浅谈两种复现方式实现PDF_XSS

0x01 前言

有时候我们在做渗透测试的时候会发现目标网站允许上传PDF文件，同时支持在线预览PDF文件，然而不少类似的网站都会直接通过调用系统IE浏览器来解析PDF，此时如果我们在PDF中插入可以执行的恶意XSS代码，当用户在线预览时即可触发恶意XSS并窃取用户Cookie等数据信息或进行恶意操作，本篇文章我们主要介绍如何在PDF中构造恶意XSS代码并通过上传PDF来实现XSS攻击

0x02 方式1

1.安装PyPDF2库

安装完成

2.新建空的xss pdf 

from PyPDF2 import PdfReader,PdfWriter      output_pdf = PdfWriter()                           output_pdf.add_blank_page(width=72,height=72)output_pdf.add_js("app.alert('xss');")with open("xss.pdf","wb") as f:  output_pdf.write(f)

from PyPDF2 import PdfReader,PdfWriterinput_pdf = PdfReader("如何走进富婆的内心.pdf")output_pdf = PdfWriter()for i in range(len(input_pdf.pages)):  output_pdf.add_page(input_pdf.pages[i])output_pdf.add_js("app.alert('xss');")with open("xss.pdf","wb") as f:  output_pdf.write(f)

3.通过浏览器访问物理路径 读取xss pdf

0x03 方式2

1：下载安装"迅捷PDF编辑器"

2：创建PDF文件

3.点击 确定

4.点击 视图-->“页面缩略图”

5.选择“属性”

6.弹出 右面 菜单框

7.点击“...”

8.选择“运行javascript”

9.输入xss语句

10.保存

chrome浏览器可以正确弹窗

火狐浏览器不行

0x04 修复方法

作为网站管理员或开发者可以选择强迫浏览器下载PDF文件，而不是提供在线浏览等或修改Web服务器配置的header和相关属性，也可以使用第三方插件解析pdf，不用chrome自带的pdf解析就行，https://github.com/adobe-type-tools/cmap-resources