SRC挖掘思路

本文来自真实的挖掘过程，所以内容是尽可能厚码再厚码！

⦁ 前言

故事线：未授权访问 => 在尖括号被转义的情况下成功插入xss  => 审核定性为self-xss => 提升危害至存储型xss => 收米下机

⦁   未授权访问与XSS的梦幻联动

首先用一个app敏感信息提取工具（关注公众号，回复app提取工具），app里有一个公开访问的展示页，后台url在这个展示页的注释里头，然后没鉴权

后台长这样，未授权进去的，第一反应sql注入和xss，本文着重讲解后者

新建测点找输出位

对于这俩输出点，要么闭合标签，要么闭合引号。但该站点已对尖括号进行转义

所以尝试利用事件执行xss，这里我主要采用与用户接口(鼠标、键盘)相关的事件，如click、mouseover等。看看效果

同样的操作可对该站点上千位客户进行攻击，在xss平台坐等鱼儿上线。似乎可以打完收工了，但有人要我加班，是谁我不说

⦁ 加班

懒得当老师，所以我决定再找一处可以前台访问的功能点，并在那里插入xss。回到后台，注意这里

找到一处可以导入svg的地方

先写一个纯洁的svg，看看输出点

该站点将svg标签替换为symbol标签，并只输出xmlns属性值（这里写一些奇怪的语句会直接报错，不予考虑），那只能在rect标签上做改动或新建其它标签了。

看我planA

本地测试ok

可导入svg后发现，onmouseover事件扑街（可以fuzz，但效率较低，想想还是算了）

再来planB

本地测试ok

但script标签扑街，只有孤独的alert(/xss/)。我的想法和planA一样，先放着找找其它功能点吧

比如创建超链接

老样子，瞅瞅输出点

看样子重定向是拿捏了，试试伪协议能不能成功

没过滤哈，保存配置去前台访问一下

拿下

收米下机

⦁ 总结

1、巧用事件打开局面；

2、佛系挖洞；

3、深究功能点，提升危害。

推荐阅读

干货 | 渗透知识库（鹏组安全）

实战 | 记一次渗透测试(绕过某塔)

免杀 | mimikatz.exe bypass360全家桶

原文始发于微信公众号（鹏组安全）：SRC挖掘思路