搜索

[296] 2019-04-21_XSS的绕过和防御

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2019-04-21_XSS的绕过和防御 X S S   的 绕 过 和 防 御 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 4 - 2 1 0 x 0 0 ： ： 简 介 简 介 最 近 在 整 理   T O P 1 0   的 审 计 点 ， 上 篇 文 章 介 绍 了   A 3 X S S   问 题 ， 这 里 的   T O P 1 0   是 以   2 0 1 3   的 来 记 录 的 ， 对 于   X S S   因 为 篇 幅 原 因 上 篇 只 记 录 了 一 些 示 例 代 码 ， 这 篇 顺 便 补 充 一 下   X S S   的 绕 过 和 防 御 。 0 x 0 1 ： ： 绕 过 绕 过 X S S   绕 过 方 法 很 多 ， 涉 及 到 的 面 也 非 常 广 泛 ， 我 们 这 里 只 记 录 常 见 的 一 些 绕 过 方 式 。 1 ， 最 基 本 的 就 是 利 用   < >   来 写 入   h t m l   和   j s   代 码 ， 例 如 以 下 示 例 。 所 以 对 于 防   x s s   首 先 就 需 要 过 滤 和 转 义   < 、 > 、 ＜ s c r i p t ＞ 等 字 符 。 2 ， 利 用   h t m l   标 签 属 性 值 来 执 行   x s s ， 很 多   h t m l   标 签 的 属 性 都 支 持   j a v a s c r i p t : [ c o d e ]   伪 协 议 的 形 式 ， 其 声 明 了 用   j s   来 执 行   c o d e 代 码 ， 例 如 以 下 示 例 。 < s c r i p t > a l e r t ( 1 ) ; < / s c r i p t > < t a b l e   b a c k g r o u n d = " j a v a s c r i p t : a l e r t ( 1 ) " > < / t a b l e > < i m g   s r c = " j a v a s c r i p t : a l e r t ( 1 ) ; " >
当 然 并 不 是 所 有 的 浏 览 器 都 会 这 样 执 行 ， 有 些 浏 览 器 并 不 支 持   j s   伪 协 议 ， 所 以 这 种 方 式 有 其 局 限 性 ， 我 们 示 例 就 使 用 这 种 伪 协 议 了 ， 当 然   s c r i p t 、 o n   等 关 键 字 都 同 样 适 用 ， 同 时 我 们 也 可 以 看 见 ， 防 御   x s s   一 定 要 过 滤   j s   的 关 键 字 。 3 ， 空 格 回 车   T a b   方 式 ， 如 果 程 序 把 敏 感 字 符 和 关 键 字 进 行 了 过 滤 ， 那 么 我 们 可 以 利 用 空 格 、 回 车 、 T a b   等 来 尝 试 绕 过 ， 例 如 以 下 示 例 。 以 上 第 一 个 在   j a v a s c r i p t   中 插 入 了   t a b   键 ， 第 二 个 使 用 了 回 车 ， 除 了   t a b   我 们 也 可 以 使 用 回 车 空 格 等 ， 在   s c r i p t   和 各 种   o n   事 件 中 也 可 以 使 用 ， j s   解 析 时 会 以 分 号 来 判 断 一 个 语 句 是 否 结 束 ， 所 以 添 加 空 格 、 回 车 、 t a b   等 并 不 会 影 响 语 句 的 正 常 执 行 。 4 ， 对 标 签 属 性 值 进 行 转 码 ， 在   h t m l   的 属 性 中 是 支 持   A S C I I   码 的 ， 因 为 计 算 机 只 能 接 受 数 字 信 息 ， 所 以   A S C I I   码 会 将 字 符 作 为 数 字 来 表 示 ， 例 如 以 下 示 例 。 t   的   a s c i i   码 为   1 1 6 ， ： 的   a s c i i   码 为   5 8 ， 以 上 是 转 码 后 的 效 果 ， 同 理 ， 以 下 代 码 同 样 会 生 效 。 上 面 第 二 个 例 子 每 个 字 符 加 了 四 个   0 ， a s c i i   码 中 加 入 随 意 个   0   其 效 果 是 不 变 的 ， 同 时 也 可 以 结 合 换 行 、 回 车 、 T a b   等 ， t a b 为   ， 换 行 为   ， 回 车 为   ， 它 们 可 以 插 入 到 代 码 的 任 意 地 方 。 所 以 我 们 除 了 过 滤 关 键 字 外 ， 最 好 也 过 滤   & 、 #   等 特 殊 字 符 。 5 ， 事 件 跨 站 ， 当 属 性 值 不 能 进 行 利 用 时 ， 可 以 利 用   j s   的 一 些 事 件 进 行 跨 站 ， 例 如   c l i c k 、 m o u s e o v e r 、 l o a d   等 ， 例 如 以 下 示 例 。 6 ， 利 用   c s s   进 行 跨 站 ， x s s   的 另 一 个 载 体 是   c s s ， 优 点 在 于 灵 活 隐 蔽 ， 缺 点 在 于 可 能 浏 览 器 不 会 通 用 。 示 例 如 下 。 在   i e 5   以 后   c s s   支 持 使 用   e x p r e s s i o n ， e x p r e s s i o n   会 执 行 放 入 的   j s   代 码 ， 例 如 以 下 示 例 。 除 了 嵌 入 到   h t m l   代 码 中 外 ， 也 可 以 通 过 其 他 服 务 器 进 行   c s s   文 件 的 引 入 ， 例 如   l i n k   标 签 的 使 用 ， 假 设   x x x . c o m / x x x . c s s   文 件 内 < i m g   s r c = " j a v a s         c r i p t : a l e r t ( 1 ) " > < i m g   s r c = " j a v a s c r i p t : a l e r t ( 1 ) " > < i m g   s r c = " j a v a s c r i p t : a l e r t ( 1 ) ; " > < i m g   s r c = " j a v a s c r i p & # 1 1 6 & # 5 8 a l e r t ( 1 ) ; " > < i m g   s r c = " & # 3 4 ; & # 1 0 6 ; & # 9 7 ; & # 1 1 8 ; & # 9 7 ; & # 1 1 5 ; & # 9 9 ; & # 1 1 4 ; & # 1 0 5 ; & # 1 1 2 ; & # 1 1 6 ; & # 5 8 ; & # 9 7 ; & # 1 0 8 ; & # 1 0 1 ; & # 1 1 4 ; & # 1 1 6 ; & # 4 0 ; & # 4 9 ; & # 4 1 ; & # 5 9 ; & # 3 4 ; & # 4 7 ; " < i m g   s r c = " & # 0 0 0 0 3 4 ; & # 0 0 0 0 1 0 6 ; & # 0 0 0 0 9 7 ; & # 0 0 0 0 1 1 8 ; & # 0 0 0 0 9 7 ; & # 0 0 0 0 1 1 5 ; & # 0 0 0 0 9 9 ; & # 0 0 0 0 1 1 4 ; & # 0 0 0 0 1 0 5 ; & # 0 0 0 0 1 1 2 ; & # 0 0 0 0 1 1 6 ; & # 0 0 0 0 5 8 ; & # 0 0 0 0 9 7 ; & # 0 0 0 0 1 0 8 ; & # 0 0 0 0 1 0 1 ; & # 0 0 0 0 1 1 4 ; & # 0 0 0 0 1 1 6 ; & # 0 0 0 0 4 0 ; & # 0 0 0 0 4 9 ; & # 0 0 0 0 4 1 ; & # 0 0 0 0 5 9 ; & # 0 0 0 0 3 4 ; & # 0 0 0 0 4 7 ; " < i n p u t   t y p e = " b u t t o n "   v a l u e = " b u t t o n "   o n c l i c k = " a l e r t ( 1 ) " / > < i m g   s r c = " 0 "   o n e r r o r = " a l e r t ( 1 ) " > < d i v   s t y l e = " b a c k g r o u n d - i m a g e : u r l ( j a v a s c r i p t : a l e r t ( 1 ) ) " > < s t y l e > b o d y { b a c k g r o u n d - i m a g e : u r l ( " j a v a s c r i p t : a l e r t ( 1 ) " ) ; } < / s t y l e > < d i v   s t y l e = " w i d t h : e x p r e s s i o n ( a l e r t ( 1 ) ) ; " > < s t y l e > b o d y { b a c k g r o u n d - i m a g e : e x p r e s s i o n ( a l e r t ( 1 ) ) ; } < / s t y l e >
容 如 下 。 这 时 在 目 标 程 序 中 使 用 的   p a y l o a d   则 为 ： 除 上 面 的   l i n k   可 以 引 入 外 部 的   c s s   文 件 外 ， 还 有 一 种 方 式 就 是   @ i m p o r t ， 其 使 用 示 例 如 下 。 @ i m p o r t   除 了 可 以 引 入   c s s   文 件 外 ， 还 有 一 个 特 性 就 是 可 以 直 接 执 行   j s   代 码 ， 其 使 用 示 例 如 下 。 通 过 上 面 记 录 可 知 ， 我 们 除 了 过 滤   s c r i p t   关 键 字 、 & 、 # 、 < 、 >   等 特 殊 字 符 外 ， 也 应 该 把   e x p r e s s i o n 、 j a v a s c r i p t 、 i m p o r t   等 关 键 字 也 进 行 过 滤 。 7 ， 扰 乱 过 滤 规 则 ， 扰 乱 规 则 也 有 很 多 种 ， 常 见 的 就 是 大 小 写 转 换 ， 示 例 如 下 。 不 使 用 双 引 号 ， 使 用 单 引 号 ， 示 例 如 下 。 不 使 用 引 号 的 ， 示 例 如 下 。 空 格 使 用   /   来 代 替 ， 示 例 如 下 。 当 使 用   e x p r e s s i o n   执 行 跨 站 代 码 时 ， 可 以 使 用 全 角 字 符 来 绕 过 。 在 样 式 表 中 ， / * * /   会 被 浏 览 器 忽 略 ， 所 以 可 以 用   / * * /   注 释 字 符 来 进 行 绕 过 ， 示 例 如 下 。 p { b a c k g r o u n d - i m a g e : e x p r e s s i o n ( a l e r t ( 1 ) ) ; } < l i n k   r e l = " s t y l e s h e e t "   h r e f = " x x x . c o m / x x x . c s s " > < s t y l e   t y p e = ' t e x t / c s s ' > @ i m p o r t   u r l ( h t t p : / / w w w . x x x . c o m / x x x . c s s ) ; < / s t y l e > < s t y l e > @ i m p o r t   ' j a v a s c r i p t : a l e r t ( 1 ) ' ; < / s t y l e > < I M G   S R C = " j a v a S c r i p T : a l E r t ( 1 ) ; " < i m g   s r c = " j a v a s c r i p t : a l e r t ( 1 ) ; " > < i m g   s r c = " j a v a s c r i p t : a l e r t ( 1 ) ; " > < i m g   s r c = " j a v a s c r i p t : a l e r t ( 1 ) ; " > < d i v   s t y l e = " { l e f t : ｅ ｘ ｐ ｒ ｅ ｓ ｓ ｉ ｏ ｎ ( a l e r t ( 1 ) ) } " > < d i v   s t y l e = " w i d / * * * * / t h : e x p r e / * x s s * / s s i o n ( a l e r t ( 1 ) ) ; " >
对 于 跨 站 ， 基 本 很 多 系 统 都 会 使 用 黑 名 单 的 方 式 ， 白 名 单 在 这 里 可 能 不 太 使 用 ， 那 么 也 可 以 通 过 双 写 来 绕 过 ， 示 例 如 下 。 在 样 式 表 中 ， 和   0   也 会 被 浏 览 器 忽 略 ， 示 例 如 下 。 8 ， 利 用 字 符 编 码 ， 字 符 编 码 我 们 可 以 在 线   x s s o r . i o   辅 助 一 下 ， 下 面 使 用 一 下 十 六 进 制 和 十 进 制 的 编 码 ， 在   h t m l   中 ， 很 多 属 性 都 支 持   & # a s c i i   编 码 的 方 式 ， x s s o r   见 下 图 。 示 例 如 下 。 使 用 选 项 截 图 分 别 如 下 。 & #   后 的   0   可 以 随 意 输 入 ， x s s o r   最 后 提 供 了   r e p l a c e   替 换 功 能 ， 可 以 使 用 此 功 能 进 行   0   的 添 加 删 除 和 修 改 。 < s c r S c r I P t i p t > a l A l e r T e r t ( 1 ) < / s s c r i p t c r i p t > @ i m p o r t   ' 0 j a v a 0 s c r i p t : a l e r t ( 1 ) ' ; @ 0 0 0 0 i 0 0 0 0 m 0 0 0 0 p 0 0 0 0 o 0 0 0 0 r 0 0 0 0 t   ' u r l ' ; < i m g   s r c = " j a v a s c r i p t : a l e r t ( 1 ) ; " >         / / 原 型 < i m g   s r c = " & # x 0 0 6 a ; & # x 0 0 6 1 ; & # x 0 0 7 6 ; & # x 0 0 6 1 ; & # x 0 0 7 3 ; & # x 0 0 6 3 ; & # x 0 0 7 2 ; & # x 0 0 6 9 ; & # x 0 0 7 0 ; & # x 0 0 7 4 ; & # x 0 0 3 a ; & # x 0 0 6 1 ; & # x 0 0 6 c ; & # x 0 0 6 5 ; & # x 0 0 7 2 ; & # x 0 0 7 4 ; & # x 0 0 2 8 ; & # x 0 0 3 1 ; & # x 0 0 2 9 ; & # x 0 0 3 b ; " < i m g   s r c = " & # 1 0 6 & # 9 7 & # 1 1 8 & # 9 7 & # 1 1 5 & # 9 9 & # 1 1 4 & # 1 0 5 & # 1 1 2 & # 1 1 6 & # 5 8 & # 9 7 & # 1 0 8 & # 1 0 1 & # 1 1 4 & # 1 1 6 & # 4 0 & # 4 9 & # 4 1 & # 5 9 " >        
j s   中 有 一 个   e v a l   函 数 ， 它 可 以 执 行   j s   代 码 ， 并 支 持 十 六 进 制 和 十 进 制 ， 我 们 可 以 使 用   /   连 接 十 六 进 制 字 符 ， 十 进 制 需 要 s t r i n g . f r o m C h a r C o d e   函 数 结 合 ， s t r i n g . f r o m C h a r C o d e   作 用 是 通 过   a s c i i   码 来 获 取 字 符 内 容 ， 示 例 如 下 。 9 ， j s f u c k   绕 过 ， j s f u c k   是 一 种   j s   编 程 风 格 ， 它 会 把   j s   代 码 用 六 个 字 符 来 表 示 ， [ ] ( ) + !   其 网 站 是   j s f u c k . c o m ， 如 果 程 序 过 滤 了 各 种 关 键 字 ， 而 没 有 过 滤 这 六 种 符 号 的 话 ， 则 可 以 进 行 尝 试 ， 只 不 过 生 成 的 字 符 会 比 较 多 ， 可 能 超 出 字 符 范 围 限 制 ， 利 用 时 也 可 以 外 部 引 入 等 ， 示 例 图 如 下 。 把 编 码 后 的 代 码 放 到 网 页 会 被 直 接 解 析 执 行 ， 效 果 图 如 下 。 < s c r i p t > e v a l ( " 6 1 6 c 6 5 7 2 7 4 2 8 3 1 2 9 " ) ; < / s c r i p t > < i m g   s r c = " j a v a s c r i p t : e v a l ( S t r i n g . f r o m C h a r C o d e ( 9 7 , 1 0 8 , 1 0 1 , 1 1 4 , 1 1 6 , 4 0 , 4 9 , 4 1 ) ) " >
以 上 就 是 常 用 的   x s s   绕 过 方 式 ， x s s   绕 过 根 据 浏 览 器 的 不 同 环 境 不 同 可 能 会 存 在 差 异 ， 方 式 也 有 很 多 ， 我 们 这 里 把 一 些 常 见 的 记 录 了 下 。 0 x 0 2 ： ： 防 御 防 御 对 于 防 御 一 般 有 两 种 方 式 ， 即   i n p u t   f i l t e r i n g   和   o u t p u t   f i l t e r i n g   两 种 ， 即 输 入 过 滤 和 输 出 过 滤 。 对 于 输 入 过 滤 ， 可 以 进 行 输 入 验 证 和 数 据 消 毒 。 输 入 验 证 即 用 来 检 测 用 户 的 输 入 是 否 合 法 ， 例 如 前 端 的 手 机 号 规 则 验 证 ， 邮 箱 验 证 等 ， 是 否 超 过 最 大 限 制 ， 在 前 端   j s   验 证 后 ， 后 端 也 应 该 进 行 验 证 ， 避 免 前 端 被 绕 过 的 可 能 。 数 据 消 毒 即 过 滤 特 殊 字 符 和 关 键 字 ， 例 如   < > & # ' " 等 ， 关 键 字   s c r i p t 、 j a v a s c r i p t 、 e x p r e s s i o n 、 o n   事 件 等 。 对 于 输 出 过 滤 我 们 可 以 进 行 输 出 编 码   h t m l e n c o d e ， 例 如   <   的 实 体 名 字 &   l t ； 实 体 编 号   & # 6 0 ； 对 这 种 类 似 的 符 号 做 编 码 和 转 义 可 以 有 效 的 防 止 跨 站 攻 击 。 现 在 基 本 常 见 的 后 端 程 序 也 都 有 提 供 类 似 的 编 码 ， 例 如   a s p   的   s e r v e r . h t m l e n c o d e ， p h p   的   h t m l s p e c i a l c h a r s   等 。 同 时 在 进 行 输 出 编 码 时 ， 需 要 根 据 上 下 文 的 环 境 进 行 不 同 的 编 码 ， 例 如 内 容 是 输 出 到 网 页 内 容 中 ， 则 需 要 用   h t m l   实 体 代 替 ， 例 如 ： <   转 换 为   &   l t ; >   转 换 为   &   g t ;
&   转 换 为   &   a m p ; "   转 换 为   &   q u o t ; ' & # 3 9 ; 如 果 内 容 是 输 出 到 标 签 中 ， 例 如 一 些 标 签 的 属 性 值 ， 这 个 和 输 入 到 网 页 中 的 处 理 一 样 ， 对 敏 感 字 符 进 行 转 义 实 体 代 替 。 <   转 换 为   &   l t ; >   转 换 为   &   g t ; &   转 换 为   &   a m p ; "   转 换 为   &   q u o t ; ' & # 3 9 ; 如 果 内 容 是 输 出 到   s c r i p t   标 签 中 的 ， 则 需 要 对 敏 感 字 符 进 行 编 码 过 滤 ， 示 例 如 下 。 ' 单 引 号 转 为   / ' " 双 引 号 转 为   / " 反 斜 杠 转 为   /   正 斜 杠 转 为   / / n   换 行 转 为   /   n / r   回 车 转 为   /   r 总 体 来 说 就 是 未 受 信 任 的 数 据 嵌 入 到 页 面 前 都 应 该 按 照 上 下 文 进 行 对 应 的 编 码 。 而 对 于   D O M X S S   来 说 ， 并 没 有 对 后 端 产 生 交 互 ， 所 以 后 端 过 滤 规 则 对   D O M X S S   不 会 生 效 ， 防 御   D O M X S S   需 要 注 意 的 一 个 是 避 免 客 户 端 文 档 重 写 ， 重 定 向 或 其 他 敏 感 操 作 ， 同 时 避 免 使 用 客 户 端 数 据 ， 这 些 操 作 尽 量 在 服 务 端 使 用 动 态 页 面 来 实 现 。 再 一 个 是 分 析 和 强 化 客 户 端 的   j s   代 码 ， 尤 其 是 受 到 用 户 影 响 的   d o m   对 象 ， 例 如 d o c u m e n t . u r l , d o c u m e n t . l o c a t i o n , d o c u m e n t . r e f e r r e r   等 。 以 上 是 进 行 输 入 和 输 出 编 码 的 处 理 方 式 ， 除 此 之 外 建 议 对 用 户 登 录 的   c o o k i e   做   h t t p o n l y   属 性 ， 在 跨 站 的 攻 击 中 ， 基 本 都 会 使 用   d o c u m e n t . c o o k i e   来 盗 取 用 户 的   c o o k i e   信 息 ， 所 以 建 议 设 置   h t t p o n l y 。 最 后 建 议 给 程 序 使 用   w a f   或 者 云 服 务 ， 用 来 防 止   w e b   常 见 的 一 些 漏 洞 。 对 于 防 止 跨 站 的 一 些 过 滤 规 则 可 以 参 考   j s x s s . c o m ， 可 以 参 考 下   j s x s s . c o m   使 用 时 需 要 引 入 的 那 个   j s   文 件 ， 写 的 比 较 全 面 也 比 较 详 细 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理