【Hadoop】-Hive初体验[13]-CFANZ编程社区

反射型XSS就是应用程序接收到一个HTTP请求，然后以不安全的方式映射到响应中，例如某应用程序构造以参数值为索引的HTTP请求
https://insecure-website.com/search?term=gift
然后应用程序会将参数值拼接到响应中
<p>You searched for: gift</p>
现在还属于是正常的参数值，那么如果我们将参数值设置为这个呢
https://insecure-website.com/search?term=<script>/*+Bad+stuff+here...+*/</script>
映射到响应中就会变成这样
<p>You searched for: <script>/* Bad stuff here... */</script></p>
这条响应如果被受害者打开，在经过浏览器的解析后，遇到闭合的script标签，会将其中内容按照JS脚本来解析，这就使得攻击者达到了其目的，执行了恶意的JS脚本。

（2）靶场复现：

进入靶场，发现搜索框：

搜索数字1并进行抓包，发包到repeater进行查看：

可以发现，参数 search 的值可以被映射到响应中，那么我们可以修改参数 search 的值为 <script>alert(1)</scipt>。

发现访问后出现弹窗。 这就表名此处存在XSS漏洞。

2、无编码操作的HTML上下文中的存储型XSS：

（1）存储型XSS漏洞原理：

存储型XSS就是应用程序从Web数据库获取数据后以不安全的形式映射到响应中，又称持久性XSS或二阶XSS。比如在某个提交评论的功能点提交评论，请求包是这样的：

这条评论在响应中的实现形式为：

<p>This+post+was+extremely+helpful</p>，由于是评论，所以每一个到评论区的用户都能接收到这条响应。

若将评论的语句改为 : <script>alert(1)</script>等恶意代码，则会造成大范围影响，每一个到达评论区接收到此响应的用户都会被波及。

（2）靶场复现：

在靶场评论区进行评论 <script>alert(1)</script>

证明：存在存储型XSS漏洞。

3、基于location.search和document.write使用的DOM型XSS漏洞：

（1）漏洞原理：

（2）靶场复现：

进入靶场，查看页面源代码，发现了如下代码：

审计代码：发现 URL中的search参数不经过任何处理便被赋值给 query，然后调用 trackSearch()函数直接将参数query 拼接至<img>标签中。

我们可以构造 search参数的值对 <img> 标签进行闭合，再跟上想要执行的恶意代码，来构造payload。

将 payload : "> <script>alert(1)</script> 赋值给 search。

闭合后效果如下：

出现弹窗，证明存在XSS漏洞。

4、HTML--select元素中基于location.search和document.write使用的DOM型XSS漏洞：

（1）HTML中的<select>元素：

（2）靶场复现：

进入靶场，view points，查看页面源代码：

代码中使用 window.location.search 来获取URL中的参数search 的值，并将其赋值给 store。

然后利用document.write将其与标签 <option selected></option>拼接后写入HTML文档。

构造payload: &storeId=</select><img%20src=1%20οnerrοr=alert(1)>。

拼接后效果如下：

出现弹窗，证明存在XSS漏洞。

5、基于location.search和innerHTML使用的DOM型XSS漏洞：

（1）什么是innerHTML:

（2）innerHTML的特性：

（3）靶场复现：

进入靶场，查看源代码：

既然 innerHTML 不接受 <script>标签与使用onload事件的<svg>标签，则使用 <img>标签和 onerror 事件来构造payload: <img src="1" οnerrοr="alert(1)">：

出现弹窗，证明存在XSS漏洞。

6、基于location.search和jQuery描点属性的DOM型XSS漏洞：

（1）jQuery库中的attr()函数：

（2）靶场复现：

进入靶场，测试submit feedback功能点，查看源代码：

可以通过修改 returnPath 的值来构造payload，利用JS伪协议，构造payload为：?returnPath =javascript:alert(1)。

存在XSS漏洞。

7、基于Angular JS框架的执行JS代码的DOM型XSS漏洞：

（1）漏洞原理：

（2）靶场复现：

进入靶场后，利用工具 Wappalyzer 可以得知使用框架为 Angular JS框架：

于是构造payload: {{$on.constructor('alert(1)')()}}。

成功弹窗，存在XSS漏洞。

三、基于反射型与存储型的DOM型XSS漏洞：

1、反射型DOM-XSS：

（1）靶场复现：

进入靶场，发现搜索框，搜索数字1，发现出现一个开始时没有的JS文件：

发现出现一个JS文件，查看源代码并进行审计：

function search(path) {
    var xhr = new XMLHttpRequest();
    xhr.onreadystatechange = function() {
        if (this.readyState == 4 && this.status == 200) {
            eval('var searchResultsObj = ' + this.responseText);
            displaySearchResults(searchResultsObj);
        }
    };
    xhr.open("GET", path + window.location.search);
    xhr.send();

发现函数中调用了eval()函数，只要返回包responseText中存在Json格式的javascript恶意代码，eval()函数便可执行。