XSS--------绕过SOP

原文链接： https://blog.csdn.net/Fly_hps/article/details/85256998

摘要

如今的WEB标准纷繁复杂，在浏览稍大一些的网站时，细心的人会发现网页上呈现的内容并不仅限于网站自身提供的内容，而是来自一堆五花八门的网站的内容的集合。但有谁会想到同源策略在保护着网民们的安全呢？

了解同源策略是十分有必要的，要深入掌握XSS / CSRF等WEB安全漏洞，不了解同源策略就如同盲人摸象一般，无法说出全貌，更无法应用其进行打击。另外,无论是网银盗号，还是隐私泄露，理解了同源策略，就有助于理解自己面临着什么样的威胁。

0x00 什么是源和同源策略

源就是主机，协议，端口名的一个三元组。

同源策略(Same Origin Policy, SOP)是Web应用程序的一种安全模型，它控制了网页中DOM之间的访问。重要的事情说三遍，它只是个模型，而不是标准（哪怕标准在实现的时候也会千差万别）。同源策略被广泛地应用在处理WEB内容的各种客户端上，比如各大浏览器，微软的Silverlight，Adobe的Flash/Acrobat等等。SOP影响范围包括：普通的HTTP请求、XMLHttpRequest、XSLT、XBL。

0x01 如何判断同源

定义：给定一个页面，如果另一个页面使用的协议、端口、主机名都相同，我们则认为两个页面具有相同的源。 举个例子，我们假设需要比对的目标页面来自这个URI: http://sub.eth.space/level/flower.html 

0x02 同源策略究竟限制了什么？

首先，我们要明确同源策略只作用在实现了同源策略的WEB客户端上。 虽然笔者不常用百度，但是我们来看一个具有误导性的结论：百度词条对于同源策略的解释说“只有和目标同源的脚本才会被执行”，这是不对的，同源策略没有禁止脚本的执行，而是禁止读取HTTP回复。 更正了这个概念之后，我们会发现，SOP其实在防止CSRF上作用非常有限，CSRF的请求往往在发送出去的那一瞬间就已经达到了攻击的目的，比如发送了一段敏感数据，或请求了一个具体的功能，是否能读取回复并不那么重要（唯一的作用是可以防止CSRF请求读取异源的授权Token）。 另外，一般静态资源通常不受同源策略限制，如js/css/jpg/png等。

0x03 跨源的网络访问

为什么要起这么拗口的名字：网络访问？因为WEB上资源访问的多样性，不能简单的称之为网络请求。大体看来我们有三种类型：

跨域写，通常被允许，例如链接，重定向和表单提交，一些不常见的HTTP请求方法例如PUT,DELETE等需要先发送预请求（preflight），例如发送OPTIONS来查询可用的方法。

跨域嵌入，通常被允许。

跨域读，通常被禁止，然而，我们可以用其他方法达到读取的效果。

一个经久不衰的BUG

早在2011年，一个用户在Mozilla的Bug追踪系统中就提交了一个issue，声称他可以判定某个网站的访客是否登录了gmail,facebook等等。

嵌入iframe来获取一个访问网站的用户是否登陆了gmail:

   
   
   
   

    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      

       
       
       
       
class=
       
       
       
       "linenums">
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
    
       
       
       
       <li class="L0">
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
        
       
       
       
       <span class="tag">
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <imgspan>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pln"> 
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="atn">style
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pun">=
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="atv">"
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pln">display
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pun">:
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pln">none
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pun">;
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="atv">"
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pln">  
       
       
       
       span>
       
       
       
       li>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <li class="L1">
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pln"> 
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="atn">onload
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pun">=
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="atv">"
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pln">logged_in_to_gmail
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pun">()
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="atv">"
       
       
       
       span>
       
       
       
       li>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <li class="L2">
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pln"> 
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="atn">onerror
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pun">=
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="atv">"
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pln">not_logged_in_to_gmail
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pun">()
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="atv">"
       
       
       
       span>
       
       
       
       li>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <li class="L3">
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pln"> 
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="atn">src
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="pun">=
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <span class="atv">"https://mail.google.com/mail/photos/img/photos/public/AIbEiAIAAABDCKa_hYq24u2WUyILdmNhcmRfcGhvdG8qKDI1ODFkOGViM2I5ZjUwZmZlYjE3MzQ2YmQyMjAzMjFlZTU3NjEzOTYwAZwSCm_MMUDjh599IgoA2muEmEZD"
       
       
       
       span>
       
       
       
       li>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
            
       
       
       
       <li class="L4">
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
        
       
       
       
       <span class="tag">/>
       
       
       
       span>
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      
    
       
       
       
       li>
       
       
       
       ol>
      
      
      
      
     
     
     
     
   
   
   
   
   
   
   
   

src的代码试图访问一张gmail中攻击者上传的图片，如果用户没有登陆gmail，就无法成功加载。从而达到判断用户是否登陆gmail的效果。这种方法可以推广到任何对不应跨源访问的资源没有正确设置同源策略的网站。

0x04 谈谈攻击

作为一个抽象的WEB安全模型，每个处理WEB内容的客户端实现的都不完全一样，这就带来了许多差异点，而差异点的存在就带来了漏洞，正所谓“千里之堤，溃于蚁穴”。

对URI的解析

IP是URI的重要组成部分，如果留心了RFC的人就会知道，IP不止有一种格式。下面的标注形式其实都代表了同一个IP：216.58.209.68，大家可以在浏览器里实验。

   
   
   
   

    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      

       
       
       
       
class=
       
       
       
       "linenums">
      
      
      
      
     
     
     
     
    
    
    
    

     
     
     
     

      
      
      
      

     
     
     
     
     
     
     
     

      
      
      
      

       
       
       
           
class=
       
       
       
       "L0">
      
      
      
      

class= "lit"> 216.58

class= "pun">.

class= "lit"> 53572

class= "L1">class= "lit"> 0xD8