分类 xss-labs 下的文章

1.跟前两关一样使用空格尝试隔开参数,结果失败

查看后端源码后才知道是对拼接进行了改写,提交的参数无法跳出src

2. 27个英文字母都不认的齐的我去翻译了下主界面的单词意思

说什么未定义不兼容,对于 .swf文件不熟悉的我去查了下这种格式是怎么回事

swf文件百度百科信息,反正就是看的不太明白

3.然后得知这玩意是可以反编译的,于是从网上下载了相关的反编译工具 JPEXS,从服务器找到 xsf03.swf这个文件,直接拖入反编译程序中。

然后在文件的脚本那里找到了出错的sIFR,点击打开后发现了我们页面显示的报错信息,是赋值给了 "VERSION_WARNING"这个变量,中文意思就是“版本警告”,难不成说什么不兼容是版本问题?

使用查找功能查找一下 VERSION_WARNING 变量在哪应用了,

这里先把VERSION.WARNING以%s打散成数组,然后再以version的方式组合成字符串。搜索了一圈,并没有version,哎,对flash太不熟悉了,只通过p-code发现了这样的一个东西

4.回到我们的level 19,url中同样是get了两个参数,并且拼接到了 src里面

在新标签页中打开,这url怎么有点眼熟,像是我们之前一直做的php传进参数

难不成swf文件也能传入参数?带着这个疑问我去百度了下,还真的可以

这一下就有思路了,前面的提示信息不是说什么未定义不兼容吗,然后逆向追踪到了输出信息version,难不成是version没有定义?那我们就给它定义一个version

xsf03.swf?version=1

提交后发现提示内容发生了改变,“undefined”变成了“1”,也就是我们定义的version

5.回到 level19提交也一样

那既然有回显信息,我们可以构造一个标签看能不能插进去

可以看到有了效果

点击后可以触发JavaScript命令

至于这种xss的具体原理我也不懂,感兴趣的同学可以自行去翻阅资料

这题跟上一题一摸一样,连源码都一样,就插入的那个文件不一样而已

都是添加事件属性触发javascript伪协议

审查前端源码,这次显示内容的地方使用了 <embed>标签

通过url知道提交了两个参数arg01和arg02,我们先修改两个参数看看

查看后端原来是使用了拼接字符串

echo "<embed src=xsf01.swf?".htmlspecialchars($_GET["arg01"])."=".htmlspecialchars($_GET["arg02"])." width=100% heigth=100%>";

那么这就容易了,我们利用html的特性会自动给等于号后面的参数添加双引号,在arg01的等于号后添加个空格,再看源码,结构发生了改变

由于embed时支持html事件属性的,那我们完全可以给他添加一个属性,那我们就添加个 onclick属性把,点击就触发

level17.php?arg01= onclick&arg02=javascript:alert('xss')

提交后可以看到已经成功把属性插入了进去

点击元素区可以触发这个事件,

1.查看过滤规则

2.发现进行了统一转换为小写,并且把 "script"、"/"、"空格" 转换为"&nbsp" 这个实体编码,那这里我们就不能使用双写绕过和大小写混合绕过了,

于是尝试用%0a隔开script,发现隔开成功不会被过滤

通过前端源码查看,发现输入的内容输出在<center>这个标签内,这个标签的作用是把里面的内容居中显示在网页。

3.那这就有意思了,script我们可以使用%a0隔开绕过替换,空格替换可以使用%0a代替,但是反斜杠却没法绕过,所以只能不使用反斜杠。

所以这里我们构造一个a标签,使用%0a代替空格,因为反斜杠不能使用,所以暂且不闭合

<a%0ahref="javascr%0aipt:alert('xss')">

提交后通过源码审查有意思的是,程序自动加上</a>帮我们闭合了a标签,虽然我们没有在页面建立超链接,但是点击图片和下面的“payload长度”可以触发我们的JavaScript伪协议内容。

4.如果想要在网页显示超链接文本的话,可以在我们添加的payload后面加上要显示的超链接文本内容。

当点击超链接时会执行我们的javascrip脚本

1.这里引用了angular.min.js javascript框架。关于这个框架

然后我在网上找到了这个框架的包含模块资料,也就是ng-include,类似于文件包含这么一个功能

ng-include可以包含一个html文件(但不限于html文件), 但只是加载一个静态页面显示在前端,不会加载里面的js, 使用时要在文件名要用单引号包起来,下面是一个实例

2.查看后台源码,发现src被ng-include引用了,根据ng-inculde的资料介绍,我们包含一个文件试试,因为默认情况下不允许包含其他域名的文件,那我们就包含一下这关的主页level15.php,注意单引号包起来

发现没有,出现了一个网页出现了两个主界面。

尝试包含第一关也包含成功,

3.那既然能够包含外部文件,如果我又对外部文件进行参数提交会怎样呢?

那我们在当前界面尝试对level1.php进行操作插入一个<p>标签,发现当前页面显示出来了,也就是说,ng-include不仅能引进其他文件显示在当前界面,对其的参数提交操作也能显示。

4.然后我尝试直接使用弹窗,发现代码插入了但是没有执行,因该是ng-include限制了不能加载自带的js,需要载入后二次触发才可以触发,那我们可以像前面的关卡一样,构造一个按钮或超链接,然后点击触发

5.我这里直接构造一个a标签,提交后发现连level1.php也没法显示,因该是使用了单引号破坏了闭合,致使代码不完整无法执行包含

那我们就使用 / 代替单引号,

提交后可以看到有反应了,显示出了我们的超链接

点击超链接后执行了href后面的javascript代码。

这样就完成了一次xss攻击,

6.分析:

原本的后端代码:

echo '<body><span class="ng-include:'.htmlspecialchars($str).'"></span></body>';

当我们提交src的值 'level1.php?name=<a href=javascript:alert(/xss/)>click here</a>'的时候,后端处理的实际操作时这样的:

echo '<body><span class="ng-include:'level1.php?name=<a href=javascript:alert(/1/)>click here!</a>'"></span></body>';

就会达到一种像sql注入时因闭合符号,而导致的语句发生改变的情况。实际上程序会认为这是一句ng-include命令,把ng-include:后面单引号包起的语句给进行包含显示在前端。

实例: