖 掘 四 、 存 储 型 挖 掘 现 在 来 寻 找 存 储 型 X S S ， 存 储 型 的 攻 击 代 码 是 存 储 在 服 务 端 ， 因 此 需 要 找 出 一 些 会 将 表 单 内 容 存 储 到 服 务 端 的 位 置 在 之 前 已 经 对 p e r m e a t e 做 了 一 番 了 解 ， 因 此 知 道 p e r m e a t e 拥 有 发 帖 和 回 帖 功 能 ， 这 些 功 能 正 是 需 要 将 参 数 存 储 起 来 并 展 示 的 地 方 。 4 . 1   发 现 漏 洞 发 现 漏 洞
在 首 页 点 击 X S S 板 块 ， 进 入 到 了 板 块 列 表 当 中 ， 如 下 图 在 右 下 角 能 看 到 有 一 个 发 帖 按 钮 ， 点 击 发 帖 按 钮 后 ， 即 可 进 入 发 帖 界 面 ， 如 下 图 在 p e r m e a t e 渗 透 测 试 系 统 当 中 ， 如 果 要 发 表 帖 子 ， 那 么 就 需 要 有 账 号 ， 这 里 随 便 注 册 一 个 账 号 ， 注 册 过 程 就 不 详 细 讲 解 了 4 . 2   检 验 漏 洞 检 验 漏 洞 在 注 册 账 号 完 成 并 登 陆 之 后 ， 再 次 打 开 发 帖 页 面 ， 并 在 标 题 处 和 内 容 处 都 填 写 p a y l o a d , 参 考 内 容 如 下 ： < s c r i p t > a l e r t ( 1 2 3 ) < / s c r i p t > 在 标 题 处 和 帖 子 内 容 中 分 别 填 写 p a y l o a d ， 填 写 好 之 后 ， 应 与 下 图 一 致 填 写 好 内 容 之 后 ， 点 击 下 方 的 发 表 按 钮 ， 即 可 进 行 发 帖 ， 发 帖 成 功 会 弹 出 一 个 提 示 成 功 ， 如 下 图 所 示                  
点 击 确 定 之 后 ， 会 跳 转 到 发 帖 列 表 ， 并 弹 出 一 个 1 2 3 的 提 示 框 ， 如 下 图 所 示 如 果 看 到 这 个 弹 框 ， 说 明 p a y l o a d 已 经 被 执 行 ， 点 击 确 定 就 可 以 看 到 列 表 的 内 容 ， 如 下 图 所 示 在 列 表 中 只 显 示 标 题 ， 所 以 帖 子 内 容 中 的 p a y l o a d 并 没 有 被 执 行 ； 4 . 3   抓 包 绕 过 抓 包 绕 过 现 在 点 击 标 题 ， 进 入 帖 子 详 情 页 面 ， 在 详 情 页 发 现 p a y l o a d 也 只 触 发 了 一 次 ， 而 且 内 容 当 中 的 标 签 被 直 接 显 示 了 出 来 ， 如 下 图
当 标 签 被 直 接 显 示 出 来 ， 这 说 明 参 数 被 转 义 了 ； 转 义 分 为 两 种 ， 前 端 转 义 和 后 端 转 义 ， 如 果 是 后 端 转 义 通 常 会 放 弃 测 试 ， 如 果 是 前 端 转 义 则 可 以 绕 过 这 个 限 制 ； 在 这 里 发 现 标 题 没 有 被 转 义 ， 而 内 容 被 转 ， 猜 测 可 能 是 前 端 做 的 转 义 ， 因 此 可 以 通 过 浏 览 器 的 审 查 工 具 将 数 据 包 拷 贝 下 来 ； 首 先 重 新 打 开 发 帖 页 面 ， 然 后 在 网 页 随 便 一 个 位 置 单 击 鼠 标 右 键 - > 选 择 审 查 元 素 - > 切 换 到 n e t w o r k 标 签 并 勾 选 P r e s e r v e   l o g ， 打 开 网 络 并 勾 选 P r e s e r v e   l o g 的 目 的 是 让 发 表 帖 子 之 后 能 在 网 络 请 求 中 找 到 该 记 录 ， 现 在 可 以 填 写 新 的 p a y l o a d ， 如 下 图 点 击 发 表 按 钮 之 后 ， 可 以 在 控 制 台 中 找 到 刚 才 的 p o s t 请 求 从 请 求 中 可 以 看 出 ， 这 个 数 据 发 出 去 就 已 经 被 转 义 了 ， 如 下 图
4 . 4   编 码 替 换 编 码 替 换 当 确 定 这 个 地 方 存 在 前 端 做 了 转 义 处 理 ， 如 果 后 端 没 有 做 处 理 ， 就 可 以 绕 过 它 ， 现 在 将 请 求 复 制 出 来 ， 然 后 改 变 里 面 的 数 据 ， 如 下 图 复 制 出 来 的 数 据 如 下
c u r l   ' h t t p : / / p e r m e a t e . s o n g b o y . n e t / h o m e / _ f a t i e . p h p ? b k = 6 & z t = 0 '   - H   ' C o n n e c t i o n :   k e e p - a l i v e '   - H   ' C a c h e - C o n t r o l :   m a x - a g e = 0 '   - H   ' O r i g i n :   h t t p : / / p e r m e a t e . s o n g b o y . n e t '   - H   ' U p g r a d e - I n s e c u r e - R e q u e s t s :   1 '   - H   ' C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d '   - H   ' U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 _ 1 3 _ 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 8 . 0 . 3 4 4 0 . 1 0 6   S a f a r i / 5 3 7 . 3 6 '   - H   ' A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 '   - H   ' R e f e r e r :   h t t p : / / p e r m e a t e . s o n g b o y . n e t / h o m e / f a t i e . p h p ? b k = 6 '   - H   ' A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e '   - H   ' A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 , e n ; q = 0 . 8 '   - H   ' C o o k i e :   _ _ c f d u i d = d e f c 9 7 0 e f 7 0 8 1 e 3 0 a e d d 7 6 1 d a 5 7 6 2 b 1 8 9 1 5 3 2 0 0 3 5 7 9 ;   U M _ d i s t i n c t i d = 1 6 5 5 a 6 1 a 2 3 3 4 3 c - 0 3 f 0 9 0 4 5 4 0 a 3 3 3 - 3 4 6 5 7 9 0 8 - 1 f a 4 0 0 - 1 6 5 5 a 6 1 a 2 3 4 3 2 3 ;   P H P S E S S I D = r u f h m 0 7 4 1 q f v 5 5 c p f n c 8 0 k 1 g 4 l '   - - d a t a   ' c s r f _ t o k e n = 3 9 0 8 & b k = 6 & t i t l e = 2 2 2 % 3 C s c r i p t + % 3 E a l e r t % 2 8 1 2 3 % 2 9 % 3 C % 2 F s c r i p t % 3 E & c o n t e n t = % 3 C p % 3 E 2 2 2 % 2 6 l t % 3 B s c r i p t + % 2 6 g t % 3 B a l e r t % 2 8 1 2 3 % 2 9 % 2 6 l t % 3 B % 2 F s c r i p t % 2 6 g t % 3 B % 3 C % 2 F p % 3 E '   - - c o m p r e s s e d 找 到 参 数 中 的 t i t l e 和 c o n t e n t 参 数 值 ， 将 t i t l e 的 参 数 值 复 制 下 来 ， 然 后 替 换 c o n t e n t 的 参 数 值 ， 替 换 后 的 内 容 如 下 c u r l   ' h t t p : / / p e r m e a t e . s o n g b o y . n e t / h o m e / _ f a t i e . p h p ? b k = 6 & z t = 0 '   - H   ' C o n n e c t i o n :   k e e p - a l i v e '   - H   ' C a c h e - C o n t r o l :   m a x - a g e = 0 '   - H   ' O r i g i n :   h t t p : / / p e r m e a t e . s o n g b o y . n e t '   - H   ' U p g r a d e - I n s e c u r e - R e q u e s t s :   1 '   - H   ' C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d '   - H   ' U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 _ 1 3 _ 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 8 . 0 . 3 4 4 0 . 1 0 6   S a f a r i / 5 3 7 . 3 6 '   - H   ' A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 '   - H   ' R e f e r e r :   h t t p : / / p e r m e a t e . s o n g b o y . n e t / h o m e / f a t i e . p h p ? b k = 6 '   - H   ' A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e '   - H   ' A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 , e n ; q = 0 . 8 '   - H   ' C o o k i e :   _ _ c f d u i d = d e f c 9 7 0 e f 7 0 8 1 e 3 0 a e d d 7 6 1 d a 5 7 6 2 b 1 8 9 1 5 3 2 0 0 3 5 7 9 ;   U M _ d i s t i n c t i d = 1 6 5 5 a 6 1 a 2 3 3 4 3 c - 0 3 f 0 9 0 4 5 4 0 a 3 3 3 - 3 4 6 5 7 9 0 8 - 1 f a 4 0 0 - 1 6 5 5 a 6 1 a 2 3 4 3 2 3 ;   P H P S E S S I D = r u f h m 0 7 4 1 q f v 5 5 c p f n c 8 0 k 1 g 4 l '   - - d a t a   ' c s r f _ t o k e n = 3 9 0 8 & b k = 6 & t i t l e = 2 2 2 % 3 C s c r i p t + % 3 E a l e r t % 2 8 1 2 3 % 2 9 % 3 C % 2 F s c r i p t % 3 E & c o n t e n t = 2 2 2 % 3 C s c r i p t + % 3 E a l e r t % 2 8 1 2 3 % 2 9 % 3 C % 2 F s c r i p t % 3 E '   - - c o m p r e s s e d 替 换 完 成 之 后 ， 将 此 内 容 复 制 到 终 端 当 中 （ 如 果 用 的 是 w i n d o w s 操 作 系 统 ， 可 以 下 载 一 个 c m d e r ） ， 然 后 按 下 回 车 键 ， 结 果 如 下 图
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理