一次小破站JS代码审计出XSS漏洞思路学习

VIP文章 RDrug

于 2023-03-22 03:12:10 发布

阅读量1.4k

点赞数 3

分类专栏：学习笔记文章标签： javascript xss 学习

本文链接：https://blog.csdn.net/ElsonHY/article/details/129701265

版权

今天看了小破站一个大佬的分析，感觉思路很有意思，感兴趣的xdm可以到大佬视频下提供的链接进行测试（传送门）这类社交平台的XSS漏洞利用起来其实危害是特别大的，利用XSS能在社交平台上呈现蠕虫式的扩散，大部分资产其实很容易存在这样的问题，也是一种挖高危的好思路。
由于up主视频分析比较概括，自己吧源码拉下来再研究和复现一遍，加深印象。
最后，JS看来还是得再学一下，学的东西都还给老师了qaq，代码还是理解得不透彻，不过暂且记录下来，有什么问题欢迎各路大佬来指正。

一、私信功能JS的部分代码：

<script>
function test(){
   
    var any_url = 'https?:\\/\\/(www\\.)?[-a-zA-Z0-9@:%._\\+~#=]{1,256}\\.[a-zA-Z0-9()]{1,6}\\b([-a-zA-Z0-9()@:%_\\+.~#?&//=]*)|bilibili://[\\w!@#$&\\*=\\./?~_%\\-]*';
    var white_list = JSON.parse('["^https?://[-A-Za-z0-9.]*(bilibili.com|biligame.com|acg.tv|b23.tv|(bili2233|bili23|bili33|bili22).cn|dl.hdslb.com)(/[A-Za-z0-9!@#$&\\\\*=\\\\./?~_%\\\\-]*)*$","^bilibili://[\\\\w!@#$&\\\\*=\\\\./?~_%\\\\-]*"]');
    var msgRegex = {
   
        any_url:any_url,
        white_list:white_list,
        black_list:[]
    }
    var g = null;
    var p = document.getElementById("in").value;
     //sort((function(t, e){})是比值函数结合sort()函数以字符长度大到小排序，具体解释：https://blog.51cto.com/u_15076212/4265209
    var m, f, h = new RegExp(any_url,"g"), g