dom xss->半自动化

最新推荐文章于 2024-11-06 22:59:20 发布
最新推荐文章于 2024-11-06 22:59:20 发布
阅读量50 收藏
点赞数
文章标签： xss 前端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43174984/article/details/137284279
版权

　　前几天看了两篇文章，觉得很不错，写一笔，就当笔记记录。

　　第一篇文章:https://jinone.github.io/bugbounty-dom-xss/

　　作者写了自己通过自动化挖dom xss，差不多赚了3w刀左右。他分享了一些不错的漏洞案例。这里很感谢作者，无私分享思路出来，也给大家有了喝口汤的机会。

　　中国需要多一些这样的热爱分享的白帽子，一方面是推动安全测试水位，另一方面是带来更多的思路给他人。看这篇文章，给了我一些启发。在相当内卷的今天，选择适合自己的漏洞挖掘赛道很重要。就像不是人人都适合挖rce，一个道理。

　   第一篇文章的细节点:

　　访问: 

https://example.com/xsspath'%22?xssparam%27%22=xssvalue%27%22#xsshash'%22

　　

结论:

location.search 会对'"编码
location.hash 不会对'编码
location.pathnme 不会对'编码
location.href hash和pathname中的'不会被编码 包含search,hash和pathname

{ 这三个可以跳出单引号
location.href
location.hash
location.pathname 
}

　　因为作者文章中提到有自动化挖掘。这里就调研了下市面上的工具，记录下:

　　通过查看作者写的文章，以及自己对dom xss的理解，简单写下半动化的粗略思路

　　dom xss半自动化简单思路:

{
n个source
n个sink
如果有某个source和某个sink同时存在

疑似dom xss，命中
}

只检索applocation/javascript和text/html

　 关于dom xss的探测，多疑似，那么误报率就会很高。

　缺陷很明显，需要尽可能的收集javascript和javscipt库的source和sink，吃经验，吃规律，需要熟悉一定的规律。

　工具1:Dom Invader 可以用于检测dom xss和postMessage xss

　　

 　　检测postmessage+dom xss配置如下:

　　　

　　和写dom xss的作者聊过一些，这款工具，检测dom xss很不错

　　关于这个插件的学习教程:

https://www.youtube.com/watch?v=Wd2R47czzO0&t=156s
https://portswigger.net/blog/introducing-dom-

　　这里简单提一嘴，burpsuite很多插件，挖洞使用很方便，有空的话，我讲下burpsuite上一些很好的辅助挖洞神器。

　　这个工具我就一笔带过，他不是本文的重点，本文的重点是另一个工具:

　　重点检测工具:semgrep

　　semgrep? what?　

A fast, open-source, static analysis tool for profoundly improving software security and reliability.
一种快速、开源、静态分析工具，可显著提高软件的安全性和可靠性。
我认为它就是grep命令的升级版，更加的强大。

　　优势:

1.支持本地，命令行运行，很方便
2.支持在线网站上创建和导入/新增规则
3.支持批量检测，无需对代码进行编译

　　什么场景下使用他们?

1.大量的代码，进行安全缺陷审查
2.漏洞挖掘，web代码审计
3.支持纯文本代码识别和污点跟踪
4.src/众测 部分代码需要
5.发现某个漏洞特征，使用semgrep事半功倍

　安装:

三种安装方式
# Using Homebrew
$ brew upgrade semgrep

# Using pip
$ python3 -m pip install --upgrade semgrep

# Using Docker
$ docker pull returntocorp/semgrep:latest

　这里我使用的是第二种，pip安装。

　referer: https://github.com/returntocorp/semgrep

　semgrep基础使用:

　1.命令行cl使用　

semgrep --pattern '127.$A.$B.$C' --lang generic /etc/hosts

#lang 是指定某种类型
参考:https://semgrep.dev/docs/supported-languages/ 很详细

　

参考:https://semgrep.dev/docs/getting-started/

—pattern是一种匹配模式。但是更推荐的是导入yaml，对某段代码/某个项目进行运行漏洞规则文件:

　漏洞yaml规则库大全 用于学习编写规则:

https://github.com/returntocorp/semgrep-rules
https://semgrep.dev/playground/new?editorMode=advanced

　涉及到的语言众多

　　

　　污点跟踪 这个适合漏洞挖掘，半自动化:

　　污点跟踪演示教程:https://semgrep.dev/docs/writing-rules/data-flow/taint-mode/

　　使用污点跟踪半动化检测dom xss:

rules:
  - id: domxss-insertAdjacentHTML
    languages:
      - javascript
      - typescript
    message: Found dangerous HTML output
    mode: taint
    pattern-sources:
      - pattern: document.location.href
      - pattern: document.location
      - pattern: window.location
      - pattern: window.location.href
    pattern-sinks:
      - pattern: $X.insertAdjacentHTML(...)
      - pattern: $X.innerHTML(...)
      - pattern: $X.innerHTML = ...
    severity: WARNING

　不想聊规则细节，我说下这段yaml哪里来的。

　参考:https://netsec.expert/posts/automating-dom-xss/

　一定要看，这篇文章作者是谷歌的一位安全工程师，这是他写的规则。

　他还写了一个辅助工具，用于爬虫网站上的js:https://github.com/the-xentropy/dump-scripts/blob/main/dump-scripts.py

　

　　

　　然后调用semgrep批量检测script目录里的js。

　　这个规则，会漏掉很多dom xss，这里简单调研了下，source和sink非常多，这里只总结了一些常见的，整合了前面的几位作者的思路和官方规则:

　　总结了下用于检测js open redirect_url和其他类型的dom xss规则:

rules:
  - id: dom_xss
    message: dom_xss
    metadata:
      cwe:
        - "dom_xss"
      owasp:
        - A03:2021 - Injection
      asvs:
        section: V5 Validation, Sanitization and Encoding
        control_id: 5.2.4 Dynamic Code Execution Features
        control_url: https://github.com/OWASP/ASVS/blob/master/4.0/en/0x13-V5-Validation-Sanitization-Encoding.md#v52-sanitization-and-sandboxing
        version: "4"
      category: security
      technology:
        - browser
      subcategory:
        - audit
      likelihood: LOW
      impact: MEDIUM
      confidence: LOW
      references:
        - https://owasp.org/Top10/A03_2021-Injection
      license: Commons Clause License Condition v1.0[LGPL-2.1-only]
    languages:
      - javascript
      - typescript
    severity: WARNING
    mode: taint
    pattern-sources:
      - patterns:
          - pattern-inside: |
              url.split('...')
      - patterns:
          - pattern-inside: |
              getURLParameter('...')
      - patterns:
          - pattern-inside: |
              $PROPS.get('...')
      - patterns:
          - pattern-inside: |
              getUrlParameter('...')
      - patterns:
          - pattern-inside: |
              GetQueryString('...')
      - patterns:
          - pattern-inside: |
              $PROPS.get('...')
      - patterns:
          - pattern-inside: |
              $PROPS.split("...")
      - patterns:
          - pattern-either:
              - pattern-inside: >
                  $PROP = new URLSearchParams($WINDOW. ...
                  .location.search).get('...')

                  ...
              - pattern-inside: |
                  $PROP = new URLSearchParams(location.search).get('...')
                  ...
              - pattern-inside: >
                  $PROP = new URLSearchParams($WINDOW. ...
                  .location.hash.substring(1)).get('...')

                  ...
              - pattern-inside: >
                  $PROP = new
                  URLSearchParams(location.hash.substring(1)).get('...')

                  ...     
              - pattern-inside: | 
                  $PROP = window.location.search.substr(1).match(...)  

                  ...
          - pattern: $PROP
      - patterns:
          - pattern-either:
              - pattern-inside: |
                  $PROPS = new URLSearchParams($WINDOW. ... .location.search)
                  ...
              - pattern-inside: |
                  $PROPS = new URLSearchParams(location.search)
                  ...
              - pattern-inside: >
                  $PROPS = new URLSearchParams($WINDOW. ...
                  .location.hash.substring(1))

                  ...
              - pattern-inside: |
                  $PROPS = new URLSearchParams(location.hash.substring(1))
                  ...
          - pattern: $PROPS.get('...')
      - patterns:
          - pattern-either:
              - pattern-inside: |
                  $PROPS = new URL($WINDOW. ... .location.href)
                  ...
              - pattern-inside: |
                  $PROPS = new URL(location.href)
                  ...
          - pattern: $PROPS.searchParams.get('...')
      - patterns:
          - pattern-either:
              - pattern-inside: >
                  $PROPS = new URL($WINDOW. ...
                  .location.href).searchParams.get('...')

                  ...
              - pattern-inside: |
                  $PROPS = new URL(location.href).searchParams.get('...')
                  ...
          - pattern: $PROPS

    pattern-sinks:
      - patterns:
          - pattern-either:
              - pattern: $WINDOW. ... .location.href = $SINK
              - pattern: $WINDOW. ... .location = $SINK
              - pattern: location.href = $SINK
              - pattern: $THIS. ... .location.href = $SINK
              - pattern: $THIS. ... .location.replace($SINK)
              - pattern: $WINDOW. ... .replace($SINK)
              - pattern: $PROPS.replace($SINK)
              - pattern: $X.insertAdjacentHTML($SINK)
              - pattern: $X.innerHTML($SINK)
              - pattern: $X.innerHTML = $SINK
              - pattern: $X.innerHTML += $SINK
              - pattern: $X.prepend($SINK)
              - pattern: $X.prepend("..."+$SINK)
              - pattern: $X.append($SINK)
              - pattern: $X.append("..."+$SINK)
              - pattern: $X.before($SINK)
              - pattern: $X.before("..."+$SINK)
              - pattern: $X.after($SINK)
              - pattern: $X.after("..."+$SINK)
              - pattern: $X.html($SINK)
              - pattern: $X.html("..."+$SINK)
              
          - metavariable-pattern:
              patterns:
                - pattern-not: |
                    "..." + $VALUE
                - pattern-not: |
                    `...${$VALUE}`
              metavariable: $SINK

　  如何实战利用?

　　使用一个漏洞规则批量检测多个项目:

　

 　　使用多个规则检测多个项目:

semgrep -c rules/  jstest/*

　　

　　对于semgrep，我并不陌生。早在今年log4j2漏洞刚爆发的时候，我们团队内部就使用了semgrep编写log4j2规则去批量检测，效果很好。　

　　工具很强大，写好匹配规则即可。语言都是次要的，主要是要多收集source和sink。剩下的就是套娃~~ 

此页面的语言为英语
翻译为中文(简体)
  • 中文(简体)
  • 中文(繁体)
  • 丹麦语
  • 乌克兰语
  • 乌尔都语
  • 亚美尼亚语
  • 俄语
  • 保加利亚语
  • 克罗地亚语
  • 冰岛语
  • 加泰罗尼亚语
  • 匈牙利语
  • 卡纳达语
  • 印地语
  • 印尼语
  • 古吉拉特语
  • 哈萨克语
  • 土耳其语
  • 威尔士语
  • 孟加拉语
  • 尼泊尔语
  • 布尔语(南非荷兰语)
  • 希伯来语
  • 希腊语
  • 库尔德语
  • 德语
  • 意大利语
  • 拉脱维亚语
  • 挪威语
  • 捷克语
  • 斯洛伐克语
  • 斯洛文尼亚语
  • 旁遮普语
  • 日语
  • 普什图语
  • 毛利语
  • 法语
  • 波兰语
  • 波斯语
  • 泰卢固语
  • 泰米尔语
  • 泰语
  • 海地克里奥尔语
  • 爱沙尼亚语
  • 瑞典语
  • 立陶宛语
  • 缅甸语
  • 罗马尼亚语
  • 老挝语
  • 芬兰语
  • 英语
  • 荷兰语
  • 萨摩亚语
  • 葡萄牙语
  • 西班牙语
  • 越南语
  • 阿塞拜疆语
  • 阿姆哈拉语
  • 阿尔巴尼亚语
  • 阿拉伯语
  • 韩语
  • 马尔加什语
  • 马拉地语
  • 马拉雅拉姆语
  • 马来语
  • 马耳他语
  • 高棉语
玲珑安全
关注
渗透测试 2 --- XSS、CSRF、文件上传、文件包含、反序列化漏洞
墨鱼菜鸡
07-11 3270
1、渗透测试 实用 浏览器插件 chrome、edge 插件：搜索 cookie，安装 cookie editor，打开插件，可以 导出 cookie HackBar ：Hackbar是网络安全学习者常备的工具 (https://www.fujieace.com/hacker/tools/hackbar.html )。 ​解决Firefox插件-H...
xss 笔记
LAngle9的博客
03-24 591
1，xss ： 因为和css 冲突，改名字是xss,属于客户端攻击，网站管理员也是用户，攻击者盗取管理员的cookie，靠管理员身份作为“跳板”进行实施攻击。 XSS攻击最终目的是在网页中嵌入客户端恶意脚本代码，最常用的攻击代码是javascript语言，但也会使用其它的脚本语言 j avascript语言：是跨平台的，在jsp,php,asp,aspx,都可以使用 xss 用的脚本是可以构造的，有两千多种方法，要记者常用的函数就行 script, alert, img src 1.2 XS.
绕过WAF的XSS语句
focus on security
02-25 2289
吐血整理转载请说明。 原文收集于OWASPXSS_Filter_Evasion_Cheat_Sheet https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet http://ha.ckers.org/xss.html 正文： XSS JavaScript injection: <SCRIPT SRC=ht...
渗透测试 ( 0 ) --- XSS、CSRF、文件上传、文件包含、反序列化漏洞
freeking101的博客
06-12 4124
渗透测试 --- http协议、XSS、CSRF、文件上传、文件包含、反序列化漏洞
一文掌握XSS
Jeromeyoung
01-02 863
XSS跨站脚本攻击 1、什么叫跨站脚本攻击？ 即：给一个网站插入脚本攻击代码，当浏览的人访问这个网站，那么浏览的人就中招了 2、XSS跨站脚本攻击的原理 自理解原理：通常将js攻击代码插入网站的页面，当肉鸡访问这个网站页面的时候就会中招。（主要属于客户端攻击，但是管理员也是肉鸡，那么就也能进行服务端攻击，即攻击对象变成管理员然后传马窃取整个站点） 正规原理：XSS(Cross Site Scripting)是指攻击者在网页中嵌入客户端脚本攻击代码，通常是JavaScript编写的危险代码，用户使用
XSS漏洞
qq_46429177的博客
01-15 618
XSS漏洞介绍和分类 介绍 跨站脚本攻击XSS(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。XSS攻击针对的是用户层面的攻击！ XSS分类 反射型（非持久型）： 攻击者事先制作好攻击链接, 需要欺骗用户自己去点击链接才能触发漏洞。 存储型（持久型）：
基于Gadgets绕过XSS防御机制
bylfsj的博客
10-31 636
<p></p><p>这篇文章是之前对CCS 2018 <code>Code-Reuse Attacks for the Web Breaking Cross-Site Scripting Mitigations via Script Gadgets</code> 的阅读笔记，最近整理资料发现放了挺久，于是...
XSS扫描系统原理
热门推荐
xysoul的专栏
04-21 1万+
那个broken web application 后续会慢慢研究的。。。先把工作任务完成。。 工作任务1：搜索类似演示网站 http://code.google.com/p/websecurify/wiki/DemoSites 工作任务2：检索XSS自动化扫描工具，开源，了解检测原理 ===============================================
全面掌握XSS攻击与防御的实践平台源码
weixin_42591908的博客
10-07 962
本文还有配套的精品资源，点击获取 简介：XSS攻击是一种网络安全漏洞，允许在用户浏览器执行恶意脚本。该源码包提供了一个学习和研究XSS攻击的测试平台，涵盖了存储型、反射型和DOM型三种XSS攻击类型。平台不仅展示了XSS攻击示例，还提供了相应的防御策略。通过平台的学习，开发者能掌握创建和利用XSS漏洞的技术，并学会如何加固Web应用防御XSS攻击。同时，该平台介绍了XSS漏...
xss-labs-master.rar
05-09
"xss-labs-master.rar" 提供了一个针对XSS漏洞的专项练习平台，旨在帮助初学者及安全爱好者提升对XSS攻击的理解和防御能力。这个靶机资源共分为二十个关卡，由浅入深，逐步引导用户掌握XSS攻防的核心技巧。 一、XSS...
xss-labs-master.zip（xss注入通关游戏/靶场）
03-21
`xss-labs-master.zip`包含了一个专门用于学习和实践XSS注入的通关游戏或靶场，对于网络安全测试人员来说，这是一个极好的学习资源。 **XSS分类** 1. **存储型XSS**：也称为持久型XSS，攻击者将恶意脚本存入服务器...
xss-labs-master源码
07-06
"xss-labs-master"是一个专门设计的靶场，包含了20个级别的XSS练习，旨在帮助学习者深入理解和掌握XSS攻击的原理、类型以及防御策略。通过逐步解决这些精心设计的挑战，我们可以逐步提升对XSS攻击的理解，并提升安全...
xss-filter-spring-boot-starter:springboot自动xss
05-17
<artifactId>xss-filter-spring-boot-starter</artifactId> <version>0.0.1</version> </dependency> 目前支持3种入参数xss过滤 @RequestMapping("/test1") public String test1(String name) { log.error("name...
Static-DOM-XSS-Scanner:静态DOM XSS扫描仪是一种用python编写的静态分析工具，它将遍历给定目录下的所有JavaScript和HTML文件，并列出所有可能导致DOM XSS的来源和接收器。 扫描结束时，该工具将生成一个HTML报告-python source file
03-25
静态DOM-XSS-Scanner 静态DOM XSS扫描仪是一种用python编写的静态分析工具，它将遍历给定目录下的所有JavaScript和HTML文件，并列出所有可能导致DOM XSS的来源和接收器。 扫描结束时，该工具将生成一个HTML报告。
【SpringBoot】使用注解进行XSS防御
morris
11-06 257
在Spring Boot中，我们可以使用注解的方式来进行XSS防御。注解是一种轻量级的防御手段，它可以在方法或字段级别对输入进行校验，从而防止XSS攻击。
#渗透测试#SRC漏洞挖掘#XSS跨站脚本介绍02绕过
soc的博客
11-03 1202
免责声明 本教程仅为合法的教学目的而准备，严禁用于任何形式的违法犯罪活动及其他商业行为，在使用本教程前，您应确保该行为符合当地的法律法规，继续阅读即表示您需自行承担所有操作的后果，如有异议，请立即停止本文章阅读。
【dvwa靶场：XSS系列】XSS (Reflected)低-中-高级别，通关啦
m0_47484034的博客
11-05 186
【dvwa靶场：XSS系列】XSS (Reflected)低-中-高级别，通关啦
【SpringBoot】Xss的常见攻击方式与防御手段
morris
11-06 581
跨站脚本攻击（Cross-Site Scripting，简称XSS）是一种常见的安全漏洞，攻击者通过在网页中注入恶意脚本，使得其他用户在浏览该网页时执行这些脚本，从而窃取敏感信息、劫持会话或进行其他恶意操作。在Java Web应用中，XSS攻击同样是一个需要重视的安全问题。XSS攻击是指攻击者在Web页面的输入数据中插入恶意脚本，当其他用户浏览该页面时，这些脚本就会在用户的浏览器上执行。
ctfshow(316)--XSS漏洞--反射性XSS
最新发布
m0_56019217的博客
11-06 331
当前页面的cookie是flag=you%20are%20not%20admin%20no%20flag。但是这里我使用XSS平台，显示的cookie还是这样，并不能得到flag。首先想到利用XSS平台解题，看其他师傅的wp提示flag是在cookie中。于是我们使用稳定性更高的方法：写js代码将cookie传到自己的服务器上。查看自己服务器中的cookie.txt文件，得到flag。显示是关于反射性XSS的题目。提交之后成功跳转到自己的网页。
ui->lineEdit_XSS->text()把得到的文本转为int型
09-12
QString text = ui->lineEdit_XSS->text(); // 使用toInt方法尝试将文本转换为int型 // 参数1：转换后的整数值，如果转换失败则为默认值0 // 参数2：转换失败时返回的布尔值，如果转换成功则为true，失败则为false ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值