跨站测试与利用中的绕过技术

admin
admin
admin
138688
文章
114
评论
2021年4月3日19:27:29评论123 views字数 4594阅读15分18秒阅读模式

作者:youstar

1.1 bypass Char

通常有安全意识的程序员往往会对输入进行一定的过滤，比较常见的是针对某一关键符号进行过滤，比如“”，这种方式很多时候是无法防止攻击的，更安全的方式是通过编程语言提供的函数在输出的时候进行过滤。

本节主要针对单字符过滤进行研究，分为引号、尖括号、括号这三个符号进行研究。

1.1.1 引号

在跨站测试中很多的vector(即攻击向量)本身是不包含引号的，例如下面的一些vector。但是在利用中经常需要使用引号，如果对引号进行了过滤，可以采取如下措施进行绕过。

vector:

1)String.fromCharCode

fromCharCode可以对利用代码中的引号进行编码处理，但是需要利用eval函数结合进行使用，例如: 

  —–>

2)location.hash

将带有引号的内容放在location.hash中，其实这个也可以突破跨站长度的控制。 

#alert(‘a’)

3)/string/.source

/string/中的string表示的是正则表达式，用.source则可以取到正则表达式的文本形式，然后使用eval(/string/.source);就可以执行。

1.1.2 尖括号

通常程序员为了偷懒都只会过滤尖括号，因此尖括号在跨站过滤中遇到情况最多。一般情况下如果输入没有显示在其他标签里，那么基本上是没有办法进行攻击的，但是如果是输出到其他标签里，则可以结合上下标签进行如下测试：

1）事件函数

常用的一些事件函数有：onerror、onmouseover、onload等(同时可以关注下HTML5新标签)，需要的时候可以对JavaScript的事件函数进行fuzz。 

                   
insight-labs here.

2)style与expression

通过标签的style样式进行跨站(测试中只有IE成功，同时还得考虑filter问题)。 




	3) JavaScript伪协议




	JavaScript伪协议进行绕过。



  （仅IE6)




	1.1.3 括号




	如果测试中发现括号被过滤了，或者无法注入括号，可以进行如下测试：




	1）外部文件




	通过src引入外部文件，而利用代码放在外部文件中（其中外部文件的后缀可以不为js）。



         



	2）hex、dec编码




	利用十六进制与十进制进行编码。



xsser



	1.2 bypass filter




	针对跨站问题日益严重，浏览器厂商从自身浏览器安全出发推出了各自的跨站过滤器。但是这类过滤器基本上只支持反射型跨站，其他类型跨站基本不受影响。




	各种浏览器采用的防御机制各不相同。反射型跨站防御方面：Firefox基本没什么防御，而IE和chrome都有各自的防御机制，并且都很难绕过，这里主要总结下现有的一些可以绕过机制。




	1.2.1 IE Filter




	IE从IE7就支持XSS Filter，其整体架构可见参考文献1，正则匹配部分可以参见文献2。实际处理步骤可分为三步：首先对IE进行启发式过滤（heuristic filters，正则匹配）；如果在HTTP请求中匹配到这些特征，那么就做一个动态签名（create dynamic signature）；如果在HTTP响应中有原来的签名，那么就进行替换修改（neuter response）。在IE全补丁下进行测试，现有公布的绕过技术基本上很少，先总结如下：




	1）





	针对普通的反射型跨站，可以利用A标签和“sc%0aript”实现绕过，不过需要用户交互，这里需要美工师咯。其实原理是页面输出后这两个页面属于同一域，因此不会产生过滤。如果href里面的地址是不同域就会产生过滤。



          alert(/insight-labs/)”>
         alert(/insight-labs/)”>
click to continue

http://vulnerabledoma.in/xssable?q =％22％3CA％20href％3Djavascript％26.x3A的％3Balert％26％28×28％3B1％26％29×29％3B / / =％3Exxx
         http://vulnerabledoma.in/xssable?q=”xxx



	2）utf7




	通过UTF7-BOM实现注入代码，全补丁情况下只有当header里编码为utf-7才能成功，可以参考文献3。



%2BACIAPgA8-script%2BAD4-alert%28/insight-labs/%29%2BADw-%2Fscript%2BAD4APAAi-&oe=Windows-31J



	3) Flash




	在 www.B.com域名下用iframe嵌入www.A.com的flash XSS文件。当受害者打开了www.B.com的域名时，我们可以成功获取其在www.A.com的cookies数据，参见文献8。




	测试代码如下(IE)：






	在chrome中，可能会导致浏览器崩溃，可以改用以下代码。






	4) magic_quotes_gpc




	PHP如果开启了”魔术引号”特性(magic_quotes_gpc = On),则’ (single-quote), “(double quote), (backslash) 和 NULL 字符将都会被反斜杠转义(%00 =>).




	通过一些测试,发现ie xss filter对NULL字符的转义处理并不感冒,意思是它并不了解这种转换过程。参见文献9




%c0”;alert(%00)//
%c0”//(%000000%0dalert(1)//



	1.2.2 chrome filter




	chrome浏览器针对xss过滤规则跟IE有比较大的区别，不同版本的chrome测试也会不同，现有的资料可以参考文献4、5。




	1）  data协议



?vuln=click //会拦截
–à转换成  click
//bypass
?vuln=click
-àOK



	1.3 bypass richtext




	富文本常见类别有留言，日志或者邮件等。与一般的跨站相比它可以使用现有的标签进行测试分析。一般过滤机制分为两种：黑名单、白名单，这两类机制实质都是基于正则匹配进行过滤，因此在测试过程中需要对比输入和输出，然后进行针对性变化。




	常见测试流程：输入常见标签和事件——>是否有存在的标签没有过滤——->变形或者分析其属性




	标签：object, applet, base, link, meta, import, embed, vmlframe, iframe, script, style, isindex, form，textarea，




	字符：javascript:, vbscript:




	事件：onload,onerror,on*




	1.3.1 绕过规则




	本小节将一些常见的一些变化规则进行了归类，实际测试中结合多种方式进行组合测试。




	1）未递归过滤




	很多富文本过滤都是针对关键字过滤，但是没有进行递归过滤，导致过滤后的结果重新组成新的标签，例如：



                  me>之——过滤——



	2)编码




	利用字符的十六进制和十进制编码进行绕过关键字。由于expression只有IE能执行，因此仅限于IE。



insight-labs


insight-labs

//两次不同类型编码
       
insight-labs

         
xsser



	3)特殊字符




	在构造的vector中可以插入tab、换行、等其他空白字符或者”/**”绕过关键字匹配，基本上也只限于IE。




  两次tab,ie6
         
insight-labs
  IE



	4)非常见协议




	利用object标签，将date属性数据进行base64编码绕过关键数据，同时object标签也是经常被遗忘的标签。






	5)HTML5




	利用HTML5新标签或者新属性进行绕过，相对而言这类利用要求的环境相对比较苛刻，详细见参考文献6。




	新标签:



	新属性:autocomplete, autofocus, pattern ..etc




	



	



	6)浏览器方面




	可以从浏览器解析角度进行考虑，需要浏览器解析方面进行深入分析，然后进行改进与分析，提供几个这类的vector。



// IE的注释方式
   IE




	1.3.2 利用技巧




	在实际利用中常常会遇到一些其它问题，比如说代码死循环，长度不够用等先将其总结如下：




	1)expression




	由于expression属性比较特殊,同时只支持IE，而其执行相当于一个死循环的EVAL函数，同时style标记里不能出现”;”字符，也就是不能构造多条连接在一起的javascript，因此构造出如下语句：




//设置一个COOKIE在10秒后失效，并在这条COOKIE语句中执行其他语句或函数。


	也可以通过window对象来实现：



xsser



	2)长度限制




	这个在”突破XSS字符数量限制执行任意JS代码”一文中有详细讲解，参考文献7。当然在支持HTML5的浏览器还可以利用下本地存储。




	via/insight-labs




	参考文献




	1. http://blogs.technet.com/b/srd/archive/2008/08/18/ie-8-xss-filter-architecture-implementation.aspx




	2. Abusing Internet Explorer 8's XSS Filters.pdf




	3. http://hi.baidu.com/thanks4sec/blog/item/1b06348ae87e2cb10df4d27c.html




	4. http://evilcos.me/?p=60




	5. http://hi.baidu.com/rayh4c/blog/item/c3fb8d0a6bf93422b1351ddc.html




	6. http://html5sec.org/




	7. http://huaidan.org/pstzine/0x03/txt/PSTZine_0x03_0x04.txt




	8. http://zone.wooyun.org/content/368




	转自：http://www.freebuf.com/articles/web/5984.html








    文章作者

    youstar
  



    上次更新

    

      2012-12-17


    
  



    许可协议

    Nuclear'Atk（核攻击）网络安全实验室版权所有，转载请注明出处。
  







      文章来源于lcx.cc:跨站测试与利用中的绕过技术


相关推荐: 【视频】最新广播体操看时不要吃饭喝水


我了个操..神游网络时发现的、、 文章来源于lcx.cc:【视频】最新广播体操看时不要吃饭喝水相关推荐: 【PHP】字符串连接符 . 连接两个、多个字符串    PHP 字符串连接符 . 连接两个、多个字符串，PHP 字符串连接符.，PHP 字符串连接.，PH…
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年4月3日19:27:29
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   跨站测试与利用中的绕过技术https://cn-sec.com/archives/322626.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息