XSS的学习笔记

xss的原理

        跨站脚本攻击XSS(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。XSS攻击针对的是用户层面的攻击！

xss的分类

反射性xss

        反射型XSS 是非持久性、参数型的跨站脚本。反射型XSS 的JS 代码在Web 应用的参数（变量）中，如搜索框的反射型XSS。在搜索框中，提交PoC[scriptalert(/xss/)/script]，点击搜索，即可触发反射型XSS。注意到，我们提交的poc 会出现在search.php 页面的keywords 参数中。

例题1

很明显输入的值被传到h标签里了

例题2

input表单的value得到值提交给h标签

可以看到<>在input中是正常的，到h标签中就被转义了，所以我们只能从input中想办法

写">闭合input，再写恶意代码，就OK了

例题3

 aaa传值给了submit

发现input也转义<>,

例题4

将<>直接转换成空格

还可以用on事件，

例题5

不可以用on事件

看源代码，确实过滤了,但是input却没有转义<>

构建一个a标签

例题6

替换了href

 

用大写的HREF就绕过了

用属性大写onfocus也是可以绕过的

例题7

替换很多变成空格

通过过滤关键字中间插入关键字的方式成功绕过

例题8

限制条件更加多，将"也过滤了

input value的值传给a标签，所以只要进行html实体编码就可以绕过input的限制，传给a标签的href属性，href在解析前html实体编码刚好解码

将javascript：alert（1）进行html实体编码

例题9

在8的基础上加上必须有http://的字段，所以在最末尾加上//http://就OK了

例题10

给了个值keyword，但是用函数过滤了<>,所以找input，只有t_sort有接受值，但是它hidden，所以我写了type覆盖了后面的。

 

存储型xss

        存储型XSS 是持久性跨站脚本。持久性体现在XSS 代码不是在某个参数（变量）中，而是写进数据库或文件等可以永久保存数据的介质中。存储型XSS 通常发生在留言板等地方。我们在留言板位置留言，将恶意代码写进数据库中。此时，我们只完成了第一步，将恶意代码写入数据库。因为XSS 使用的JS 代码，JS 代码的运行环境是浏览器，所以需要浏览器从服务器载入恶意的XSS 代码，才能真正触发XSS。此时，需要我们模拟网站后台管理员的身份，查看留言。

例题1

首先，该提交能入库

尝试在评论区评论

发现实体编码转义，标签变成普通字符

输入两次评论后发现，

这里我们可以看到并没有完成闭合，但是评论回显是倒序出现的，同时中间夹着我们本机的IP地址，这个IP我们是否可以进行利用，从而配合我们的评论完成XSS注入。其实是可以的，这里我们需要用到X-FORWARDED-FOR来进行HTTP请求端真实IP伪造，通过这个字段将IP地址进行伪造为我们使用的payload。 思路确定了，我们使用多次注入的方式，同测试一样完成我们的闭合，即：

正常payload：

<script>alert(11111)</script>

达成的效果(将中间的代码注释掉)：

<script>/**/alert(11111)/**/</script>

多次注入：
<script>/*
*/alert(11111)/*
*/</script>

将payload多次拆分，使用两条留言完成注入：

第一次：
内容：*/alert(11111)
IP伪造为：X-FORWARDED-FOR: */</script>
第二次：
内容：随意都行
IP伪造为：X-FORWARDED-FOR: <script>/*

然后使用Burp进行抓包改包（伪造IP）：

第一次

第二次

闭环形成，就等管理员审核

用xss hunter获取信息

http://172.16.100.1:3000/hook.js换成hunter提供的网址

DOM型XSS

DOM XSS 比较特殊。owasp 关于DOM 型号XSS 的定义是基于DOM 的XSS 是一种XSS 攻击，其中攻击

的payload由于修改受害者浏览器页面的DOM 树而执行的。其特殊的地方就是payload 在浏览器本地修

改DOM 树而执行， 并不会传到服务器上，这也就使得DOM XSS 比较难以检测。

例题1

查看源代码，发现js源代码

点进去

发现可以利用dom破坏的点

可以利用二层集合的关系覆盖window.defaultAvatar的原始数据

当再次输入新的没有头像的评论时就开始触发我们的xss

第二次随意评论