米斯特白帽培訓講義漏洞篇 XSS

講師：gh0stkey

整理：飛龍

協議：CC BY-NC-SA 4.0

跨站腳本攻擊（Cross Site Scripting），為不和層疊樣式表（Cascading Style Sheets，CSS）的縮寫混淆，故將跨站腳本攻擊縮寫為 XSS 。惡意攻擊者往 Web 頁面里插入惡意 JavaScript 代碼，當用戶瀏覽器該頁之時，嵌入 Web 頁面里的代碼會被執行，從而達到惡意攻擊用戶的目的。

Payload

Payload 的中文含義是有效載荷，在 XSS 中指代攻擊代碼或攻擊語句。

常見的 Payload 有：

正常彈窗
- <script>alert(1)</script>
- <img src=0 onerror=alert(1)>
彈出網站 Cookie
- <script>alert(document.cookie)</script>
- <img src=0 onerror=alert(document.cookie)>

原理：反射型

非持久化，需要欺騙用戶點擊鏈接才能觸發 XSS 代碼（數據庫中沒有這樣的頁面和內容）。Payload 一般存在于 URL 或者 HTTP 正文中，需要構造頁面，或者構造 URL。

將這段代碼保存為xss.php。

<?php
header('X-XSS-Protection: 0');
?>
<p>反射型 XSS 演示</p>
<form action="" method="get">
    <input type="text" name="xss"/>
    <input type="submit" value="test"/>
</form>
<?php
$xss = @$_GET['xss'];
if($xss!==null){
    echo $xss;
}

我們看到，這段代碼中首先包含一個表單，用于向頁面自己發送 GET 請求，帶一個名為xss的參數。然后 PHP 會讀取該參數，如果不為空，則直接打印出來，我們看到這里不存在任何過濾。也就是說，如果xss中存在 HTML 結構性的內容，打印之后會直接解釋為 HTML 元素。

我們部署好這個文件，訪問http://localhost/xss.php，如圖：

我們直接輸入一個 HTML 代碼，比如<script>alert(1)</script>，之后點擊test：

我們可以看到彈窗，也就是我們輸入的 HTML 代碼被執行了。

之后我們查看元素，這表明，我們輸出的內容直接插入到了頁面中，解釋為<script>標簽。

我們可以自定義彈窗中的內容來利用 XSS，比如改成alert(document.cookie)。

這個例子中 URL 為http://localhost/xss.php?xss=%3Cscript%3Ealert%281%29%3C%2Fscript%3E，這個 URL 容易引起懷疑，可以使用短網址工具縮短后發送給受害者。

從上面的例子中，我們可以看出，反射型 XSS 的數據流向是：瀏覽器 -> 后端 -> 瀏覽器。

原理：存儲型

持久化，代碼儲存在數據庫中。如在個人信息或發表文章等地方，假如代碼，如果沒有過濾或過濾不嚴，那么這些代碼將儲存到數據庫中，用戶訪問該頁面的時候出發代碼執行。這種 XSS 比較危險，容易造成蠕蟲，盜竊 Cookie 等。

這里我們把xss.php內容改為（同時數據庫中需要配置相應的表）：

<?php
header('X-XSS-Protection: 0');
?>
<p>存儲型 XSS 演示</p>
<form action="" method="post">
    <input type="text" name="xss"/>
    <input type="submit" value="test"/>
</form>
<?php
$xss=@$_POST['xss'];
mysql_connect("localhost","root","root");
mysql_select_db("xss");
if($xss!==null){
    $sql="insert into test(id,payload) values('1',$xss)";
    $result=mysql_query($sql);
    echo $result;
}

可以看到，用戶輸入的內容還是沒有過濾，但是不直接顯示在頁面中，而是插入到了數據庫。

我們新建res.php，內容為：

mysql_connect("localhost","root","root");
mysql_select_db("xss");
$sql="select payload from test where id=1";
$result=mysql_query($sql);
while($row=mysql_fetch_array($result)){
    echo $row['payload'];
}

該代碼從數據庫讀取了之前插入的內容，并將其顯示出來。

我們部署之后首先查看test數據庫，確認它是空的：