重生之我是赏金猎人(七)-看我如何从FUZZ到XSS在SRC官网偷走你的个人信息

0x00 项目背景

该系列旨在分享自己和团队在SRC、项目实战漏洞测试过程中的有趣案例，如果读者能从本项目习得一些有用的知识，那么笔者将非常荣幸。

该系列首发github：https://github.com/J0o1ey/BountyHunterInChina
本项目由M78sec维护，未经授权，文章严禁私自修改版权转载。

0x01 前奏

前不久在挖掘某SRC时提交漏洞时，偶然在该SRC官网的编辑器发现了一个接口。
起初以为是任意文件包含能RCE了，后来测试发现只是拼接读取了远程资源站的图片，原本都想着放弃了，但是当我在后缀添加了个+号后图片被意外的解析成了HTML⻚面，这不就意味着get到一个存储型XSS？

https://xxx.cn/xxxx/ueditor?image_name=/xxx.png+

接着测试发现拼接图⽚在⼀个⼆级⽬录下，尝试穿越发现存在⾃研WAF，于是Fuzz了下Payload成功Bypass。
#####WAF：

#####Bypass：

/..%252F/

0x02 漏洞利用

1. 利⽤010Editor或copy命令，制作含有恶意代码的图⽚。
   copy tiny.png /b + code.txt /a tiny_code.png
   
2. 通过本站的⽂件上传恶意图⽚，取得⽂件名（之所以⽤png格式是因为jpg会校验是否为正常图⽚）。
3. 由于该SRC官⽹财务打款需要⼿机个⼈信息(姓名，⼿机号，sfz等)，⽽这些信息⽤户⾃⼰是可⻅的。
   我们直接编写了⼀个demo.js⽤于读取受害者个⼈信息，将其部署在XSS平台。
   脚本会通过Ajax请求URL，使⽤DOMParser转换并解析DOM对象，提取⽤户身份证、银⾏卡、⼿机号、地址等信息后合并base64发送到XSS平台，找了团队的⼏个朋友测试OK。
4. 构造跳转⽹站，诱导受害者访问：

这时只要受害者访问该服务，跳转⾄恶意⻚⾯就能获取信息。

0x03 技术点总结

1. Fuzz出接⼝及参数,拼接+号解析成HTML⻚⾯。
2. URL拼接时BypassWAF进⾏⽬录穿越。
3. 使⽤DOMParser转换为DOM对象并提取表单input值，后通过window.btoa函数base64编码字符串。

本文作者： RG