Stage #14 XSS注入：利用CSS内联注释突破防御

在Web安全的世界里，跨站脚本攻击（XSS）是一种经久不衰的攻击手段。随着Web应用对XSS的防御越来越强，攻击者必须更加巧妙地寻找新的注入途径。本文将探讨一种利用CSS层叠样式表中的内联注释进行XSS注入的技术。

实验环境与目标

本实验使用IETester工具模拟IE10浏览器环境，目标是学习如何在CSS中使用内联注释绕过XSS防护措施。

CSS与XSS注入基础

CSS样式表通常用于控制网页的视觉表现。然而，CSS中的某些特性，如expressions（表达式），可以被用来执行JavaScript代码。

实验步骤

1. 打开IETester中的IE10：启动IETester并选择IE10浏览器。
2. 访问实验页面：输入Stage #14的网址开始实验。

CSS内联注释与expressions

在CSS中，内联注释使用/* ... */格式，它们可以出现在选择器、属性和属性值中。

构建Payload

由于实验页面过滤了某些关键字，我们需要构造一个能够绕过滤的payload。使用CSS注释和expressions结合，如下所示：

xuegod:expr/**/ession(alert(document.domain));

这个payload利用CSS注释隐藏expressions，以绕过简单的关键字过滤。

实验操作

1. 输入恶意CSS：在实验页面的输入框中输入上述payload。
2. 执行XSS注入：提交表单查看XSS注入效果。

实验结果

预期结果是，当页面加载时，payload中的JavaScript代码被执行，成功弹出包含文档域名的警告框。

避免连续弹窗

由于CSS expressions可能在每次页面重绘时多次执行代码。

改进Payload

为了避免连续弹窗，可以修改payload以确保代码只执行一次：

xuegod:expres/**/sion(if(!window.x){alert(document.domain);window.x=1;})

这里使用了一个简单的条件判断，确保弹窗只弹出一次。

安全建议

本文介绍的技术仅供学习和测试使用，切勿用于非法攻击。

结论

通过Stage #14的实验，我们学习了如何利用CSS内联注释和expressions进行XSS注入，以及如何避免注入代码的连续执行。