A3 跨站脚本攻击 XSS

落日映苍穹つ 2022-02-17 06:53 364阅读 0赞

## **0x00：审计介绍** ##

对于跨站问题也就是我们常说的存储、反射和 DOM 三种，在挖掘 XSS 上我们一般的思路是查找可能在页面上进行输出的变量，并检查这些变量是否可控，然后跟踪传递过程，查看后端处理是否对接收的内容进行过滤或编码，在前端显示时是否被 htmlencode 之类的函数做过处理。

对于很多系统，不建议过滤特殊字符，一个体验不佳再一个有些系统是有需求可以输入特殊符号的，这时后台可以进行编码处理，例如 asp 的 Server.HTMLEncode，php 的 htmlspecialchars，java 的 org.apache.commons.lang.StringEscapeUtils 等。这里需要注意的是后台如果对收到的内容整体进行编码，例如汉子编码后就会多出很多字节，会浪费空间，建议根据实际情况进行处理，可以只过滤特殊符号这种，同时前台输出时也应用进行转义处理。

## **0x01：反射跨站示例** ##

这里我们以 php 为例简单的看个例子，就拿我们常说的 bluecms1.6.sp1 为例，存在反射跨站的是根目录的 ad\_js.php 文件，其源码如下：

<?php
    
    $ad_id = !empty($_GET['ad_id']) ? trim($_GET['ad_id']) : '';
    if(empty($ad_id)){
        echo 'Error!';
        exit();
    }
    $ad = $db->getone("SELECT * FROM ".table('ad')." WHERE ad_id =".$ad_id);
    if($ad['time_set'] == 0){
        $ad_content = $ad['content'];
    }else{
        if($ad['end_time'] < time()){
            $ad_content = $ad['exp_content'];
        }else{
            $ad_content = $ad['content'];
        }
    }
    $ad_content = str_replace('"', '\"',$ad_content);
    $ad_content = str_replace("\r", "\\r",$ad_content);
    $ad_content = str_replace("\n", "\\n",$ad_content);
    echo "\r\n";
    
    ?>

上面源码是获取了 ad\_id 的值，然后字节拼接到了 sql 语句中，这里首先就已经存在了注入问题，当给 ad\_id 赋一个字符字符串之类的东西时，ad 的内容就变成了 sql 执行语句错误的内容，最后会字节输出到页面，这时插入的恶意 js 语句等也会进行输出并执行。需要注意的是，代码中的正则替换只匹配了 "/r/n，而并没有 <> 符。

## **0x02：存储跨站示例** ##

存储我们还拿 bluecms 做示例，在 bluecms 中的 common.fun.php 文件中有一个获取 ip 的函数，其中使用了 getenv 来获取客户端的 ip 地址，但并没有对 ip 进行过滤，可伪造，函数代码如下。

以上 getenv 获取的变量都是客户端的 ip，这里可以抓包修改数据包头中的 ip 值，而获取 ip 这个函数在程序中的评论功能有使用，其部分代码如下。

if(empty($content)){
        showmsg('评论内容不能为空');
    }
    if($_CFG['comment_is_check'] == 0){
         $is_check = 1;
     }else{
         $is_check = 0;
     }
    $sql = "INSERT INTO ".table('comment')." (com_id, post_id, user_id, type, mood, content, pub_date, ip, is_check) VALUES ('', '$id', '$user_id', '$type', '$mood', '$content', '$timestamp', '".getip()."', '$is_check')";
    $db->query($sql);

这里主要的就是 insert 语句，ip 字段用的值就是 getip 函数，因为 ip 并没有做严格的判断和限制，其构造 payload 如下。

00','1'),('','1','0','1','6',('<script>alert(1)</script>'),'8888888888','99

以上代码放到 sql 语句的 ip 值位置时，整个 sql 语句就变成了插入两条数据，而第二条的 content 字段也就是内容我们放的 js 代码，这时访问被评论的文章时，js 代码便会执行。这里需要注意的是 content 内容字段是被经过过滤的，所以无法插入恶意脚本，而我们便利用的 ip 字段问题来构造 sql 成功插入了恶意代码。

## **0x03:DOM 跨站示例** ##

DOM 简单来说就是客户端的脚本程序可以通过 DOM 动态的检查和修改页面内容，他不会依赖服务器的数据，而是从客户端的 DOM 中获取数据并在本地执行，获取的这些数据若没有进行过适当的过滤和消毒，则可能会造成 DOMXSS。在检测 DOMXSS 时，需要多注意一些输入源以及可以触发 DOM 的属性，例如 document.referer,window.name,location 等。这里我们列一个简单的示例，示例如下。

<html>
        <head>
        <title>DOMXSS</title>
        </head>
        <body>
            <script>
                var a = document.URL;
                document.write(a.substring(a.indexOF(a="")+2,a.length));
            </scirpt>
        </body>
    </html>

以上页面其 js 通过 document 获取 url 并把 a 的值显示在页面上，而当 a 的值为恶意的脚本代码时，其页面输出便会被执行。下面再列举一个 document.referer 的例子，示例如下。

<html>
        <head>
        <title>DOMXSS</title>
        </head>
        <body>
            <a href="http://127.0.0.1/domxss.html">domxss</a>
            来自：<script>document.write(document.referrer);</script>
        </body>
    </html>

当访问 127.0.0.1/domxss.html?＜script＞alert(1)＜/script＞时，点击 domxss 会进行页面跳转，这里示例就还跳到页面本身，但 referrer 会记录上一个的页面地址，即从哪里跳过来的并打印，而上一个地址我们最后添加了恶意脚本，所以这里会被执行。同样的，例如一些 windows.name,location 等属性也都有可能造成 domxsss，例如以下示例。

<html>
        <head>
        <title>DOMXSS</title>
        </head>
        <body>
            <script>
                document.write("site:" + document.location.href);
            </script>
        </body>
    </html>

location 是 js 用来管理 url 的一个内置对象，示例中的 location.href 会获取 url 地址，而当我们访问 127.0.0.1/domxss.html?\#＜script＞alert(1)＜/script＞时，其恶意代码便会执行。

这里我们会发现 domxss 其实和反射 xss 有点像，domxss 也可以算作是反射 xss 的一种，都是通过 url 去控制和触发的，区别在于，dom 是页面输出，和服务器没有交互，像反射可能与服务器有交互，例如搜索功能的关键字会在页面打印而被触发，其此操作交互了服务器。

挖掘 domxss，主要需要关注数据的输入和输出，例如刚刚的输入 document.referer,document.name,location 等，输出例如 innerHTML,document.write 等。不论 dom，反射和存储也一样，其流程大体都是跟踪输出的函数变量，找出可能危害的地方，然后回溯变量和函数的调用过程，查看用户是否可以控制输入。

## **0x03：防御和总结** ##

对于跨站审计流程我们可以跟踪输出的函数变量，找出可能危害的地方，然后回溯变量和函数的调用过程，查看用户是否可以控制输入。对于渗透测试只要有输入的地方就有可能存在，对于防护建议如果程序允许，可以在入库的时候就过滤掉特殊字符，如果程序需要特殊字符的存在，则在出库显示页面时需要根据输出的位置来做好编码，例如 url 编码，页面显示编码，或者是作为属性的编码。同时要做好关键字过滤，可以使用正则匹配，如果存在便签且里面有 on 开头的内容则应该都被过滤掉。

因为跨站类型多且很多功能一不小心就会存在此问题，所以跨站漏洞也比较多，且危害高，在审计和渗透时应尽可能的仔细审计和测试，尽量避免此问题的发生。

--------------------

**                                                                         公众号推荐：aFa攻防实验室**

**分享关于信息搜集、Web安全、内网安全、代码审计、红蓝对抗、Java、Python等方面的东西。**

![20191220230427373.jpg][]

[20191220230427373.jpg]: /images/20220217/c823f894951d425eb358c88769a9ea3e.png