XSS语义分析的阶段性总结(二)（xss分类包括哪些）
cac55 2024-10-01 07:37 47 浏览 0 评论
原创 Kale 合天智汇
前言
上次分享了javascript语义分析，并且简单介绍了新型xss扫描器的一些想法，如何在不进行大量fuzz的情况下又能准确的检测出xss漏洞，这其中我们又可以尽量的避免触发waf的xss防护功能！
首先先接着上文介绍一下html语义分析的方法。
扫描思路
HTML语义分析
如果把html语义分析看为对html结构的解析与识别，在python中我们可以使用HTMLParser，对，又是python帮我解决了难题。在XSStrike里面同样使用了自定义的HTMLParser进行漏洞的辅助识别。
我们可以通过继承HTMLParser并重载其方法来实现我们需要的功能
下面是简单的 HTML 解析器的一个基本示例，使用 HTMLParser 类，当遇到开始标记、结束标记以及数据的时候将内容打印出来
class MyHTMLParser(HTMLParser):
def handle_starttag(self, tag, attrs):
print("Encountered a start tag:", tag)
def handle_endtag(self, tag):
print("Encountered an end tag :", tag)
def handle_data(self, data):
print("Encountered some data :", data)
parser = MyHTMLParser()
parser.feed('<html><head><title>Test</title></head>'
'<body><h1>Parse me!</h1></body></html>')我们需要定义一个我们自己的HTML解析器来处理我们的标签，标识出来script标签，html注释，html标签，属性，css等等
部分代码如下
寻找反射点的思路和js的类似，通过遍历标签来来解析html结构，tagname代表标签名，attibutes代表属性，content代表数据内容，#comment代表注释，每个标签被封装为字典形式的列表元素
使用以下的demo
<body>
<a href="?q=1&w=2&e=3&r=4&t=5">test</a>
<style>
body{
background:#aaaflag{111222};
}
</style>
<script>
var a = 'xx';flag{111222}</script>
<div>
<textarea>flag{111222}</TexTarea>kkk
</div>ffff<aaaaa>bb
<input style="color:flag{111222}" value2="flag{111222}" aflag{111222}="aaa"/>
<!--
this is comment
5flag{111222}
-->
</body>
</html>处理后的效果
处理完html标签，接下该寻找sink输出点在html的上下文。思路跟js的寻找思路是相同的
通过遍历列表内容来找到我们的input，部分代码如下：
最后会给出输出点上下文的一些细节信息，如是否是html标签等等
然后根据不同的上下文给出我们的payload，使用html语法树有很多好处，比如可以准确判断回显的位置
探究发包
X3Scan的扫描思路参考了一些xray的扫描思路，比如不发送一些产生危害的payload，只根据回显的上下文发送一些flag测试一些关键字符是否被转义和过滤，如<>,".',()等，如果没有过滤最后给出建议payload，如：confirm()
首先对于无法使用html和js解析的回显，如jsonp和json格式的相应包，我们使用如下的发包顺序：
随机flag ---》判断回显 ----》解析找不到回显 ---》发送<随机flag> ---》判断响应包中字符是否转义---》给出payload
最后给出<img src=1>的payload，对与jsonp_xss这里有一个tip，正常情况下判断jsonp_xss，会首先判断content-type是包含text/html，然后继续测试，实际测试中当content-type为空时，也可能存在xss漏洞，因此应该对两种情况都进行一下判断。
if 'html' in (resp_headers.get("content-type","").lower()) or resp_headers.get("content-type")==None:对于html标签内的内容
<h2>xxxxx</h2>
扫描器会依次发送0xb9d8c，</H2><mowvhry>当确认标签可以闭合，会给出</h2><img src=1>
对于标签属性
demo:https://brutelogic.com.br/xss.php?b3=
扫描器会依次发送0xb78123，'psafq='，'><arcbvyf>，"psafq="，"><arcbvyf>，当确认引号和尖括号没有被过滤时，最终给出"><img src=1>，"OnMoUsEoVeR=confirm()//。
对于html注释
<!-- this is comment <?php echo $t;?> -->
扫描器会依次发送0xfda748，--><aorxlwd>，--!><aorxlwd>，当确定-->或--!>没有过滤时，给出payload，--><aorxlwd>
对于script标签的回显
扫描器会依次发送0x829a5c，-829a5c-，</sCRiPt><sCRiPt>dncjbwv</sCRiPt>，当最后确认</sCrIpT>未被过滤时，最终给出payload，</sCRiPt><sCRiPt>confirm()</sCRiPt>
另外一种情况就是回显到script标签的注释里面
使用以下demo
<html>
<body>
<script>
var a = 1;
// inline <?php echo $_GET["a"];?>
/*
<?php echo $_GET["b"];?> */
</script>
</body>
</html扫描器会依次发出0x829a5c，-829a5c-，</sCRiPt><sCRiPt>dncjbwv</sCRiPt>，\n;rmhwe;//，最后给出payload，</sCRiPt><sCRiPt>confirm()</sCRiPt>,/n;prompt(1);//。
对于块注释，扫描器会依次发出，0xc13f，*/0xc13f;/*，最后给出payload，*/prompt(1);/*
通过上面的分析，我们可以发现使用html语法树有很多好处，比如通过发送一个随机payload，例如：<wrqweew>,然后通过html语法树检测是否有wrqweew这个标签，便可以确定payload是否执行成功了。
对于回显在js的情况，发送测试payload后，通过js语法树解析确定Identifier和Literal这两个类型中是否包含，如果payload是Identifier类型，就可以直接判断存在xss，最后给出payload，confirm();//。如果payload是Literal类型，再通过单双引号来测试是否可以闭合。
另外，还有一些比较精致的技巧，比如对payload的随机大小写，由于html对大小写是不敏感的，但是一些waf由于设计缺陷能会被绕过。
大致流程
扫描器大致流程：
发送随机字符--》确认参数回显---》通过html/js解析确认回显位置--》根据回显的上下文发送不同的payload进行测试--》使用html，js语法树解析是否多出来标签，属性，js语句等来确定是否执行成功成果展示
由于一直处于开发阶段，并没进行大规模测试，但是偶尔也会有个小惊喜，某次调bug的时候发现京东某站的xss
实验推荐：
XSS进阶二
http://hetianlab.com/expc.do?ce=ae2460c3-845b-4aa3-a38a-976ca41f62f7
（恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而形成XSS攻击）"
声明：笔者初衷用于分享与普及网络知识，若读者因此作出任何危害网络安全行为后果自负，与合天智汇及原作者无关！
相关推荐
- Mac电脑强制删除任何软件方法-含自启动应用
-
对于打工者来说，进入企业上班使用的电脑大概率是会被监控起来，比如各种流行的数据防泄漏DLP，奇安信天擎，甚至360安全卫士，这些安全软件你想卸载是非常困难的，甚至卸载后它自己又安装回来了，并且还在你不...
- Linux基础知识 | 文件与目录大全讲解
-
1.linux文件权限与目录配置1.文件属性Linux一般将文件可存取的身份分为三个类别，分别是owner/group/others，且三种身份各read/write/execute等权限文...
- 文件保护不妥协:2025 年 10 款顶级加密工具推荐
-
数据安全无小事，2025年这10款加密工具凭借独特功能脱颖而出，从个人到企业场景全覆盖，第一款为Ping32，其余为国外英文软件。1.Ping32企业级加密核心工具，支持200+文件格...
- 省心省力 一个软件搞定系统维护_省心安装在哪里能找到
-
◆系统类似于我们居住的房间，需要经常打理才能保持清洁、高效。虽然它本身也自带一些清理和优化的工具，但借助于好用的第三方工具来执行这方面的任务，会更让人省心省力。下面笔者就为大家介绍一款集多项功能于一身...
- JAVA程序员常用的几个工具类_java程序员一般用什么软件写程序
-
好的工具做起事来常常事半功倍，下面介绍几个开发中常用到的工具类，收藏一下，也许后面真的会用到。字符串处理：org.apache.commons.lang.StringUtilsisBlank(Char...
- 手工解决Windows10的若干难题_windows10系统卡顿怎么解决
-
【电脑报在线】很多朋友已经开始使用Win10，估计还只是测试版本的原因，使用过程中难免会出现一些问题，这里介绍解决一些解决难题的技巧。技巧1：让ProjectSpartan“重归正途”从10074...
- System32文件夹千万不能删除，看完这篇你就知道为什么了
-
C:\Windows\System32目录是Windows操作系统的关键部分，重要的系统文件存储在该目录中。网上的一些恶作剧者可能会告诉你删除它，但你不应该尝试去操作，如果你尝试的话，我们会告诉你会发...
- Windows.old 文件夹:系统备份的解析与安全删除指南
-
Windows.old是Windows系统升级（如Win10升Win11）或重装时，系统自动在C盘创建的备份文件夹，其核心作用是保留旧系统的文件、程序与配置，为“回退旧系统”提供保...
- 遇到疑难杂症?Windows 10回收站问题巧解决
-
回收站是Windows10的一个重要组件。然而，我们在使用过程中，可能会遇到一些问题。例如，不论回收站里有没有文件，都显示同一个图标，让人无法判别回收站的空和满的真实情况；没有了像Windows7...
- 卸载软件怎么彻底删掉?简单几个步骤彻底卸载，电脑小白看过来
-
日常工作学习生活中，我们需要在安装一些软件程序，但随着软件的更新迭代速度，很多时候我们需要重新下载安装新的程序，这时就需要将旧的一些软件程序进行卸载。但是卸载软件虽然很简单，但是很多小伙伴们表示卸载不...
- 用不上就删!如何完全卸载OneDrive?
-
作为Windows10自带的云盘，OneDrive为资料的自动备份和同步提供了方便。然而，从隐私或其他方面考虑，有些人不愿意使用OneDrive。但Windows10本身不提供直接卸载OneDri...
- 【Linux知识】Linux下快速删除大量文件/文件夹方法
-
在Linux下，如果需要快速删除大量文件或文件夹，可以使用如下方法：使用rm命令删除文件：可以使用rm命令删除文件，例如：rm-rf/path/to/directory/*这个命令会递...
- 清理系统不用第三方工具_清理系统垃圾用什么软件
-
清理优化系统一定要借助于优化工具吗？其实，手动优化系统也没有那么神秘，掌握了方法和技巧，系统清理也是一件简单和随心的事。一方面要为每一个可能产生累赘的文件找到清理的方法，另一方面要寻找能够提高工作效率...
- 系统小技巧:软件卸载不了?这里办法多
-
在正常情况下，我们都是通过软件程序组中的卸载图标，或利用控制面板中的“程序和功能”模块来卸载软件的。但有时，我们也会发现利用卸载图标无法卸载软件或者卸载图标干脆丢失找不到了，甚至控制面板中卸载软件的功...
- 麒麟系统无法删除文件夹_麒麟系统删除文件权限不够
-
删除文件夹方法例：sudorm-rf文件夹名称。删除文件方法例：sudorm-r文件名包括扩展名。如果没有权限，给文件夹加一下权限再删。加最高权限chmod775文件名加可执行权限...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- 如何绘制折线图 (52)
- javaabstract (48)
- 新浪微博头像 (53)
- grub4dos (66)
- s扫描器 (51)
- httpfile dll (48)
- ps实例教程 (55)
- taskmgr (51)
- s spline (61)
- vnc远程控制 (47)
- 数据丢失 (47)
- wbem (57)
- flac文件 (72)
- 网页制作基础教程 (53)
- 镜像文件刻录 (61)
- ug5 0软件免费下载 (78)
- debian下载 (53)
- ubuntu10 04 (60)
- web qq登录 (59)
- 笔记本变成无线路由 (52)
- flash player 11 4 (50)
- 右键菜单清理 (78)
- cuteftp 注册码 (57)
- ospf协议 (53)
- ms17 010 下载 (60)