搜索

[8271] 2014-09-15_XSS编码剖析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2014-09-15_XSS编码剖析 X S S 编 码 剖 析 F r e e B u f   2 0 1 4 - 0 9 - 1 5 作 者   0 x E x p l o i t 0 × 0 0   引 言 引 言 很 多 不 了 解 h t m l 、 j s 编 码 的 童 鞋 挖 掘 x s s 漏 洞 时 ， 都 是 一 顿 乱 插 ， 姿 势 对 了 ， 就 能 获 得 快 感 ， 姿 势 不 对 ， 就 么 反 应 。 另 外 在 f r e e b u f 里 ， 有 很 多 文 章 介 绍 过 跨 站 编 码 ， 有 兴 趣 的 ， 可 以 搜 索 下 。 本 文 介 绍 常 见 的 编 码 方 法 ， 能 力 不 足 ， 如 有 其 他 意 见 ， 请 指 正 。 0 × 0 1   常 用 编 码 常 用 编 码 U R L 编 码 ： 一 个 百 分 号 和 该 字 符 的 A S C I I 编 码 所 对 应 的 2 位 十 六 进 制 数 字 ， 例 如 “ / ” 的 U R L 编 码 为 % 2 F ( 一 般 大 写 ， 但 不 强 求 ) H T M L 实 体 编 码 ： 命 名 实 体 ： 命 名 实 体 ： 以 & 开 头 ， 分 号 结 尾 的 ， 例 如 “ < ” 的 编 码 是 “ & l t ; ” 字 符 编 码 ： 字 符 编 码 ： 十 进 制 、 十 六 进 制 A S C I I 码 或 u n i c o d e 字 符 编 码 ， 样 式 为 “ & # 数 值 ; ” , 例 如 “ < ” 可 以 编 码 为 “ & # 0 6 0 ; ” 和 “ & # x 3 c ; ” J S 编 码 ： 编 码 ： j s 提 供 了 四 种 字 符 编 码 的 策 略 ， 1 、 三 个 八 进 制 数 字 ， 如 果 不 够 个 数 ， 前 面 补 0 ， 例 如 “ e ” 编 码 为 “ 1 4 5 ” 2 、 两 个 十 六 进 制 数 字 ， 如 果 不 够 个 数 ， 前 面 补 0 ， 例 如 “ e ” 编 码 为 “ x 6 5 ” 3 、 四 个 十 六 进 制 数 字 ， 如 果 不 够 个 数 ， 前 面 补 0 ， 例 如 “ e ” 编 码 为 “ u 0 0 6 5 ” 4 、 对 于 一 些 控 制 字 符 ， 使 用 特 殊 的 C 类 型 的 转 义 风 格 （ 例 如 n 和 r ） C S S 编 码 ： 编 码 ： 用 一 个 反 斜 线 ( ) 后 面 跟 1 ~ 6 位 的 十 六 进 制 数 字 ， 例 如 e 可 以 编 码 为 “ 6 5 ” 或 “ 6 5 ” 或 “ 0 0 0 6 5 ” 复 合 编 码 ： 复 合 编 码 ： 所 谓 复 合 编 码 ， 也 就 是 说 输 出 的 内 容 输 出 在 多 个 环 境 中 ， 例 如 < t d   o n c l i c k = ” o p e n U r l ( a d d . d o ? u s e r N a m e = ’ < % = v a l u e % > ’ ) ; ” > 1 1 < / t d > v a l u e 的 内 容 首 先 出 现 在 一 个 U R L 中 ， 这 个 U R L 在 一 段 j a v a s c r i p t 总 ， 而 j a v a s c r i p t 代 码 又 是 h t m l 的 一 部 分 。 所 以 解 码 的 顺 序 就 是 H T M L 解 码 – > j s 解 码 – > u r l 解 码 ， 那 么 正 确 的 编 码 顺 序 就 应 该 是 u r l 编 码 – > j s 编 码 – > h t m l 编 码 。 0 × 0 2 基 本 概 念 基 本 概 念 H T M L 解 析 器 能 识 别 在 文 本 节 点 和 参 数 值 里 的 实 体 编 码 ， 并 在 内 存 里 创 建 文 档 树 的 表 现 形 式 时 ， 透 明 的 对 这 些 编 码 进 行 解 码 。 例 如 以 下 两 种 写 法 的 功 能 是 一 样 的 ( 忽 略 里 面 的 空 格 。 。 鄙 视 下 这 个 编 辑 器 ) ：
< i m g   s r c = " h t t p : / / w w w . e x a m p l e . c o m " > < i m g   s r c = " h t & #   x 7 4 ; p & # x 3 a ; / / w w w . e x a m p l e . c o m " > 而 下 面 的 两 个 例 子 ， 实 际 上 却 没 法 真 的 加 载 图 片 ， 因 为 这 种 编 码 干 扰 了 标 签 本 身 的 结 构 。 < i m g   s r c & #   x 3 d ; " h t t p : / / w w w . e x a m p l e . c o m " > < i m g   s & #   x 7 2 ; c = " h t t p : / / w w w . e x a m p l e . c o m " > 下 面 了 解 下 浏 览 器 解 析 H T M L 的 步 骤 ： 浏 览 器 收 到 从 服 务 器 发 送 来 的 H T M L 内 容 ， 会 从 头 解 析 ， 当 遇 到 < s c r i p t > < / s c r i p t > 时 ， 会 调 用 j a v a s c r i p t 脚 本 解 析 器 解 析 j a v a s c r i p t ， 并 执 行 脚 本 ， 然 后 继 续 解 析 其 他 的 H T M L 内 容 ， 对 于 一 些 需 要 触 发 才 能 执 行 的 事 件 ， 当 触 发 事 件 发 送 时 ， 脚 本 解 析 器 才 会 解 析 其 中 的 脚 本 ， 在 事 件 触 发 之 前 ， 它 是 H T M L 的 一 部 分 。 0 × 0 3 实 例 剖 析 实 例 剖 析 3 . 1   H T M L – > j s 编 码 代 码 如 下 ： < ? p h p   f u n c t i o n   h t m l e n c o d e ( $ s t r ) {       i f ( e m p t y ( $ s t r ) )   r e t u r n ;       i f ( $ s t r   = =   " " )   r e t u r n ;         $ s t r   =   s t r _ i r e p l a c e ( " < " , " " , $ s t r ) ;       $ s t r   =   s t r _ i r e p l a c e ( " > " , " " , $ s t r ) ;       $ s t r   =   s t r _ i r e p l a c e ( " s c r i p t " , " " , $ s t r ) ;       $ s t r   =   s t r _ i r e p l a c e ( " i m g " , " " , $ s t r ) ;       $ s t r   =   s t r _ i r e p l a c e ( " : " , " " , $ s t r ) ;       $ s t r   =   s t r _ i r e p l a c e ( " j a v a s c r i p t " , " " , $ s t r ) ;         r e t u r n   $ s t r ; }   i f ( ! a r r a y _ k e y _ e x i s t s   ( " n a m e " , $ _ G E T )   | |   $ _ G E T [ ' n a m e ' ]   = =   N U L L   | |   $ _ G E T [ ' n a m e ' ]   = =   ' ' ) {     $ i s e m p t y   =   t r u e ;   }   e l s e   {                             $ h t m l   . =   ' < p r e > ' ;   $ h t m l   . =   ' < a   o n c l i c k = "   '   . h t m l e n c o d e ( $ _ G E T [ ' n a m e ' ] ) . ' " > c l i c k   t h i s   u r l < / a > ' ;   $ h t m l   . =   ' < / p r e > ' ;   } ? >   < h t m l > < s c r i p t >   < / s c r i p t > < / h t m l > 可 以 看 到 ， 过 滤 了 尖 角 号 ， s c r i p t 等 标 签 ， 当 输 入 j a v a s c r i p t : a l e r t ( / x s s / ) 时 ， 系 统 返 回 的 为 ： 我 们 现 在 分 析 一 下 $ n a m e 的 环 境 ， $ n a m e 先 在 h t m l 环 境 中 ， 然 后 在 j a v a s c r i p t 环 境 ( o n c l i c k 事 件 ) 中 ， 浏 览 器 解 析 的 顺 序 是 h t m l 解 码 – > j s 解 码 ， 所 以 我 们 将 j a v a s c r i p t : a l e r t ( / x s s / ) 进 行 h t m l 编 码 ， 从 而 可 以 绕 过 限 制 ( 当 然 此 处 代 码 还 有 其 他 好 几 种 绕 过 的 方 式 ， 此 处 只 是 简 单 说 明 编 码 问 题 ) ， 因 为 在 j a v a s c r i p t 解 码 时 ， $ n a m e 已 经 被 h t m l 解 码 了 ， 那 么 处 在 j a v a s c r i p t 中 的 $ n a m e 变 量 就 是 正 常 的 j s 代 码 。
源 代 码 为 ： 3 . 2   j s – > h t m l 编 码 代 码 如 下 ： < ? p h p   i f ( ! a r r a y _ k e y _ e x i s t s   ( " n a m e " , $ _ G E T )   | |   $ _ G E T [ ' n a m e ' ]   = =   N U L L   | |   $ _ G E T [ ' n a m e ' ]   = =   ' ' ) {         $ i s e m p t y   =   t r u e ;   }   e l s e   {       $ v a l u e   =   $ _ G E T [ ' n a m e ' ] ;       $ h t m l   . =   ' < p r e > ' ;       $ h t m l   . =   " Y o u r   N a m e   i s   :               < d i v   i d = ' a ' > < / d i v >               < s c r i p t >                       d o c u m e n t . g e t E l e m e n t B y I d ( ' a ' ) . i n n e r H T M L =   " . " ' " . h t m l s p e c i a l c h a r s ( $ v a l u e ) . " ' " . " ;               < / s c r i p t >   " ;       $ h t m l   . =   ' < / p r e > ' ;   }   ? > 可 以 看 到 ， $ v a l u e 使 用 了 h t m l s p e c i a l c h a r s 进 行 了 编 码 ， h t m l s p e c i a l c h a r s 会 对 & 、 ’ 、 ” 、 < 、 > 进 行 h t m l 编 码 ， 当 输 入 < i m g   s r c = 1 o n e r r o r = a l e r t ( / x s s / ) > 时 ， 系 统 不 会 弹 框 ， 因 为 特 殊 符 号 被 h t m l 编 码 了 。 我 们 现 在 分 析 下 $ v a l u e 的 环 境 ， $ v a l u e 先 在 j a v a s c r i p t 中 ， 然 后 在 h t m l 环 境 中 ( 通 过 i n n e r H T M L 操 作 h t m l ) ， 所 以 浏 览 器 解 码 顺 序 为 j s 解 码 – > h t m l 解 码 ， 所 以 我 们 可 以 对 $ v a l u e 进 行 j s 编 码 ， 绕 过 h t m l s p e c i a l c h a r s 限 制 ， 因 为 $ v a l u e 在 h t m l 解 码 时 ， 已 经 是 正 常 的 h t m l 代 码 了 。
3 . 3   U R L 编 码 此 外 ， 如 果 & 等 符 号 被 过 滤 的 话 ， 可 以 对 其 进 行 U R L 编 码 ， 然 后 测 试 。 0 × 0 4   T i p s ： ： 1 、 D O M : 只 有 使 用 合 规 的 完 整 闭 合 的 H T M L 区 块 对 每 个 i n n e r H T M L 节 点 进 行 赋 值 ， 因 为 这 样 才 不 会 改 变 被 重 写 段 落 之 外 的 文 档 层 级 结 构 。 如 果 格 式 不 对 ， 在 重 写 发 生 之 前 输 入 的 数 据 会 先 按 照 规 定 的 语 法 进 行 强 制 转 换 。 即 通 过 D O M 操 作 H T M L 时 ， 可 以 使 用 < s c r i p t > a l e r t ( / x s s / ) 来 代 替 < s c r i p t > a l e r t ( / x s s / ) < / s c r i p t > ， 因 为 D O M 会 自 动 补 全 。 2 、 i n n e r H T M L 只 能 使 用 < i m g   s r c = 1 o n e r r o r = a l e r t ( 1 ) > 这 种 方 式 来 触 发 J S 。 而 不 能 以 < s c r i p t > a l e r t ( 1 ) < / s c r i p t > 来 触 发 ， 因 为 这 种 压 根 不 会 执 行 < s c r i p t > . . < / s c r i p t > 之 间 的 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理