XSS语义分析的阶段性总结(二)（xss分类包括哪些）
cac55 2024-10-01 07:37 40 浏览 0 评论
原创 Kale 合天智汇
前言
上次分享了javascript语义分析，并且简单介绍了新型xss扫描器的一些想法，如何在不进行大量fuzz的情况下又能准确的检测出xss漏洞，这其中我们又可以尽量的避免触发waf的xss防护功能！
首先先接着上文介绍一下html语义分析的方法。
扫描思路
HTML语义分析
如果把html语义分析看为对html结构的解析与识别，在python中我们可以使用HTMLParser，对，又是python帮我解决了难题。在XSStrike里面同样使用了自定义的HTMLParser进行漏洞的辅助识别。
我们可以通过继承HTMLParser并重载其方法来实现我们需要的功能
下面是简单的 HTML 解析器的一个基本示例，使用 HTMLParser 类，当遇到开始标记、结束标记以及数据的时候将内容打印出来
class MyHTMLParser(HTMLParser):
def handle_starttag(self, tag, attrs):
print("Encountered a start tag:", tag)
def handle_endtag(self, tag):
print("Encountered an end tag :", tag)
def handle_data(self, data):
print("Encountered some data :", data)
parser = MyHTMLParser()
parser.feed('<html><head><title>Test</title></head>'
'<body><h1>Parse me!</h1></body></html>')我们需要定义一个我们自己的HTML解析器来处理我们的标签，标识出来script标签，html注释，html标签，属性，css等等
部分代码如下
寻找反射点的思路和js的类似，通过遍历标签来来解析html结构，tagname代表标签名，attibutes代表属性，content代表数据内容，#comment代表注释，每个标签被封装为字典形式的列表元素
使用以下的demo
<body>
<a href="?q=1&w=2&e=3&r=4&t=5">test</a>
<style>
body{
background:#aaaflag{111222};
}
</style>
<script>
var a = 'xx';flag{111222}</script>
<div>
<textarea>flag{111222}</TexTarea>kkk
</div>ffff<aaaaa>bb
<input style="color:flag{111222}" value2="flag{111222}" aflag{111222}="aaa"/>
<!--
this is comment
5flag{111222}
-->
</body>
</html>处理后的效果
处理完html标签，接下该寻找sink输出点在html的上下文。思路跟js的寻找思路是相同的
通过遍历列表内容来找到我们的input，部分代码如下：
最后会给出输出点上下文的一些细节信息，如是否是html标签等等
然后根据不同的上下文给出我们的payload，使用html语法树有很多好处，比如可以准确判断回显的位置
探究发包
X3Scan的扫描思路参考了一些xray的扫描思路，比如不发送一些产生危害的payload，只根据回显的上下文发送一些flag测试一些关键字符是否被转义和过滤，如<>,".',()等，如果没有过滤最后给出建议payload，如：confirm()
首先对于无法使用html和js解析的回显，如jsonp和json格式的相应包，我们使用如下的发包顺序：
随机flag ---》判断回显 ----》解析找不到回显 ---》发送<随机flag> ---》判断响应包中字符是否转义---》给出payload
最后给出<img src=1>的payload，对与jsonp_xss这里有一个tip，正常情况下判断jsonp_xss，会首先判断content-type是包含text/html，然后继续测试，实际测试中当content-type为空时，也可能存在xss漏洞，因此应该对两种情况都进行一下判断。
if 'html' in (resp_headers.get("content-type","").lower()) or resp_headers.get("content-type")==None:对于html标签内的内容
<h2>xxxxx</h2>
扫描器会依次发送0xb9d8c，</H2><mowvhry>当确认标签可以闭合，会给出</h2><img src=1>
对于标签属性
demo:https://brutelogic.com.br/xss.php?b3=
扫描器会依次发送0xb78123，'psafq='，'><arcbvyf>，"psafq="，"><arcbvyf>，当确认引号和尖括号没有被过滤时，最终给出"><img src=1>，"OnMoUsEoVeR=confirm()//。
对于html注释
<!-- this is comment <?php echo $t;?> -->
扫描器会依次发送0xfda748，--><aorxlwd>，--!><aorxlwd>，当确定-->或--!>没有过滤时，给出payload，--><aorxlwd>
对于script标签的回显
扫描器会依次发送0x829a5c，-829a5c-，</sCRiPt><sCRiPt>dncjbwv</sCRiPt>，当最后确认</sCrIpT>未被过滤时，最终给出payload，</sCRiPt><sCRiPt>confirm()</sCRiPt>
另外一种情况就是回显到script标签的注释里面
使用以下demo
<html>
<body>
<script>
var a = 1;
// inline <?php echo $_GET["a"];?>
/*
<?php echo $_GET["b"];?> */
</script>
</body>
</html扫描器会依次发出0x829a5c，-829a5c-，</sCRiPt><sCRiPt>dncjbwv</sCRiPt>，\n;rmhwe;//，最后给出payload，</sCRiPt><sCRiPt>confirm()</sCRiPt>,/n;prompt(1);//。
对于块注释，扫描器会依次发出，0xc13f，*/0xc13f;/*，最后给出payload，*/prompt(1);/*
通过上面的分析，我们可以发现使用html语法树有很多好处，比如通过发送一个随机payload，例如：<wrqweew>,然后通过html语法树检测是否有wrqweew这个标签，便可以确定payload是否执行成功了。
对于回显在js的情况，发送测试payload后，通过js语法树解析确定Identifier和Literal这两个类型中是否包含，如果payload是Identifier类型，就可以直接判断存在xss，最后给出payload，confirm();//。如果payload是Literal类型，再通过单双引号来测试是否可以闭合。
另外，还有一些比较精致的技巧，比如对payload的随机大小写，由于html对大小写是不敏感的，但是一些waf由于设计缺陷能会被绕过。
大致流程
扫描器大致流程：
发送随机字符--》确认参数回显---》通过html/js解析确认回显位置--》根据回显的上下文发送不同的payload进行测试--》使用html，js语法树解析是否多出来标签，属性，js语句等来确定是否执行成功成果展示
由于一直处于开发阶段，并没进行大规模测试，但是偶尔也会有个小惊喜，某次调bug的时候发现京东某站的xss
实验推荐：
XSS进阶二
http://hetianlab.com/expc.do?ce=ae2460c3-845b-4aa3-a38a-976ca41f62f7
（恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而形成XSS攻击）"
声明：笔者初衷用于分享与普及网络知识，若读者因此作出任何危害网络安全行为后果自负，与合天智汇及原作者无关！
相关推荐
- 无力吐槽的自动续费（你被自动续费困扰过吗?）
-
今天因为工作需要，需要在百度文库上下载一篇文章。没办法，确实需要也有必要，只能老老实实的按要求买了个VIP。过去在百度文库上有过类似经历，当时为了写论文买了一个月的VIP，后面也没有太注意，直到第二个...
- 百度文库推出“文源计划”创作者可一键认领文档
-
11月7日，百度文库发布了旨在保护创作者权益的“文源计划”。所谓“文源计划”，即为每一篇文档找到源头，让创作者享受更多的权益。据百度文库总经理李小婉介绍，文源计划分为三部分，分别是版权认证、版权扶持和...
- 有开放大学学号的同学，百度文库高校版可以用了。
-
还在网上找百度文库的下载方式，只要从身边的朋友在读开放大学的，那他（她）的学号就可以登陆到国家开放大学图书馆，还使用百度文库高校版来下载。与百度文库稍有不同，但足够使用了。现转国图链接如下：htt...
- 搜索资源方法推荐（搜索资源的方法）
-
今天msgbox就要教大家如何又快又准的搜到各类资源，第一点，排除干扰百度搜索出来啊经常前排展示它的产品以及百度文库，如何去除呢？很简单，后面输入空格减号百度文库，比如你搜高等数学百度文库很多，只要后...
- 一行代码搞定百度文库VIP功能（2021百度文库vip账号密码共享）
-
百度文库作为大家常用查资料找文档的平台，大多数文档我们都可以直接在百度文库找到，然而百度文库也有让人头痛的时候。好不容易找到一篇合适的文档，当你准备复制的时候他却提示你需要开通VIP才能复制~~~下载...
- 百度文库文档批量上传工具用户说明书
-
百度文库文档批量上传工具用户说明书1、软件主要功能1、批量上传文档到百度文库，支持上传到收费、VIP专享、优享以及共享。2、支持自动分类和自动获取标签3、支持多用户切换，一个账户传满可以切换到...
- 百度文库现在都看不到文档是否上传成功，要凉了吗?
-
打开知识店铺，百度文库文档里显示都是下载这一按键，上传的文档也看不到是否成功？咋情况，要取消了吗？没通过审核的也不让你删除，是几个意思，想通吃吗？现在百度上传文档也很费劲，有时弄了半天的资料上传审核过...
- 微信推广引流108式:利用百度文库长期分享软文引流
-
百度文库相对于百度知道、百度百科来说，操作上没那么多条条框框，规则上也相对好把握些。做一条百度知道所花费的精力一般都会比做一条百度文库的要多些，老马个人操作下来觉得百度文库更好把握。但见仁见智吧，今天...
- 职场“避雷”指南 百度文库推出标准化劳动合同范本
-
轰轰烈烈的毕业季结束了，众多应届生在经过了“职场海选”后，已正式成为职场生力军的一员。这一阶段，除了熟悉业务，签订劳动合同、了解职场福利也迅速被提上日程。而随着国人法律意识的增强，百度文库内《劳动合同...
- 《百度文库》:素材精选宝库（百度文库官网首页）
-
《百度文库》：独特功能助力选择高质量素材在当今信息爆炸的时代，如何高效地获取并利用有价值的素材成为了许多人面临的挑战。而《百度文库》作为百度公司推出的一款在线文档分享平台，凭借其丰富的资源、强大的功能...
- 深度整合和开放AI能力 百度文库和网盘推出内容操作系统「沧舟OS」
-
【TechWeb】4月25日消息，Create2025百度AI开发者大会上，百度文库和百度网盘推出全球首个内容操作系统——沧舟OS。基于沧舟OS,百度文库APP全新上线「GenFlow超能搭子」...
- 女子发现大二作业被百度文库要求付费下载，律师:平台侵权，应赔偿
-
近日，28岁的黎女士在百度百科搜索家乡的小地名时，发现了自己在大二完成的课题作业。她继续搜索，发现多个平台收录了该文，比如豆丁网和文档之家等，有的还设置了付费或积分下载。2月15日，九派新闻记者以用户...
- 2016杀入百度文库的新捷径，只有少数人才知道的喔
-
百度的产品在SEO优化中的分量真不用多说，其实很多人都像我一样一直在找捷径。但是我经常发现很多人都是在用死方法。比如发贴吧发帖而不知道去申请一个吧主，知道自问自答而不知道去申请一个合作资格。口碑和贴吧...
- 百度文库付费文档搜索方法（百度文库付费文档搜索方法有哪些）
-
一直以来，百度文库中无论是个人中心还是个人主页，都没有像淘宝一样的店内搜索功能，连最近新开的知识店铺也没有设计店内搜索功能，这无论是对上传用户还是下载用户都不方便，上传用户想要搜索自己的文档无法办到...
- 供读者免费使用!泰达图书馆机构版百度文库新年上新啦
-
在泰达图书馆读者使用百度文库数字资源不需要VIP，免-费-用！惊不惊喜？快来了解一下吧……新年伊始，为满足区域企业、高校、科研院所以及居民群众在教学、科研及学习过程中，对各类文献资源的需求，泰达图书馆...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- 如何绘制折线图 (52)
- javaabstract (48)
- 新浪微博头像 (53)
- grub4dos (66)
- s扫描器 (51)
- httpfile dll (48)
- ps实例教程 (55)
- taskmgr (51)
- s spline (61)
- vnc远程控制 (47)
- 数据丢失 (47)
- wbem (57)
- flac文件 (72)
- 网页制作基础教程 (53)
- 镜像文件刻录 (61)
- ug5 0软件免费下载 (78)
- debian下载 (53)
- ubuntu10 04 (60)
- web qq登录 (59)
- 笔记本变成无线路由 (52)
- flash player 11 4 (50)
- 右键菜单清理 (78)
- cuteftp 注册码 (57)
- ospf协议 (53)
- ms17 010 下载 (60)