CTFHUB——反射型XSS详解「建议收藏」

CTFHUB——反射型XSS详解「建议收藏」背景本来看ctfhub上有xss的题目,打算好好学习一波,结果点开一看,只有一道题2333。便现在dvwa上熟悉了一波。所谓反射型是相对于存储型来讲的。如果黑客的xss注入是通过某种方式储存到了数据库中,那就是存储型的,这种xss的特点就是每次访问该页面都会收到xss攻击,因为js语句已经放在数据库里了。而反射型xss则不是这样,每次触发只能手动输入和点击才能触发。我认为xss产生的原因主要是对便签审查不严格造成的。dvwaxss例题下面写一下dvwa中的三种难度的反射型xss。<?

大家好,又见面了,我是你们的朋友全栈君。

背景

本来看ctfhub上有xss的题目,打算好好学习一波,结果点开一看,只有一道题2333。

便现在dvwa上熟悉了一波。所谓反射型是相对于存储型来讲的。

如果黑客的xss注入是通过某种方式储存到了数据库中,那就是存储型的,这种xss的特点就是每次访问该页面都会收到xss攻击,因为js语句已经放在数据库里了。

而反射型xss则不是这样,每次触发只能手动输入和点击才能触发。

我认为xss产生的原因主要是对html标签审查不严格造成的。

dvwa xss例题

下面写一下dvwa中的三种难度的反射型xss。

<?php
// Low难度
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 
   
    // Feedback for end user
    echo '<pre>Hello ' . $_GET[ 'name' ] . '</pre>';
}
?>

这里没有对输入$_GET['name']做任何限制,我们完全可以在这个变量里写一个script标签。

xss low

成功弹出


<?php
// Medium 难度
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 
   
    // Get input
    $name = str_replace( '<script>', '', $_GET[ 'name' ] );
    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}
?>

这里把输入里的<script>替换为了空字符。但是这里是大小写敏感的,我们完全可以大写绕过。

<Script>alert("medium")</script>

medium

medium xss

或者双拼绕过。

<scri<script>pt>alert("medium")</script>
<?php
// High 难度
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 
   
    // Get input
    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );
    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}
?>

最高难度用了正则匹配,并且大小写不敏感。上面两种方法都失效了。

但是它只过滤了script标签这种xss,还可以利用img标签报错来实现弹窗。

<img src=0 οnerrοr=alert("high")>

high xss

CTFHUB的题目

然后我便开始做ctfhub的题目了。我试了一下,发现它没有任何验证,可以直接xss。

ctfhub xss

xss

但是我不知道flag会藏在哪里,xss的作用只是操控js,会不会藏在cookie里呢?

cookie?

没有flag

很不幸,没有flag。我陷入了人生和社会的大思考。

最终没法,看了writeup。发现需要利用到第二个输入框。

第二个输入框

第二个输入框点击send之后就会显示successfully,但是这个它发送到哪里无法确定,这个网页用到Bootstrap,我不太熟悉。这可以肯定的是它有一个后端。

然后可以利用xss platform来进行获得它与后端的信息。

在xss platform里新建一个项目然后复制其中的实例代码。

xss-platform

把payload在第一个输入框提交,然后复制url到第二个输入框提交后,就会在xss platform里得到相应。

大体情况

cookie中的flag

下面进行战术总结

我们一开始直接用xss来看cookie,发现没有flag。我一开始觉得奇怪,觉得flag就应该藏到这个地方,不然还能藏哪呢?

我这里犯了一个原则性的错误。我们用xss一般的用途是什么?是获取cookie嘛?

是获取cookie,但更准确的说,是获取别人的cookie。

cookie相当于每个人的登录凭证,如果得到了别人的cookie,我们将可以不用输账号密码,直接登录。

所以flag一定是不可能藏在自己的cookie里的,自己的cookie没有意义,自己的cookie能直接浏览器控制台里知道,也不需要xss。ctf的题目应该是让我们获得别人的cookie,但是这是ctf的题目,不是公共的服务,没有其他用户,所以ctf模拟了一个机器人。

bot

那就很清楚了,我们的目标就是获得这个机器人的Cookie,然后”盗它的号”,所以获取了这个机器人的Cookie就意味着成功。所以理所应当的,flag也就藏在cookie里了。

所以第二个文本框就是模拟别人点击这个包含xss的链接的情形。

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/141875.html原文链接:https://javaforall.cn

【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛

【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...

(0)


相关推荐

  • C#点餐系统_点餐系统数据库设计

    C#点餐系统_点餐系统数据库设计一.编程思想1.首先考虑需要什么样的界面;2.界面中需要用到的控件,以及控件的简单设置;3.在不需要按钮控件的情况下,点击会生成按钮的实现;4.通过点击后生成的菜品统计以及价格的自动计算;二.编程核心1.获取控件中的内容;2.添加按钮点击事件;3.对控件中的内容封装传递后并在下一步取出;4.label控件和button控件的生成;5.主要用到了foreach进行遍历;三.实现……

  • python 优雅退出_Python学习教程:Python 使用 backoff 更优雅的实现轮询

    python 优雅退出_Python学习教程:Python 使用 backoff 更优雅的实现轮询我们经常在开发中会遇到这样一种场景,即轮循操作。今天介绍一个Python库,用于更方便的达到轮循的效果——backoff。Python学习教程:Python使用backoff更优雅的实现轮询backoff模块简介及安装这个模块主要提供了是一个装饰器,用于装饰函数,使得它在遇到某些条件时会重试(即反复执行被装饰的函数)。通常适用于我们在获取一些不可靠资源,比如会间歇性故障的资源等。此外,装饰…

  • AJAX培训笔记_js基础笔记

    AJAX培训笔记_js基础笔记7.10——–Ajax:AsynchronousJavaScriptAndXML异步的JavaScript和XML1:编写ajax遵守基本标准习惯标签名全小写,标签必须有结束标签,属性名必须小写,属性值必须位于“”或”内2:创建ajax服务端代码:AjaxServer.java和普通的servlet类似,区别在于,普通servlet返回的是页面,而a

  • 计算一段日期内的周末天数(星期六,星期日总和)(

    计算一段日期内的周末天数(星期六,星期日总和)(简介:这是计算一段日期内的周末天数(星期六,星期日总和)(的详细页面,介绍了和php,有关的知识、技巧、经验,和一些php源码等。class='pingjiaF'framebord

  • python lmdb_python compile函数

    python lmdb_python compile函数使用Python合并lmdb文件

  • 第二个五年计划_二五计划是那几年

    第二个五年计划_二五计划是那几年第一个五年目标已经实现,下一个五年目标。2018年8月的目标:寄语:人生在世,全靠游戏一、学习1、学习java和python2018年年底前,将java精通2019年开始学习python

发表回复

您的电子邮箱地址不会被公开。

关注全栈程序员社区公众号