突破xss字符数量限制执行任意js代码

《突破xss字符数量限制执行任意js代码》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、突破XSS字符数量限制执行任意JS代码～教育资源库　　一、综述　　有些XSS漏洞由于字符数量有限制而没法有效的利用，只能弹出一个对话框来YY，本文主要讨论如何突破字符数量的限制进行有效的利用，这里对有效利用的定义是可以不受限制执行任意JS。对于跨站师们来说，研究极端情况下XSS利用的可能性是一种乐趣；对于产品安全人员来说，不受限制的利用的可能是提供给开发人员最有力的证据，要求他们重视并修补这些极端情况下的XSS漏洞。　　突破的方法有很多种，但是突破的思想基本都一样，那就是执行可以控制的不受限制的数据。　　二、突破方法　　

2、2.1利用HTML上下文中其他可以控制的数据　　可控的安全的数据　　alert(/xss/);　　由于XSS点有字符数量限制，所以这里只能弹框，那么我们可以把XSS的Payload通过escape编码后作为安全的数据，输出到可控的安全数据位置，然后在XSS点执行可控的安全数据：　　eval(unescape(x.innerHTML));　　长度：28+len(id)　　由于x内部的数据没有字符数量的限制，那么从而可以达到执行任意JS的目的。　　2.2利用URL中的数据　　长度：30　　limited_xss_point&

3、gt;eval(location.href.substr(80));　　长度：31　　上面两个例子对比，前一个例子更短，那么有没有办法更短呢？通过查阅t手册的String的方法可以发现，切割字符串有一个更短的函数slice，5个字符比substr还要短一个字符：　　长度：29　　eval(location.href.slice(80));　　长度：30　　那么还有没有办法更短呢？答案是YES，查阅一下MSND里的location对象的参考你会发现有个hash成员，获取#之后的数据，那么我们可以把要执行的代码放在#后面，然

4、后通过hash获得代码执行，由于获得的数据是#开头的，所以只需要slice一个字符就可以拿到代码：　　eval(location.hash.slice(1));　　长度：29　　这样比上面的例子又少了一个字符。那么还可以更短么？　　2.3JS上下文的利用　　为什么我如此痛苦？那是因为JS和DHTML的方法名和属性名太长！瞧瞧这些糟糕的名字：String.fromCharCodegetElementByIdgetElementsByTagNameXMLHTTPRequest...　　就连开发人员也不愿意多写一次，于是很多站

5、点的前端开发工程师们封装了各式各样的简化函数，最经典的例子就是：　　这些函数同样可以为我们所用，用来缩短我们的Payload的长度。不过上面这个例子不是最短的，IE和FF都支持直接通过ID来引用一个元素。有些函数可以直接用来加载我们的代码：nloads(url)...loads(x);　　长度：len(函数名)+len(url)+5　　当然你的url则是越短越好哦！有些函数则会帮我们去作HTTP请求：nget(url)...returnx.responseText;eval(get(x));　　长度：len(函数名)+l

6、en(url)+11　　道哥则提出有些流行的JS的开发框架也封装了大量功能强劲的库可供调用，比如：JQueryYUI...　　综上所述，我们可以通过分析JS上下文现有的框架、对象、类、函数来尽可能的缩短我们的代码，进而突破长度限制执行任意代码。　　2.4利用浏览器特性在跨域的页面之间传递数据　　虽然有同源策略的限制，浏览器的功能设计上仍然保留了极少数的可以跨域传递数据的方法，我们可以利用这些方法来跨页面传递数据到被XSS的域的页面去执行。　　攻击者可以在自己的域上构造页面跳转到被XSS页面，在自己域上的页面的url里带了

7、Payload，被XSS的页面通过referrer获取相关代码执行。　　这种方式利用上还有一些问题，如果使用location.href或者实现的自动跳转，在IE里被攻击页面拿不到referrer，而FF则可以。QZ建议用表单提交的方式比较好，我测试了下，果然通用，FF/IE都可以成功获取referrer：　　2.4.2剪切板clipboardData　　攻击者在自己域的页面上通过clipboardData把Payload写入剪切板，然后在被XSS页面获取并执行该数据。　　被XSS的页面：　　eval(clipboardD

8、ata.getData(text));　　长度：36　　这种方式只适用于IE6系列，并且在IE7及以上版本的浏览器会有安全提示。　　这是一个很少被用到的特性，在研究同源策略时就注意过这个属性，它是可以跨域传递数据的，但是这个特性本身并不是漏洞。　　攻击者构造的页面：　　被XSS的页面：　　eval(name);　　长