基礎(chǔ)學(xué)黑客 搜公眾號：白帽子左一

前言

xss漏洞的原理其實很簡單，類型也分為三類，反射型、儲存型和dom型。

但是剛接觸xss的時候我根本不理解什么是dom型xss，無法區(qū)分反射型和dom型，也很少遇見，現(xiàn)在通過這篇文章可以給新入坑的小白更好的理解xss漏洞，也通過這篇文章鞏固一下我對xss的理解.

DOM型與反射型對比圖

兩張簡單的圖幫助大家對比一下異同

反射型xss分析

首先還是先簡單介紹一下xss最常見的類型：反射型

通過pikachu靶場來做簡單的演示分析

可以看到我們輸入的數(shù)據(jù)通過html頁面回顯了出來，這意味著我們可以嘗試構(gòu)造閉合來注入我們想要的代碼

檢查一下網(wǎng)頁源碼，處于這個位置（20這個地方顯示了輸入數(shù)據(jù)的長短，改一改就好）

插入這個代碼測試xss漏洞：<script>alert('1_Ry')</script>，出現(xiàn)彈窗

分析一下代碼

$html='';
if(isset($_GET['submit'])){
    if(empty($_GET['message'])){
        $html.="<p class='notice'>輸入'kobe'試試-_-</p>";
    }else{
        if($_GET['message']=='kobe'){
            $html.="<p class='notice'>愿你和{$_GET['message']}一樣，永遠年輕，永遠熱血沸騰！</p><img src='{$PIKA_ROOT_DIR}assets/images/nbaplayer/kobe.png' />";
        }else{
            $html.="<p class='notice'>who is {$_GET['message']},i don't care!</p>";
        }
    }
}

首先通過GET 接收message字符串到后端，然后傳到$html這個變量

<div id="xssr_main">
    <p class="xssr_title">Which NBA player do you like?</p>
    <form method="get">
        <input class="xssr_in" type="text" maxlength="20" name="message" />
        <input class="xssr_submit" type="submit" name="submit" value="submit" />
    </form>
    <?php echo $html;?>
</div>

再通過這個變量輸出到前端的頁面，然后剛剛輸入的<script>alert('1_Ry')</script>代碼就會在頁面被執(zhí)行，通過服務(wù)端邏輯來改變了最終的網(wǎng)頁代碼

DOM型xss分析

DOM型xss和別的xss最大的區(qū)別就是它不經(jīng)過服務(wù)器，僅僅是通過網(wǎng)頁本身的JavaScript進行渲染觸發(fā)的

下面我們來看看典型的DOM型xss例子，將下面這句話復(fù)制到有道詞典進行翻譯，相信大家很快就能理解

This is a test <script>alert('1_Ry')</script>about xss

在線翻譯_有道 (https://fanyi.youdao.com/)

看看這句話在html中的位置

這個例子中的xss語句<script>alert('1_Ry')</script>只是單純的在前端解析，沒有經(jīng)過后端，屬于前端自身的安全漏洞。

pikachu靶場

再通過pikachu靶場來深入了解一下DOM型xss

這是前端界面

這是源代碼，接下來分析一下這個源碼

<div id="xssd_main">
    <script>
        function domxss(){
            var str=document.getElementById("text").value;
            document.getElementById("dom").innerHTML="<a href='"+str+"'>what do you see?</a>";
        }
    </script>

    <input id="text" name="text" type="text"  value="" />
    <input id="button" type="button" value="click me!" onclick="domxss()" />
    <div id="dom"></div>
</div>

1. 我們通過 <input id=“text” name=“text” type=“text” value="" / > 將字符串賦值給text
2. 然后JavaScript var str=document.getElementById(“text”).value; 獲取到了text的值
3. 然后document.getElementById(“dom”).innerHTML=“< a href=’”+str+"’>what do you see?< /a > "; 把這個text字符串整合到a這個標(biāo)簽中的href里再把a標(biāo)簽寫入到dom這個標(biāo)簽中。
4. 最后< div id=“dom” >< /div > 執(zhí)行這個dom標(biāo)簽

當(dāng)輸入123源碼中是這樣顯示的

但當(dāng)輸入：#'onclick="alert('1_Ry')"> 時

一直點擊則一直彈，同時使用burpsuite抓包的話也是抓不到任何東西，因為沒有產(chǎn)生與服務(wù)器的交互，僅僅通過前端js渲染來改變最終的網(wǎng)頁代碼

DOM型&反射型XSS漏洞的利用場景

兩者的攻擊方式?jīng)]有什么不同，都是通過電子郵件等方式發(fā)送這個含有我們構(gòu)造的payload的URL給目標(biāo)用戶，當(dāng)目標(biāo)用戶訪可該鏈接時，服務(wù)器接收該目標(biāo)用戶的請求并進行處理

然后服務(wù)器把帶有XSS代碼的數(shù)據(jù)發(fā)送給目標(biāo)用戶的測覽器，瀏覽器解析這段帯有XSS代碼的惡意腳本后，就會觸發(fā)XSS漏洞，一般用于獲取對方cookies值

xss防御方法

1. 過濾輸入的數(shù)據(jù)，包括 ‘ 、“、<、>、on* 等非法字符
2. 對輸出到頁面的數(shù)據(jù)進行相應(yīng)的編碼轉(zhuǎn)換，包括HTML實體編碼、屬性以及URL請求參數(shù)
3. 設(shè)置cookie的HttpOnly屬性

作者：lryfish

原文地址：https://www.freebuf.com/articles/web/318982.html

RP協(xié)議的產(chǎn)生

ARP工作在數(shù)據(jù)鏈路層，數(shù)據(jù)鏈路層的基本功能是構(gòu)造幀和傳輸幀（FRAME），幀由目的MAC地址信息和源MAC地址信息以及數(shù)據(jù)組成。在以太網(wǎng)中， 知道了目的MAC地址和源MAC地址就可以傳輸數(shù)據(jù)了。源MAC地址就是本機MAC，這很好得到，那么如何知道目的IP地址呢，人們發(fā)明了ARP(Address Resolution Protocol)協(xié)議, 用來通過解析IP地址返回目的服務(wù)器的MAC地址

幀的構(gòu)成圖

ARP協(xié)議的工作原理

主機A查看自己的ARP緩存，檢查是否有主機B的IP到MAC的映射，如果有映射，構(gòu)造報文，目的IP為主機B的IP，源IP為主機A的IP，目的MAC為主機B的MAC，源MAC為主機A的MAC，將報文發(fā)送給交換機C，交換機C進行MAC地址表學(xué)習(xí)，將主機A的MAC和報文入端口號記錄下來，然后交換機C查看自己的MAC轉(zhuǎn)發(fā)表，檢查是否有主機B的MAC到端口的映射，如果有映射，獲取對應(yīng)的端口，將報文從此端口轉(zhuǎn)發(fā)出去，報文到達主機B。如果交換機C沒有主機B的MAC轉(zhuǎn)發(fā)表映射，采用洪泛的形式廣播報文，主機B收到報文后向主機A回復(fù)，交換機C進行MAC表學(xué)習(xí)，將主機B的MAC和報文入端口號記錄下來。

ARP命令的常用參數(shù)舉例

1. 查看所有的IP mac對應(yīng)表

   Internet 地址         物理地址              類型
  192.168.16.255        ff-ff-ff-ff-ff-ff     靜態(tài)
  224.0.0.22            01-00-5e-00-00-16     靜態(tài)

2. 刪除arp一條ARP記錄

arp -d ip

3. 人工設(shè)置ARP記錄

arp -s 192.168.16.254 00-22-aa-00-22-aa

ARP攻擊

ARP攻擊主要是通過偽造IP地址和MAC地址進行欺騙

• 應(yīng)對方式

1. 在交換機上綁定靜態(tài)ip與mac對應(yīng)關(guān)系

(config)#arp 192.168.100.2 aaaa.bbbb.ccccfastEthernet 0/1

缺陷：如果是通過DHCP自動獲取的地址,租期到了以后,綁定就會失效,病情重新發(fā)包請求IP地址.也不會分配到IP地址.擴展性很差。

2.交換機上開啟DAI (Dynamic ARP Inspection) 動態(tài)ARP監(jiān)測，用于基于VLAN的防護機制

參考：http://c.biancheng.net/view/6391.html

參考:TCP/IP詳解