黑客
登录
客服
网络安全

黑客技术教程

小风教程网 >> 黑客技术教程

快速入门xss 判断网站是否存在xss漏洞

围观人数:45996 日期:2018-8-25 18:47:10

一、简

XSS之前没发过文章,小风教程网应该很多人还不知道,XSS全称跨站脚本攻击,用户浏览网页时,嵌入的Script代码被执行,从而达到攻击用户的目的,常见漏洞页面,网站搜索页面,留言板。

要看懂此文需要html基础,不懂html应该也能看懂一些!

二、内容概要

XSS的漏洞类型主要分为三类:反射型、存储型、DOM型

  1. XSS漏洞原理
  2. 反射型挖掘
  3. 存储型挖掘


3.1 漏洞成因

XSS的漏洞主要成因是后端接收参数时未经过滤,导致参数改变了HTML的结构,如下图所示
漏洞成因

在图中可以看到攻击者的参数被原样放到了HTML代码当中,导致原本的结构被改变,当这份代码被浏览器执行之后,将执行alert事件。

3.2 反射型

反射型XSS在闹钟的定义是,如果URL地址当中的恶意参数会直接被输出到页面中,导致攻击代码被触发,便称之为反射型XSS,如下图所示
反射型

在图中可以看到,此处原本是输入一个名字,但实际传递了一个script标签,此标签也被原样放到了HTML结构当中,结果script标签代码中的代码被触发,说明存在xss漏洞。

3.3 存储型

存储型XSS,顾名思义便是恶意参数被存储起来了,通常存储在后端服务器当中,所以存储型XSS在URL地址当中不会包含恶意参数,对于受害者来说,很难发现已经被攻击了,如下图存储型XSS被触发

存储型

在图中并没有在URL地址当中看到script代码,但是攻击代码依然被触发,说明攻击代码来自于服务器,而这个攻击代码确实是由攻击者传递到服务器当中去的。

一般情况下,当攻击者将攻击代码通过表单传递到服务器当中去,会得到一个新页面的地址,这个地址中URL并没有明显异常,比如如下URL地址

但当存在存储型XSS时,受害者打开此URL,攻击代码将会被触发,这种情况下便称之为存储型XSS漏洞。

3.4 DOM型

DOM型XSS较为特殊,前面反射型XSS和存储型XSS都是以传播方式来区分的,而DOM型XSS和传参方式无关,而是当开发者做了一些安全防护之后,任出现安全问题的一种现象,如下图所示

DOM型

在图片中,可以看到参数name已经使用函数转义了,按理说此时将参数传递到前端页面是不会产生XSS漏洞的;但当JavaScript代码将参数进行DOM节点操作之后,原本被转义的代码又会被还原,因此还是会被触发,如下图所示

name

在图中看到XSS代码已经被触发,这种DOM型XSS相对来说更加隐蔽,所以防御XSS漏洞的不能仅仅依靠后端开发者,前端开发者也应当了解XSS漏洞。


4.1 思路分析

在知道反射型XSS,是通过URL地址传播的,那么就需要思考那些地方会让URL地址的参数在页面中显示;相信读者都用过一些网站的站内搜索,在站内搜索的位置往往会将搜索的关键词展示在页面当中,如下图所示

思路分析

而在首页也看见此网站有搜索功能,因此可以从搜索位置着手,可以在搜索位置输入一个简单的payload,参考如下

<script>alert(123)</script>

当点击搜索后,会自动跳转到以下URL当中,此时浏览器的URL地址已经发生了变化,URL地址如下:

http://permeate.songboy.net/home/search.php?keywords=<script>alert(123)</script>

搜索的表单是使用了GET传参,满足了测试反射型的第一步要求

小风教程网

小风教程网搜索页面自动过滤xss代码。

4.2 漏洞检验

接下来就需要看看的payload有没有被触发,结果很意外,不但没有被触发还被浏览器所阻止了,如下图

漏洞检验

这里就需要跟读者说明一下,谷歌内核浏览器自带XSS筛选器,所以对于反射型XSS测试,尽量不使用谷歌浏览器,建议使用火狐浏览器进行测试;

4.3 结果分析

现在将上面的URL地址复制下来,并粘贴到火狐浏览器当中,并按下回车,看到效果如下图

结果分析

此时payload已经被触发,说明找到了一个反射型XSS的漏洞,这种漏洞相对来说非常初级,随着浏览器的XSS筛选器变得更加智能,这种漏洞也越来越少,在下面的内容当中将会提到存储型XSS挖掘与绕过。

五、存储型挖掘

现在来寻找存储型XSS,存储型的攻击代码是存储在服务端,因此需要找出一些会将表单内容存储到服务端的位置,在之前已经对permeate做了一番了解,因此知道permeate拥有发帖和回帖功能,这些功能正是需要将参数存储起来并展示的地方。

5.1 发现漏洞

在首页点击XSS板块,进入到了板块列表当中,如下图

发现漏洞

在右下角能看到有一个发帖按钮,点击发帖按钮后,即可进入发帖界面,如下图

发帖

在permeate渗透测试系统当中,如果要发表帖子,那么就需要有账号,这里随便注册一个账号,注册过程就不详细讲解了

5.2 检验漏洞

在注册账号完成并登陆之后,再次打开发帖页面,并在标题处和内容处都填写payload,参考内容如下:

<script>alert(123)</script>

在标题处和帖子内容中分别填写payload,填写好之后,应和与下图一致

检验漏洞

填写好内容之后,点击下方的发表按钮,即可进行发帖,发帖成功会弹出一个提示成功,如下图所示

发帖成功

点击确定之后,会跳转到发帖列表,并弹出一个123的提示框,如下图所示

xss提示框

如果看到这个弹框,说明的payload已经被执行,点击确定就可以看到列表的内容,如下图所示

发帖

在列表中只显示标题,所以帖子内容中的payload并没有被执行;

5.3 抓包绕过

现在点击标题,进入帖子详情页面,在详情页发现payload也只触发了一次,而且内容当中的标签被直接显示了出来,如下图

抓包绕过

当标签被直接显示出来,这说明的参数被转义了;转义分为两种,前端转义和后端转义,如果是后端转义通常会放弃测试,如果是前端转义则可以绕过这个限制;在这里发现标题没有被转义,而内容被转,猜测可能是前端做的转义,因此可以通过浏览器的审查工具将数据包拷贝下来;

首先重新打开发帖页面,然后在网页随便一个位置单击鼠标右键->选择审查元素->切换到network标签并勾选Preserve log,打开网络并勾选Preserve log的目的是让发表帖子之后,能在网络请求中找到该记录,现在可以填写新的payload,如下图
抓包绕过

点击发表按钮之后,可以在控制台中找到刚才的post请求,从请求中可以看出,这个数据发出去就已经被转义了,如下图
转义

5.4 编码替换

当确定这个地方存在前端做了转义处理,如果后端没有做处理,就可以绕过它,现在将请求复制出来,然后改变里面的数据,如下图
编码替换

复制出来的数据如下

curl'http://permeate.songboy.net/home/_fatie.php?bk=6&zt=0'-H'Connection: keep-alive'-H'Cache-Control: max-age=0'-H'Origin: http://permeate.songboy.net'-H'Upgrade-Insecure-Requests: 1'-H'Content-Type: application/x-www-form-urlencoded'-H'User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_4) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.106 Safari/537.36'-H'Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8'-H'Referer: http://permeate.songboy.net/home/fatie.php?bk=6'-H'Accept-Encoding: gzip, deflate'-H'Accept-Language: zh-CN,zh;q=0.9,en;q=0.8'-H'Cookie: __cfduid=defc970ef7081e30aedd761da5762b1891532003579; UM_distinctid=1655a61a23343c-03f0904540a333-34657908-1fa400-1655a61a234323; PHPSESSID=rufhm0741qfv55cpfnc80k1g4l'--data'csrf_token=3908&bk=6&title=222%3Cscript+%3Ealert%28123%29%3C%2Fscript%3E&content=%3Cp%3E222%26lt%3Bscript+%26gt%3Balert%28123%29%26lt%3B%2Fscript%26gt%3B%3C%2Fp%3E'--compressed

找到参数中的title和content参数值,将title的参数值复制下来,然后替换content的参数值,替换后的内容如下

curl'http://permeate.songboy.net/home/_fatie.php?bk=6&zt=0'-H'Connection: keep-alive'-H'Cache-Control: max-age=0'-H'Origin: http://permeate.songboy.net'-H'Upgrade-Insecure-Requests: 1'-H'Content-Type: application/x-www-form-urlencoded'-H'User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_4) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.106 Safari/537.36'-H'Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8'-H'Referer: http://permeate.songboy.net/home/fatie.php?bk=6'-H'Accept-Encoding: gzip, deflate'-H'Accept-Language: zh-CN,zh;q=0.9,en;q=0.8'-H'Cookie: __cfduid=defc970ef7081e30aedd761da5762b1891532003579; UM_distinctid=1655a61a23343c-03f0904540a333-34657908-1fa400-1655a61a234323; PHPSESSID=rufhm0741qfv55cpfnc80k1g4l'--data'csrf_token=3908&bk=6&title=222%3Cscript+%3Ealert%28123%29%3C%2Fscript%3E&content=222%3Cscript+%3Ealert%28123%29%3C%2Fscript%3E'--compressed

替换完成之后,将此内容复制到终端当中(如果读者用的是windows操作系统,可以下载一个cmder),然后按下回车键,结果如下图

替换完成

5.5 结果分析

在返回结果当中可以看到提示发帖成功,此时就已经成功发布了一个新帖子,回到帖子列表当中看到有三条帖子,在最后面的帖子则是新发布的,如下图

结果分析

打开详情页,被弹了两次提示框,说明标题和内容当中的payload都被触发,并且在控制台当中也可以看到script变成了DOM节点,而不是文本展现出来,如下图所示

XSS过滤

看到此处说明已经成功绕过前端XSS过滤器,关于XSS怎么利用,网上有很多XSS测试平台大家可以搜一下,怎么做坏事就不教了。

最新文章

推荐文章

热门文章

黑客技术 黑客软件 黑客教程 黑客书籍

关于我们 | 免责声明 | 学员守则 | 广告服务 | 联系我们

©2013-2020 xf1433.com 版权所有

本站资源仅供用于学习和交流,请遵循相关法律法规