Web安全学习笔记 XSS漏洞分析下
Web安全学习笔记 XSS下
玲珑骰子安红豆，入骨相思知不知。 ——温庭筠《新添声杨柳枝词》
- WAF Bypass
- 技巧
- Payload
- 持久化
- 参考链接
Part1一.WAF Bypass
1WAF 绕过
利用<>标记
利用html属性
href
lowsrc
bgsound
background
value
action
dynsrc
关键字
利用回车拆分
字符串拼接
window["al" + "ert"]
利用编码绕过
base64
jsfuck
String.fromCharCode
HTML
URL
hex
window["\x61\x6c\x65\x72\x74"]
unicode
utf7
+ADw-script+AD4-alert('XSS')+ADsAPA-/script+AD4-
utf16
大小写混淆
对标签属性值转码
产生事件
css跨站解析
长度限制bypass
eval(name)
eval(hash)
import
$.getScript
$.get
.
使用 。 绕过IP/域名
document['cookie'] 绕过属性取值
过滤引号用 `` `` 绕过`
Part2二. 技巧
2内容索引:
1.httponly
1.在cookie为httponly的情况下
可以通过xss直接在源站完成操作
不直接获取cookie
2.在有登录操作的情况下
部分站点直接发送登录请求可能会带有cookie
3.部分特定版本的浏览器可能
会在httponly支持/处理上存在问题
4.低版本浏览器支持 TRACE / TRACK
可获取敏感的header字段
5.phpinfo 等页面可能会回显信息
这些信息中包含http头
6.通过xss劫持页面钓鱼
7.通过xss伪造oauth等授权请求
远程登录
2.CSS 注入
1. 基本介绍
CSS注入最早开始于利用CSS中的 expression() url() regex() 等函数或特性来引入外部的恶意代码，但是随着浏览器的发展，这种方式被逐渐禁用，与此同时，出现了一些新的攻击方式。
2. CSS selectors
"http://example.com" id="form2">
type="text" id="secret" name="secret" value="abc">
上图是利用CSS selectors完成攻击的一个示例
3. Abusing Unicode Range
当可以插入CSS的时候，可以使用 font-face 配合 unicode-range 获取目标网页对应字符集。PoC如下
"sensitive-information">AB
当字符较多时，则可以结合 ::first-line 等CSS属性缩小范围，以获取更精确的内容
3. Bypass Via Script Gadgets
3.1. 简介
一些网站会使用白名单或者一些基于DOM的防御方式，对这些方式，有一种被称为 Code Reuse 的攻击方式可以绕过。该方式和二进制攻防中的Gadget相似，使用目标中的合法代码来达到绕过防御措施的目的。
在论文 Code-Reuse Attacks for the Web: Breaking Cross-Site Scripting Mitigations via Script Gadgets 中有该方法的具体描述。
portswigger的一篇博文也表达了类似的想法
https://portswigger.net/blog/abusing-javascript-frameworks-to-bypass-xss-mitigations。
下面有一个简单的例子，这个例子使用了 DOMPurify 来加固，但是因为引入了 jquery.mobile.js 导致可以被攻击。
3.2. 例子
// index.php
<?php
$msg = $_GET['message'];
$msg = str_replace("\n", "", $msg);
$msg = base64_encode($msg);
?>
"en">
"UTF-8">
Preview
type="text/javascript" src="purify.js">
type="text/javascript" src="jquery.js">
type="text/javascript" src="jquery.mobile.js">
type="text/javascript">
var d= atob('<?php echo $msg; ?>');
var cleanvar = DOMPurify.sanitize(d);
document.write(cleanvar);