CTFHUB——反射型XSS详解「建议收藏」

CTFHUB——反射型XSS详解「建议收藏」背景本来看ctfhub上有xss的题目,打算好好学习一波,结果点开一看,只有一道题2333。便现在dvwa上熟悉了一波。所谓反射型是相对于存储型来讲的。如果黑客的xss注入是通过某种方式储存到了数据库中,那就是存储型的,这种xss的特点就是每次访问该页面都会收到xss攻击,因为js语句已经放在数据库里了。而反射型xss则不是这样,每次触发只能手动输入和点击才能触发。我认为xss产生的原因主要是对便签审查不严格造成的。dvwaxss例题下面写一下dvwa中的三种难度的反射型xss。<?

大家好,又见面了,我是你们的朋友全栈君。

背景

本来看ctfhub上有xss的题目,打算好好学习一波,结果点开一看,只有一道题2333。

便现在dvwa上熟悉了一波。所谓反射型是相对于存储型来讲的。

如果黑客的xss注入是通过某种方式储存到了数据库中,那就是存储型的,这种xss的特点就是每次访问该页面都会收到xss攻击,因为js语句已经放在数据库里了。

而反射型xss则不是这样,每次触发只能手动输入和点击才能触发。

我认为xss产生的原因主要是对html标签审查不严格造成的。

dvwa xss例题

下面写一下dvwa中的三种难度的反射型xss。

<?php
// Low难度
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 
   
    // Feedback for end user
    echo '<pre>Hello ' . $_GET[ 'name' ] . '</pre>';
}
?>

这里没有对输入$_GET['name']做任何限制,我们完全可以在这个变量里写一个script标签。

xss low

成功弹出


<?php
// Medium 难度
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 
   
    // Get input
    $name = str_replace( '<script>', '', $_GET[ 'name' ] );
    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}
?>

这里把输入里的<script>替换为了空字符。但是这里是大小写敏感的,我们完全可以大写绕过。

<Script>alert("medium")</script>

medium

medium xss

或者双拼绕过。

<scri<script>pt>alert("medium")</script>
<?php
// High 难度
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 
   
    // Get input
    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );
    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}
?>

最高难度用了正则匹配,并且大小写不敏感。上面两种方法都失效了。

但是它只过滤了script标签这种xss,还可以利用img标签报错来实现弹窗。

<img src=0 οnerrοr=alert("high")>

high xss

CTFHUB的题目

然后我便开始做ctfhub的题目了。我试了一下,发现它没有任何验证,可以直接xss。

ctfhub xss

xss

但是我不知道flag会藏在哪里,xss的作用只是操控js,会不会藏在cookie里呢?

cookie?

没有flag

很不幸,没有flag。我陷入了人生和社会的大思考。

最终没法,看了writeup。发现需要利用到第二个输入框。

第二个输入框

第二个输入框点击send之后就会显示successfully,但是这个它发送到哪里无法确定,这个网页用到Bootstrap,我不太熟悉。这可以肯定的是它有一个后端。

然后可以利用xss platform来进行获得它与后端的信息。

在xss platform里新建一个项目然后复制其中的实例代码。

xss-platform

把payload在第一个输入框提交,然后复制url到第二个输入框提交后,就会在xss platform里得到相应。

大体情况

cookie中的flag

下面进行战术总结

我们一开始直接用xss来看cookie,发现没有flag。我一开始觉得奇怪,觉得flag就应该藏到这个地方,不然还能藏哪呢?

我这里犯了一个原则性的错误。我们用xss一般的用途是什么?是获取cookie嘛?

是获取cookie,但更准确的说,是获取别人的cookie。

cookie相当于每个人的登录凭证,如果得到了别人的cookie,我们将可以不用输账号密码,直接登录。

所以flag一定是不可能藏在自己的cookie里的,自己的cookie没有意义,自己的cookie能直接浏览器控制台里知道,也不需要xss。ctf的题目应该是让我们获得别人的cookie,但是这是ctf的题目,不是公共的服务,没有其他用户,所以ctf模拟了一个机器人。

bot

那就很清楚了,我们的目标就是获得这个机器人的Cookie,然后”盗它的号”,所以获取了这个机器人的Cookie就意味着成功。所以理所应当的,flag也就藏在cookie里了。

所以第二个文本框就是模拟别人点击这个包含xss的链接的情形。

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/141875.html原文链接:https://javaforall.cn

【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛

【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...

(0)
blank

相关推荐

  • Tasklist使用详解

    Tasklist使用详解用jstat查看jvm内存的使用的情况时,因为是windows机器,不能使用top命令方便的查出来,进程好在网上搜了一下看到了在windows原来使用的是tasklist特意将tasklist的用法记录下来。原帖的地址是:http://hi.baidu.com/lgh_boffin/blog/item/314b1194fb957c18d21b70b6.html“Tasklist”命令是…

  • pycharm安装opencv-python_geany配置python

    pycharm安装opencv-python_geany配置python近期在学习计算机视觉,需要配置python以及OpenCV

  • LAMP安全配置「建议收藏」

    LAMP安全配置「建议收藏」1.设置mysql密码,删除多余root账号[root@localhost~]#mysql-uroot-pmysql>setpassword=password(“111″);mysql>usemysql;mysql>deletefrom`user`whereuser!=”root”;mysql>deletefrom`user`whereuser=”root”

  • AQS原理及用法_aqs是什么意思

    AQS原理及用法_aqs是什么意思AQS原理及用法1AQS简介AQS全称为AbstractQueuedSynchronizer,是Java中的一个抽象类。AQS是一个用于构建锁、同步器、协作工具类的工具类(框架)。有了AQS之后,更多的协作工具类都可以方便得被写出来。有了AQS,构建线程协作类就容易多了。控制并发流程的类,都需要线程等待和唤醒的功能,这是这些类的共同特点,因此可以抽象出一个基类,这就是AQS。AQS广泛用于控制并发流程的类,如下图:其中Sync是这些类中都有的内部类,其结构如下:

  • C#网络编程(基本概念和操作) – Part.1

    C#网络编程(基本概念和操作) – Part.1

  • git fetch 和git pull 的差别

    git fetch 和git pull 的差别

发表回复

您的电子邮箱地址不会被公开。

关注全栈程序员社区公众号