Yaklang XSS 检测启发式算法（被动扫描插件）

万天峰

已于 2023-10-11 17:40:06 修改

阅读量510

点赞数

分类专栏：安全 web安全网络安全文章标签： xss 启发式算法 javascript

于 2023-02-17 15:58:31 首次发布

本文链接：https://blog.csdn.net/text2204/article/details/129088816

版权

本文介绍了基于Yaklang的XSS检测插件开发，利用启发式算法进行被动扫描。通过判断回显位置、生成对应payload、过滤检测和并发测试，实现对反射型XSS的检测。文中展示了插件在pentesterlab XSS靶场的测试情况，讨论了其局限性，如无法检测DOM型XSS和部分特殊位置的XSS。

摘要由CSDN通过智能技术生成

背景

上一篇介绍了XSS 启发式检测基础设施，本篇通过yak提供的基础设施编写一个xss检测插件。

本次xss靶场使用pentesterlab的xss靶场。

点击此处即可领取282G网络安全零基础学习资料

环境部署

git clone https://github.com/yaklang/vulinone
cd php-web-for-pentester
docker-compose up -d

编写思路

参考上一期XSS 启发式检测基础设施中的思维导图:

为了实现启发式漏洞检测，需要对目标环境进行检测：

检测目标过滤了哪些字符、语句，过滤掉受过滤影响的payload，减少无效发包。
检测哪个参数在html有回显、回显位置。
猜测目标生成html方式，模板生成？还是后端拼接的html？

所以我们的思路可以大致形成这样的思维导图:

判断回显位置

这里先生成随机数，然后进行fuzz，最后使用xhtml.Find方法找到字符串的回显位置。

randStr = str.RandStr(5)
respChannel, err = param.Fuzz(randStr).Exec()
die(err)
rssp = <-respChannel
rawBody, err = str.ExtractBodyFromHTTPResponseRaw(rssp.ResponseRaw)
die(err)
matchNodes = xhtml.Find(rawBody, randStr)

根据回显位置分类并生成对应payload

这里我们简单地将回显位置分为四类，对于不同类型我们构造不同的payload。

1.(tag)标签内文本: 构造标签闭合
2.(attr)属性: 构造标签闭合或伪协议,如果是特殊属性可以直接使用javascript代码
3.(comment)注释：构造标签闭合
4.(js)script 标签内：构造标签闭合或dom型

示例代码如下：

我们可以看到node中有许多方便的方法可以很简单地获取这个节点的详细信息，如节点类型(Text,Comment,Attr等)，节点标签名。

根据获取到的信息我们可以来将回显分类并生成对应的payload，这里还有一些特殊的处理，比如判断回显是否在引号内，判断是否是特殊属性等。

payloads = []

for _, matchNode = range matchNodes {

    if matchNode.IsText() {
        /* 
        4. script标签内
        例：<script>a = '<参数>';</script> 
        */
        if matchNode.TagName == "script" {
            // 引号判断
            matchText = matchNode.MatchText
            randStrIndex = str.Index(matchNode.MatchText, randStr)
            quote = ""
            for {
                randStrIndex -= 1
                if randStrIndex < 0{
                    break
                }
                chr = string(matchText[randStrIndex])
                if chr == "=" {
                    break
                } elif chr == "\"" {
                    quote = "\""
                }elif chr == "'" {
                    quote = "'"
                }
            }

            payloads = append(payloads, newPayload(sprintf("1%s;prompt('%s');%s", quote, verifyRandStr, quote), ";"+quote, "js"))

            payloads = append(payloads, newPayload(sprintf("1%s;</%s><img id='%s' src=1 onerror='prompt(1)'><%s>%s", quote, matchNode.TagName, verifyRandStr, matchNode.TagName, quote), "<>"+quote, "tag"))
        } else {
            /*
            1.标签内文本: 构造标签闭合
            例：<div><参数></div>
            */