XSS跨站脚本

时间：2019-04-27 21:30:34 阅读：175 评论：0 收藏：0 [点我收藏+]

1.反射型

非持久化，需要用户自己点击才可以触发

通常出现在搜索框

<?php

    $id=$_GET[‘id‘];
    echo $id;

?>

http://127.0.0.1/test/sc.php?id=<script>alert(1)</script>

2.存储型

持久化，危害比较大

通常出现在个人信息和留言板处

//提交漏洞页面
<form action="" method="post">  
    <input type="text" name="xss"/>  
    <input type="submit" value="test"/>  
</form>  


<?php  
    $xss=$_POST[‘xss‘];  
    mysql_connect("localhost","root","root");  
    mysql_select_db("test");  
    if($xss!==null){  
        $sql="insert into xss(id,s) values(‘1‘,‘$xss‘)";  
        $result=mysql_query($sql);  
        echo $result;  
    }
?>

//显示数据库查询页面
<?php
    mysql_connect("localhost","root","root");  
    mysql_select_db("test");  
    $sql="select s from xss where id=1";  
    $result=mysql_query($sql);  
    while($row=mysql_fetch_array($result)){  
        echo $row[‘s‘];  
    }
?>

技术图片

3.DOM型

类似于反射型，但是直接在前端输出，而不经过后端

<?php  
    error_reporting(0);
    $test = $_GET["test"];  
?>
<html>
<input id="text" type="text" value="<?php echo $test;?>" />  
<script type="text/javascript">  
    var text = document.getElementById("text");
    document.write(text.value);
</script>
</html>

技术图片

关于DOM型

<html>

<body>
<input id="id" type=‘text‘>
<script>
	//var a=‘<script>alert(1)<\/script>‘;
	var a="<img src=1 onerror=alert(1)>";
	document.getElementById("id").innerHTML=a;
</script>

</body>
</html>

上面的代码，如果是<script>alert(1)</script>不会触发弹窗

如果是<img src=1 onerror=alert(1)>则会触发弹窗

原理应该是(?)

浏览器对<script>标签DOM操作时，会页面渲染，不会再JS解析

4.触发

如果我们可控的数据在标签的属性当中

<1>资源属性

使用 javascript伪协议

基本上可以请求资源的HTML标签内都可以使用src\href等

但是有的标签已经不能触发XSS，有的则可以

<html>
<script>
    var lang = document.location.href.substring(document.location.href.indexOf("id="));
    lang=lang.substr(3,);
    document.write(‘<a href="‘+lang+‘">test</a>‘);
    document.write(‘<iframe src="‘+lang+‘">‘);
    document.write(‘<img src="‘+lang+‘">‘);//不能触发
</script>
</html>

技术图片

JS伪协议不区分大小写，并且会自动实体解码和进制解码

javascript:alert(1)
JavascRipt:alert(1)

等等都可以触发

<2>事件属性

<html>
<script>
    var lang = document.location.href.substring(document.location.href.indexOf("id="));
    lang=lang.substr(3,);
    document.write(‘<a href=1 onclick="‘+lang+‘">test</a>‘);
    document.write(‘</br>‘);
    document.write(‘<a href=1 onmouseover="‘+lang+‘">test1</a>‘);
</script>
</html>

技术图片

事件不区分大小写，引号可以不使用也可是是单引号或双引号

<html>
<script>
    var lang = document.location.href.substring(document.location.href.indexOf("id="));
    lang=lang.substr(3,);
    document.write(‘<a href=1 onmouseover="‘+lang+‘">test</a>‘);
    document.write(‘</br>‘);
    document.write("<a href=1 onmouseover=‘"+lang+"‘>test1</a>");
    document.write(‘</br>‘);
    document.write(‘<a href=1 onmouseover=‘+lang+‘>test</a>‘)


</script>
</html>

上面的三种都是一样的

<3>普通属性

想办法构造新的属性或者闭合标签

5.HTMLENCODE

有些标签具备HTMLENCODE功能

<html>
<textarea><img src=1 onerror=alert(1)></textarea>
<title><img src=1 onerror=alert(1)></title>
<iframe><img src=1 onerror=alert(1)></iframe>
<noscript><img src=1 onerror=alert(1)></noscript>
<noframes><img src=1 onerror=alert(1)></noframes>


</html>

技术图片

剩下的，比如div标签

<html>
<div><img src=1 onerror=alert(1)></div>


</html>

技术图片

6.进制转换

<1>HTML

HTML支持十进制和十六进制

技术图片

图片可以正常显示

技术图片

<2>CSS

CSS支持十进制和十六进制

技术图片

<3>JS

JS支持八进制和十六进制

<html>
<script>alert(1)</script>
<script>eval("\141\154\145\162\164\50\62\51")</script>
<script>eval("\u0061\u006c\u0065\u0072\u0074\u0028\u0033\u0029")</script>
</html>