搜索

[7880] 2014-03-18_Paypal的一个Dom型XSS漏洞分析

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-17
2014-03-18_Paypal的一个Dom型XSS漏洞分析 P a y p a l 的 一 个 D o m 型 X S S 漏 洞 分 析 l i t d g   F r e e B u f   2 0 1 4 - 0 3 - 1 8 前 言 前 言 D O M   x s s 也 称 为 第 三 种 类 型 的 也 称 为 第 三 种 类 型 的 x s s 或 者 类 型 或 者 类 型 0 。 现 在 。 现 在 D O M 型 的 型 的 x s s 越 来 越 多 了 ， 除 了 因 为 各 种 越 来 越 多 了 ， 除 了 因 为 各 种 J S 库 比 如 库 比 如 Y U I ， ， J q u e r y ， ， J q u e r y   m o b i l e 等 的 使 用 ， 还 有 很 多 编 程 语 言 ， 比 如 等 的 使 用 ， 还 有 很 多 编 程 语 言 ， 比 如 p h p 更 多 的 支 持 了 更 多 的 支 持 了 H T M L 5 的 特 性 。 的 特 性 。 W 3 s c h o o l 的 缺 陷 代 码 样 例 的 缺 陷 代 码 样 例 很 多 学 习 的 资 料 的 样 例 代 码 都 不 够 安 全 ， 比 如 下 面 是 来 自 于 w 3 s c h o o l 的 J q u e r y 教 程 中 的 一 段 代 码 。 这 段 代 码 使 用 h t m l ( ) 方 法 输 出 h t m l ， 但 是 h t m l ( ) 并 不 是 一 个 安 全 的 输 出 h t m l 的 方 式 。 可 以 参 考 D O M   B a s e d   X S S   W i k i 。 如 果 用 户 可 控 的 输 入 经 过 h t m l ( ) 输 出 之 前 没 有 合 适 的 过 滤 ， 就 会 导 致 D O M   x s s 。 J q u e r y 的 h t m l ( ) 相 当 于 j a v a s c r i p t 的 i n n e r H T M L 。 P a y p a l 的 的 D O M   x s s 子 域 名 f i n a n c i n g . p a y p a l . c o m 上 有 一 个 功 能 引 起 了 我 的 兴 趣 ， 它 允 许 用 户 创 建 一 个 不 同 大 小 的 广 告 。 广 告 的 大 小 是 在 客 户 端 ， 使 用 j q u e r y 控 制 的 。 比 如 h t t p s : / / f i n a n c i n g . p a y p a l . c o m / p p f i n p o r t a l / a d G e n e r a t o r / w e b C o p y ? 4 6 0   *   8 0 上 面 是 展 示 ” 4 6 0 * 8 0 ” 大 小 的 广 告 。 修 改 4 6 0 * 8 0 成 别 的 字 符 串 ， 也 会 输 出 在 网 页 里 。 所 以 现 尝 试 修 改 成 一 个 x s s   p a y l o a d < s v g / o n l o a d = p r o m p t ( 1 ) > h t t p s : / / f i n a n c i n g . p a y p a l . c o m / p p f i n p o r t a l / a d G e n e r a t o r / w e b C o p y ? < s v g / o n l o a d = p r o m p t ( 1 ) >
很 不 幸 ， 输 出 的 结 果 经 过 了 U R L 编 码 。 当 然 这 有 两 个 可 能 ， 一 个 是 j a v a s c r i p t 对 我 们 的 输 入 进 行 了 编 码 ， 也 可 能 是 通 用 的 浏 览 器 行 为 , G o o g l e   C h r o m e   和 F i r e f o x 会 对 问 号 之 后 的 所 有 数 据 进 行 U R L 编 码 。 当 使 用 I E 测 试 的 时 候 ， 成 功 的 执 行 了 我 们 的 脚 本 。 我 们 也 可 以 使 用 一 些 技 巧 在 C h r o m e 上 弹 窗 。 C h r o m e 对 # 号 之 后 的 内 容 不 会 进 行 U R L 编 码 。 所 以 可 以 通 过 以 下 p a y l o a d 在 c h r o m e 上 执 行 代 码 。 h t t p s : / / f i n a n c i n g . p a y p a l . c o m / p p f i n p o r t a l / a d G e n e r a t o r / w e b C o p y ? # < s v g / o n l o a d = p r o m p t ( 1 ) > 代 码 分 析 代 码 分 析 通 过 一 些 调 试 ， 我 们 找 到 了 引 起 漏 洞 的 代 码 。
5 1 7 行 d o c u m e n t . u r l 通 过 s p l i t 函 数 取 了 ？ 号 的 部 分 ， 存 到 了 变 量 u r l 里 。 然 后 通 过 h t m l ( ) 进 行 了 输 出 。 结 论 结 论 随 着 各 种 动 态 j s 库 的 使 用 ， D O M   x s s 也 会 越 来 越 普 遍 。 本 文 希 望 告 诉 读 者 ， 除 了 在 服 务 端 对 用 户 的 输 入 进 行 过 滤 ， 在 客 户 端 同 样 要 对 用 户 的 输 入 进 行 恰 当 的 过 滤 。 [ v i a   r a f a y h a c k i n g a r t i c l e s . n e t   翻 译 整 理   b y   l i t d g @ f r e e b u f ] ( 点 击 下 方 “ 阅 读 原 文 ” 进 行 评 论 或 查 看 更 多 文 章 ) 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理