8 l( Y4 z% I9 m, v( {* k XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。而本文主要讲的是利用XSS得到目标服务器的shell。技术虽然是老技术，但是其思路希望对大家有帮助。 $ B6 \3 o; A3 M7 H" w* j& `2 W' U 8 [6 ]/ y% W. M/ N& k/ L 如何寻找XSS漏洞 8 z& V5 P2 @: p0 `1 E. _2 Y7 e3 Q5 _ # X$ L! l- [% j2 k7 P) X 就个人而言，我把XSS攻击分成两类，一类是来自内部的攻击，主要指的是利用程序自身的漏洞，构造跨站语句，如:dvbbs的showerror.asp存在的跨站漏洞。另一类则是来来自外部的攻击，主要指的自己构造XSS跨站漏洞网页或者寻找非目标机以外的有跨站漏洞的网页。如当我们要渗透一个站点，我们自己构造一个有跨站漏洞的网页，然后构造跨站语句，通过结合其它技术，如社会工程学等，欺骗目标服务器的管理员打开。 3 P2 `& ~6 j. b1 X5 v! I6 v8 _* n2 G( [
然后利用下面的技术得到一个shell.- `; s" z+ X% [
# c+ g* [/ O1 _4 U$ ?* ~- x& l
如何利用 8 t6 d4 v( \" U% M/ L. u" |1 l1 ^$ j* P
传统的跨站利用方式一般都是攻击者先构造一个跨站网页，然后在另一空间里放一个收集cookie的页面，接着结合其它技术让用户打开跨站页面以盗取用户的cookie，以便进一步的攻击。个人认为这种方式太过于落后，对于弊端大家可能都知道，因为即便你收集到了cookie你也未必能进一步渗透进去，多数的cookie里面的密码都是经过加密的，如果想要cookie欺骗的话，同样也要受到其它的条件的限约。而本文提出的另一种思路，则从一定程度上解决上述的问题。对于个人而言，比较成熟的方法是通过跨站构造一个表单，表单的内容则为利用程序的备份功能或者加管理员等功能得到一个高权限。下面我将详细的介绍这种技术。( I5 `- a" X* h! n* p0 R, ?
9 T/ k+ L; ^( Q
二、来自内部的跨站攻击 2 d1 r0 P. @2 I/ a ! P5 g7 k/ W* X/ e6 z 寻找跨站漏洞$ n5 o1 S$ o- J( l" r
: P& A* z# w! Q9 D 如果有代码的话比较好办，我们主要看代码里对用户输入的地方和变量有没有做长度和对”<”,”>”,”;”,”’”等字符是否做过滤。还有要注意的是对于标签的闭合，像测试QQ群跨站漏洞的时候，你在标题处输入<script>alert(‘test’)</script>，代码是不会被执行的，因为在源代码里，有其它的标签未闭合，如少了一个</script>，这个时候，你只要闭合一个</script>，代码就会执行，如：你在标题处输入</script><script>alert(‘test’)</script>，这样就可以弹出一个test的框。% H% \ z2 I/ ]6 d
8 m; P3 p+ m# @
如何利用& l" y. m F' N- m' ]* ]5 w
* h c' n, q! \; ? 我先以BBSXP为例，过程已做成动画，详情可见光盘中的动画。我举BBSXP中其中两个比较好用的跨站漏洞点为例.' a, ]$ S6 j$ p) \. ?8 N
( G$ m: r2 U8 g3 b5 x7 E; M0 E 8 L; v( U S* ?! H4 C1 t% Y a.先注册一个普通用户，我这里注册的用户是linzi.然后我们在个人签名里写入:- E- d, F; r& M
8 T6 f" u! g7 j* H( [" P- R c.然后发个贴子，可以结合其它技术欺骗管理员浏览发的贴子。) b3 o: Q4 ^" Z5 J7 H
7 Z0 _/ ]! [4 l
d.因为是测试，所以我们以管理员身份登陆，然后打开贴子，我们会发现，linzi已经变成了社区区长工，如图一所示 # q2 h4 u7 Z D% Y, [' r" i$ c H 5 Y0 o0 U! T2 K6 ^% e 除此之外我们只要在个人签名里输入- w5 J. D: A) S3 S% h& v
+ @$ T; i8 z5 j, R$ W* w$ |http://127.0.0.1/bbsxp/admin_setup.asp?menu=variableok&clubname=+&homename=+&homeurl=&floor=2&PostTime=3&Timeout=6&OnlineTime=12&Reg10=10&style=1&selectup=FSO&MaxFace=10240&MaxPhoto=30720&MaxFile=102400&UpFileGenre=gif|jpg|asp%20|rar 5 I0 K/ j7 P! N) r# V7 a; M/ a
% L/ i5 Y+ B" {$ M; k* p! v
同样发个贴子等，只要管理员打开了，就会加了一个扩展名为asp （有空格）的上传扩展，这个时候，你只要上传一个newmm.asp (有空格)就可以得到一个shell.: F" E/ w5 M& z! b: X' {/ U9 T
3 I: p# T# c3 l$ d' j& z& v' A) [
) y8 U9 ~. b7 K, z1 |7 g E: r* K
上面的攻击多多少少有点局限性，虽然可以得到shell，但是隐蔽性不太好，因为签名处受到了长度的限制，不能超过255个字符。我们可以结合flash跨站实现更为隐蔽的攻击，对于flash木马的制作，下面见哥们丰初的介绍。 [7 P* C% W( \" Q$ a. _: K! ?1 t+ J7 N5 e$ A3 \$ }! j( t! f
再利用如下:, f$ F- s2 y; o0 ?3 z7 S4 C; ]
. d, k8 y9 Z; q5 m( Y6 ^. r( M
修改一下个人头像的url,输入代码如下: admin_setup.asp? ( b$ }; @5 E2 F' p0 P # ^# J7 M% |. ^- {# @( t% Imenu=variableok&clubname=+&homename=+&homeurl=&floor=2&PostTime=3&Timeout=6&OnlineTime=12&Reg10=10&style=1&selectup=FSO&MaxFace=10240&MaxPhoto=30720&MaxFile=102400&UpFileGenre=gif|jpg|php|rar ( q2 D# O6 F& `4 G
2 q7 F. r5 t( F) L 再接着欺骗管理员打开你的资料或者浏览你的贴子，当管理员打开后，会在后台自动加个php扩展名的后辍，因为bbsxp在个人头像url里过滤了空格,%，所以我们只能加个不包括空格的其它扩展，当然你也可以加个shtml的扩展，有了它你就可以用来查看源代码，然后进一步攻击。2 M% [$ j2 t9 y9 `, G [/ f