0029. 403 页面上的隐藏反射型 XSS

介绍：

  在这篇博文中，我将向您介绍如何在应用程序中发现一个隐藏的漏洞，该漏洞会导致反射型跨站点脚本 (RxSS) 漏洞。该漏洞出现在一个意想不到的地方——密码重置功能——隐藏在大多数研究人员可能忽略的 403 页面后面。这篇文章将介绍我使用的方法，包括绕过技术、模糊测试和手动测试，最终发现了一个重大的安全漏洞。

发现目标：

在探索example.com域名时，我最初遇到了一个403 Forbidden页面。通常情况下，我会跳过对这类页面的模糊测试，因为它们通常会阻止进一步的探索，但有些东西促使我深入挖掘。经验告诉我，这个阻止背后可能隐藏着一些有价值的东西。

模糊测试：

许多研究人员在尝试几次绕过后，往往会避开 403 页面，但通过使用FFUF工具，我发现了该/console/目录，其中显示了该应用程序的登录页面。我尝试在登录名和密码参数上注入我的有效载荷，但响应中没有返回任何内容。

之后，我考虑过放弃，但还是决定试试运气，在/console/终端上使用递归模糊测试。几分钟后，我惊讶地发现密码重置页面被隐藏了。

进入密码重置页面后，我发现了几个输入字段和参数。我首先在可见字段上进行了常见的有效载荷注入，但一开始似乎没有任何效果。然而，深入研究 Burp Suite 请求历史记录后，我发现了一些有趣的东西：重置页面上与服务器的通信涉及多个隐藏参数

开发：

我决定使用Burp Suite 的 Intruder 进行进一步的测试，我将有效载荷加载到各种参数中，并针对服务器进行测试。在此过程中，我发现了一个关键的隐藏参数"hdnPwdMinChar"。将有效载荷注入"hdnPwdMinChar"参数后，我成功触发了传统的警报弹出窗口。有效载荷："<script>alert(4443)</script>"

关键要点：

• 始终进行超越明显输入的测试；隐藏的参数可能是漏洞的金矿。
• 使用模糊测试和自动化，但不要低估手动测试的力量。
• 应该彻底探索隐藏的端点，尤其是 403 页面背后的端点。

原文始发于微信公众号（Rsec）：0029. 403 页面上的隐藏反射型 XSS