A3 跨站脚本攻击 XSS

0x00：审计介绍

对于跨站问题也就是我们常说的存储、反射和 DOM 三种，在挖掘 XSS 上我们一般的思路是查找可能在页面上进行输出的变量，并检查这些变量是否可控，然后跟踪传递过程，查看后端处理是否对接收的内容进行过滤或编码，在前端显示时是否被 htmlencode 之类的函数做过处理。

对于很多系统，不建议过滤特殊字符，一个体验不佳再一个有些系统是有需求可以输入特殊符号的，这时后台可以进行编码处理，例如 asp 的 Server.HTMLEncode，php 的 htmlspecialchars，java 的 org.apache.commons.lang.StringEscapeUtils 等。这里需要注意的是后台如果对收到的内容整体进行编码，例如汉子编码后就会多出很多字节，会浪费空间，建议根据实际情况进行处理，可以只过滤特殊符号这种，同时前台输出时也应用进行转义处理。

0x01：反射跨站示例

这里我们以 php 为例简单的看个例子，就拿我们常说的 bluecms1.6.sp1 为例，存在反射跨站的是根目录的 ad_js.php 文件，其源码如下：

<?php

$ad_id = !empty($_GET['ad_id']) ? trim($_GET['ad_id']) : '';
if(empty($ad_id)){
    echo 'Error!';
    exit();
}
$ad = $db->getone("SELECT * FROM ".table('ad')." WHERE ad_id =".$ad_id);
if($ad['time_set'] == 0){
    $ad_content = $ad['content'];
}else{
    if($ad['end_time'] < time()){
        $ad_content = $ad['exp_content'];
    }else{
        $ad_content = $ad['content'];
    }
}
$ad_content = str_replace('"', '\"',$ad_content);
$ad_content = str_replace("\r", "\\r",$ad_content);
$ad_content = str_replace("\n