这一系列文章将为咱们展现如安在单页或JavaScript富应用上,运用Sboxr完成DOM XSS缝隙的主动发掘与运用。咱们将以https://domgo.at靶场中的10个DOM XSS的小操练为例,并为检测到的问题创立简略的PoC。
本文包含了前两个操练的设置阐明和解决方案。其他的咱们将在后续的文章中连续为咱们出现。咱们还将在Appsecco books发布一个gitbook,其间包含了一切操练的解决方案,网址为https://appsecco.com/books/。
什么是 DOM XSS/Client XSS?
纵观XSS的前史,DOM或客户端XSS在测验者和开发人员的心中都占有着特别的位置。运用规范的XSS检测技能往往很难检测到它们,这种XSS缝隙大多发生在 *** 富应用上。
DOM型XSS缝隙是根据文档目标模型(Document Objeet Model,DOM)的一种缝隙。DOM是一个与渠道、编程言语无关的接口,它答应程序或脚本动态地拜访和更新文档内容、结构和款式,处理后的成果能够成为显现页面的一部分。DOM中有许多目标,其间一些是用户能够操作的,如uRI ,location,refelTer等。客户端的脚本程序能够经过DOM动态地查看和修正页面内容,它不依赖于提交数据到服务器端,而从客户端取得DOM中的数据在本地履行,假如DOM中的数据没有经过严厉承认,就会发生DOM型XSS缝隙。
Sboxr
Sboxr是一个用于测验和调试Web应用程序的东西,尤其是那些具有很多JavaScript的应用程序。Sboxr处在阅读器和服务器之间运作,并注入它自己的 *** 代码(被称为DOM传感器),来监控 *** 运用,源,接收器,变量分配,函数调用等。然后,它会经过其Web操控台展现用户操控的数据的视图。
设置 Sboxr 和 Chrome
这儿我运用的体系为Ubuntu 18.04,阅读器为Chrome 72。你能够遵从以下过程进行设置:
获取Sboxr – https:// *** oxr.com/
Sboxr需求.NET Core SDK的支撑,你能够依照https://dotnet.microsoft.com/download/linux-package-manager/ubuntu18-04/sdk-current上的阐明,在Linux上进行装置。假如是Windows,请依照https://dotnet.microsoft.com/download上的阐明进行操作
装置完成后,经过运转dotnet Sboxr.dll发动Sboxr
这将在3333端口上发动Sboxr Web界面(用于办理和剖析发现的问题),端口3331为署理端口。
假如你期望运用Burp或其他署理,请阅读到http://localhost:3333/console,并单击HTTP Sensor设置上游署理(例如Burp或OWASP ZAP)的IP地址和端口。
设置完成后,咱们还需求装备阅读器向Sboxr发送流量(然后能够转发到Burp或OWASP ZAP)。
Sboxr现在尚不支撑SOCKS署理,因而你需求运用Burp或OWASP ZAP阻拦流量。
假如是HTTPS站点Sboxr或许无法正常作业,由于没有要导入的证书。因而,咱们运用带有–ignore-certificate-errors符号的Chrome疏忽证书过错。
在Linux上,指令如下:
mkdir -p ~/.chrome;/opt/google/chrome/chrome -incognito --ignore-certificate-errors --proxy-server=http=http://localhost:3331;https=http://localhost:3331 --user-data-dir=~/.chrome
在Windows上,操作如下(假设为默许装置途径):
"C:Program Files (x86)GoogleChromeApplicationchrome.exe" -incognito --ignore-certificate-errors --proxy-server=http=http://localhost:3331;https=http://localhost:3331 --user-data-dir="C:Users%Username%AppDataLocalTempTestChromeProxy"
DOM XSS 的检测和运用
下面我将为咱们展现前两个DOM型XSS的小操练。
Exercise 1
翻开https://domgo.at/,然后单击左边选项栏中的Exercise 1。
切换到Sboxr操控台,并单击Sboxr侧栏中的Code Execution
[1] [2] 黑客接单网
布景 在互联网职业,Google将安全做到基础设施里边,从来是各大公司学习的典范,在Web方面,经过GFE (Google Front-End) 一致对外发布,事务只需求在GFE挂号,GFE就会调取正...
1、前语 网上现已有许多的web端接口解析的办法了,可是对客户端的接口解析基本上找不到什么材料,本文首要剖析网易云音乐PC客户端的API接口交互方法。 经过内部的署理设置,运用fiddler作为署理东...
CyberArk最近捕获了一个风趣的歹意软件样本。它与惯例的偷盗凭证歹意软件,如Pony或Loki的不同之处在于,它只针对最常见的浏览器——谷歌Chrome。 该歹意样本没有被混杂,但却能够躲避大多数...
0×01 前语 false盲注有些时分能够绕过一些WAF,也是简略被忽视的细节。本文的意图在于经过做CTF的一起来学习注入原理,一起也运用到本身的才能。这儿仅仅简略说一些我自己的了解,或许网上有更好的...
XLoader和FakeSpy是最近手机要挟范畴两款干流的歹意软件宗族。XLoader最早是2019年4月被陈述运用DNS缓存投毒或DNS诈骗技能来用歹意安卓APP从受害者设备中盗取PII和金融数据,...
本文叙述作者在参与HackerOne的H1-4420竞赛中,针对厂商Uber的某WordPress博客网站为方针,发现其内置问卷调查插件SlickQuiz最新版存在存储型XSS(CVE-2019-12...