XSS漏洞之PDF生成：从XSS到服务端任意文件读取

一、 XSS漏洞前言

XSS是最为常见的Web漏洞之一，多年来连续入选OWASP TOP5，相信大家都耳熟能详。

它是一种代码注入类的攻击，是一种客户端侧的攻击，攻击者通过在Web应用中注入恶意JavaScript代码，通过点击URL，最终在受害者浏览器端执行的一种漏洞。主要有反射型XSS、存储型XSS、基于DOM的XSS三类。XSS一些比较常规的危害大概有：重定向浏览器、窃取Cookie、浏览器劫持等。本文章侧重于发现XSS后的进一步利用。

主要介绍在某次实际测试过程中，发现XSS漏洞之后，如何进一步的利用，最终通过XSS达到服务端任意文件读取的危害。

二、 XSS漏洞详情

在某个Web站点中，发现了一处可以让我们下载PDF的功能，大概的URL如下：

 https://xxx.com/pay/downloadStatements?Id=xxxx&utrnumber=testxyz&date=2020-08-17

测试过程中发现，URL中的utrnumber字段的值在PDF文件中被渲染，所以尝试用类似**"><s>aaa这样的html代码来当做该字段的值，也就是如下的URL

 https://xxx.com/pay/downloadStatements?Id=xxxx&utrnumber="><s>aaa&date=2020-08-17

访问该URL，打开获取到的PDF文件，发现"><s>aaa被当做HTML渲染&#x