xss 利用"data:"来xss许多把"javascript:"关键字进行了过滤

http://hi.baidu.com/badzzzz/item/bdbafe83144619c199255f7b?qq-pf-to=pcqq.c2c

XSS with Data URI Scheme

以前一个机缘巧合，写过《利用data:进行XSS测试》，当时发现可以利用"data:"来xss许多把"javascript:"关键字进行了过滤的页面。

今晚又一个机缘巧合，重新接触到了data uri scheme，做了一些测试。这些测试都是基于Chrome和FireFox进行的。IE对data uri scheme

有严格的限制，没啥搞头的。

HTML中支持标签属性内嵌入data uri scheme的有：

object   iframe   anchor  img 等。（欢迎大家补充）

但是img的src属性赋值为data:形式是不允许执行js的，但可载入远程图片，如wikipedia中举例：

<img src="data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAoAAAAKCAYAAACNMs+9AAAABGdBTUEAALGPC/xhBQA

AAAlwSFlzAAALEwAACxMBAJqcGAAAAAd0SU1FB9YGARc5KB0XV+IAAAAddEVYdENvbW1lbnQAQ3JlYXRlZCB3aXRoIFRoZSBH

SU1Q72QlbgAAAF1JREFUGNO9zL0NglAAxPEfdLTs4BZM4DIO4C7OwQg2JoQ9LE1exdlYvBBeZ7jqch9//q1uH4TLzw4d6+ErXMM

cXuHWxId3KOETnnXXV6MJpcq2MLaI97CER3N0vr4MkhoXe0rZigAAAABJRU5ErkJggg==" alt="Red dot"/>

而object的data属性及iframe的src属性均可用于执行js：

<iframe src="data:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg=="></iframe>

其实这些都是跟javascript类似的，不赘述。在这个基础上考虑利用的话，可以利用data来bypass一些过滤了javascript的网站。

重点来了，在渲染data:的时候，chrome和firefox采用了不同的处理方式

chrome认为data:是属于空白域的，而firefox认为data:是属于来源域的。

http://localhost/t.html

<a href="data:text/html;base64,PHNjcmlwdD5hbGVydChkb2N1bWVudC5kb21haW4pPC9zY3JpcHQ+">test<a>

‍

‍‍

这就带来一个很有意思的问题了：也就是说，ff让data:所在域继承了他的来源域，导致了xss的隐患，给xss提供了机会。

考古发现，早在2004年就有人给firefox上报过这个问题，并在以后的许多年有许多人report过这个问题，但是firefox始终未进行修补。

百度空间发表文章处，对超链接<a>标签的href属性过滤了javascript关键字，但是并没有考虑到data uri scheme，利用这个特性，我们就可

以搞出一个click xss来了。

d4rkwind说，他之前就是测试data uri scheme的时候副产出了mhtml的跨域问题来的。哈，有意思。

如何更深层次地在利用data:及如何把data uri scheme放到css中去xss，欢迎大家讨论

update: 通过虚虚的留言，发现“跨域”这个描述确实不对。我想Y了，已更改。灰常感谢kxlzx指正！