靶场本地虚拟机 Metasploitable2 KaliHost-only 隔离网络全程在自有环境内操作。一、先别急着打先看清开发者加了什么锁上一篇写的是反射型 XSS 在 low 级下的样子 提交就弹窗。那是空门打起来不费劲。但真实网站不会这样。low 级之所以打得进是因为它压根没做防护——而 medium 级开发者终于加了一行代码翻译成人话把你的输入里出现的字符串 script 删掉剩下的照旧拼进 HTML 输出。一个字符级的过滤器。看起来我们封住了 XSS但这一章要讲的就是它是纸糊的门三种手法都能撬开。二、动手前先审一遍这个过滤器拿到一段有缺陷的代码先别急着构造 payload用三个问题审它1.删的是标签还是一个固定写法的字符串2. 它区分大小写吗3. 除了 script还有别的地方能执行 JS 吗这三个问题的答案决定了后面所有 payload 的设计方向。三、五个 payload五次预判安全级别切到 medium页面左下角确认 Security Level is currently: medium在 XSS reflected 页面逐个提交。下面左栏是我提交前写在纸上的预判右栏是实测结果三种手法就是从这五次实测里归纳出来的。四、三种手法按过滤器有什么漏洞分类手法 1大小写混淆 —— 打精确匹配的漏洞过滤器只删小写排列的 script浏览器HTML 语法本身不区分大小写Script照样被识别为 script 元素内容照样当代码执行弹窗。这不是浏览器有漏洞是过滤器和浏览器的规则不对等浏览器忽略大小写过滤器精确匹配。攻击者改一个字母就穿过去了。手法 2换标签 借事件属性 —— 打列不全的漏洞逐字拆解浏览器经历了什么妙在它利用了一个必然发生的事件图片地址是假的加载一定失败onerror 一定触发。攻击者不需要用户点任何东西。同一思路还有几个变体我都实测过onerror 与 onload 的区别是这一节最该带走的东西黑名单的第二个死穴事件属性有几十种onerror / onload / onclick / onfocus / onmouseover…写黑名单的人永远列不全而攻击者找到一个没列上的就够了。手法 3双写拆字 —— 打删一次就够的漏洞str_replace 只删一遍。我在纸上手动执行了一遍这个过滤器被删掉的正是我塞进去的那两段而拼接后剩下的正好是一个合法的顺便说个真实的翻车这次我第一次写的是没弹窗页面上留下一行 Hello ipt 的残渣。事后复盘——结尾段我写的是带斜杠和过滤器要找的排列对不上没被删掉于是拼出来的 JS 是 alert(1)/scr语法错误整段不执行末尾多出来的 ipt 就显示在页面上了。这件事给了一个很有用的经验当 payload 不按预期生效时别急着换招先看页面留下的残渣——残渣里那几个多出来的字符就是过滤器没吃掉的部分反推即可知道它到底删了什么。真实挖洞里在拿不到源码的情况下这套残渣分析法就是盲测过滤规则的主要手段。五、最有意思的一个发现srcdoc 里藏着一个套娃第 4 个 payload 我预判它会弹实际没弹iframe 里却显示了一行文字 alert(4)。为什么先解释 srcdoc 是什么它是 iframe的一个属性值可以是一段完整的 HTML——等于在 iframe 里开了个小网页。我的 payload 是失败的原因值得琢磨medium 那个 str_replace 是全文替换它不管字符串出现在哪里。我的六、复盘黑名单的三宗罪medium 级只做了一件事删掉字面不区分大小写 → Script 穿过手法 1不懂 HTML 结构 → 它按长相匹配不按含义判断手法 2 的整个思路都源于此列不全执行入口 → 几十种 on* 事件属性、javascript: 伪协议、srcdoc 内联文档它一个都不知道一句话总结黑名单是在猜攻击者的长相而攻击者有无限种长相。七、修复为什么不猜了真正的修法换一个思路不猜你长什么样直接让你没有语法意义。它把 ’ 五个字符转成实体 。浏览器拿到 script 会当成普通文字打印出来而不是标签——代码还是那串代码但它既不是标签的开始也不是结束语法上根本不存在。关键区别在这里三个容易踩的细节必须带 ENT_QUOTES ——只转 的话单引号能逃出属性value“这里” 里写 ’ onmouseoveralert(1) x’ 就能跑出来必须指定 ‘UTF-8’ ——否则遇到中文等编码可能整页乱码这是真实项目里的常见事故转义要按落点选规则 ——上面只处理了 HTML 正文。如果输入会落进 JS 代码块或 URLhref“…”转义 HTML 实体没用得按对应语法处理另外 URL 分支还要额外防 javascript: 伪协议再补两层纵深防御给会话 Cookie 加 HttpOnlyJS 读不到 document.cookieXSS 偷不走会话和 CSP限定页面只能加载指定来源的脚本。八、合规声明本文所有测试均在本地自有虚拟机内完成Host-only 隔离网络未触及任何真实目标。文中 document.cookie 一类代码仅用于说明危害机理测试数据已清理。真实场景下验证此类问题请使用自己注册的测试账号避免触碰他人数据。【以上是个人观点仅供参考。】
靶场本地虚拟机 Metasploitable2 KaliHost-only 隔离网络全程在自有环境内操作。一、先别急着打先看清开发者加了什么锁上一篇写的是反射型 XSS 在 low 级下的样子 提交就弹窗。那是空门打起来不费劲。但真实网站不会这样。low 级之所以打得进是因为它压根没做防护——而 medium 级开发者终于加了一行代码翻译成人话把你的输入里出现的字符串 script 删掉剩下的照旧拼进 HTML 输出。一个字符级的过滤器。看起来我们封住了 XSS但这一章要讲的就是它是纸糊的门三种手法都能撬开。二、动手前先审一遍这个过滤器拿到一段有缺陷的代码先别急着构造 payload用三个问题审它1.删的是标签还是一个固定写法的字符串2. 它区分大小写吗3. 除了 script还有别的地方能执行 JS 吗这三个问题的答案决定了后面所有 payload 的设计方向。三、五个 payload五次预判安全级别切到 medium页面左下角确认 Security Level is currently: medium在 XSS reflected 页面逐个提交。下面左栏是我提交前写在纸上的预判右栏是实测结果三种手法就是从这五次实测里归纳出来的。四、三种手法按过滤器有什么漏洞分类手法 1大小写混淆 —— 打精确匹配的漏洞过滤器只删小写排列的 script浏览器HTML 语法本身不区分大小写Script照样被识别为 script 元素内容照样当代码执行弹窗。这不是浏览器有漏洞是过滤器和浏览器的规则不对等浏览器忽略大小写过滤器精确匹配。攻击者改一个字母就穿过去了。手法 2换标签 借事件属性 —— 打列不全的漏洞逐字拆解浏览器经历了什么妙在它利用了一个必然发生的事件图片地址是假的加载一定失败onerror 一定触发。攻击者不需要用户点任何东西。同一思路还有几个变体我都实测过onerror 与 onload 的区别是这一节最该带走的东西黑名单的第二个死穴事件属性有几十种onerror / onload / onclick / onfocus / onmouseover…写黑名单的人永远列不全而攻击者找到一个没列上的就够了。手法 3双写拆字 —— 打删一次就够的漏洞str_replace 只删一遍。我在纸上手动执行了一遍这个过滤器被删掉的正是我塞进去的那两段而拼接后剩下的正好是一个合法的顺便说个真实的翻车这次我第一次写的是没弹窗页面上留下一行 Hello ipt 的残渣。事后复盘——结尾段我写的是带斜杠和过滤器要找的排列对不上没被删掉于是拼出来的 JS 是 alert(1)/scr语法错误整段不执行末尾多出来的 ipt 就显示在页面上了。这件事给了一个很有用的经验当 payload 不按预期生效时别急着换招先看页面留下的残渣——残渣里那几个多出来的字符就是过滤器没吃掉的部分反推即可知道它到底删了什么。真实挖洞里在拿不到源码的情况下这套残渣分析法就是盲测过滤规则的主要手段。五、最有意思的一个发现srcdoc 里藏着一个套娃第 4 个 payload 我预判它会弹实际没弹iframe 里却显示了一行文字 alert(4)。为什么先解释 srcdoc 是什么它是 iframe的一个属性值可以是一段完整的 HTML——等于在 iframe 里开了个小网页。我的 payload 是失败的原因值得琢磨medium 那个 str_replace 是全文替换它不管字符串出现在哪里。我的六、复盘黑名单的三宗罪medium 级只做了一件事删掉字面不区分大小写 → Script 穿过手法 1不懂 HTML 结构 → 它按长相匹配不按含义判断手法 2 的整个思路都源于此列不全执行入口 → 几十种 on* 事件属性、javascript: 伪协议、srcdoc 内联文档它一个都不知道一句话总结黑名单是在猜攻击者的长相而攻击者有无限种长相。七、修复为什么不猜了真正的修法换一个思路不猜你长什么样直接让你没有语法意义。它把 ’ 五个字符转成实体 。浏览器拿到 script 会当成普通文字打印出来而不是标签——代码还是那串代码但它既不是标签的开始也不是结束语法上根本不存在。关键区别在这里三个容易踩的细节必须带 ENT_QUOTES ——只转 的话单引号能逃出属性value“这里” 里写 ’ onmouseoveralert(1) x’ 就能跑出来必须指定 ‘UTF-8’ ——否则遇到中文等编码可能整页乱码这是真实项目里的常见事故转义要按落点选规则 ——上面只处理了 HTML 正文。如果输入会落进 JS 代码块或 URLhref“…”转义 HTML 实体没用得按对应语法处理另外 URL 分支还要额外防 javascript: 伪协议再补两层纵深防御给会话 Cookie 加 HttpOnlyJS 读不到 document.cookieXSS 偷不走会话和 CSP限定页面只能加载指定来源的脚本。八、合规声明本文所有测试均在本地自有虚拟机内完成Host-only 隔离网络未触及任何真实目标。文中 document.cookie 一类代码仅用于说明危害机理测试数据已清理。真实场景下验证此类问题请使用自己注册的测试账号避免触碰他人数据。【以上是个人观点仅供参考。】
