前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >Web for Pentester 实验合集

Web for Pentester 实验合集

作者头像
安恒网络空间安全讲武堂
发布2018-02-06 15:35:45
1.2K0
发布2018-02-06 15:35:45
举报
文章被收录于专栏:安恒网络空间安全讲武堂

0x00 introduction

Pentester Lab 是渗透测试学习实战平台,在里面提供各种漏洞实验的虚拟机镜像文件,让网络安全爱好者和黑阔进行实战式的训练,可以使其更加深刻地且透彻理解“漏洞”。官方网站:

https://pentesterlab.com/

官网截图:

虽然有些实验是收费的,但是总体来说,免费的还是占多数的。

本文进行操作的是“Web for Pentester”实验。

点击进入实验主页,下载iso镜像文件,

实验主页地址

https://pentesterlab.com/exercises/web_for_pentester

下载好的镜像文件是要放在虚拟机里的,至于虚拟机怎么安装ISO镜像文件,百度很多,这里就不细说了。

安装好了之后,它发现是自动登录了,ifconfig一下看一下ip地址。

直接访问ip即可,看到的是这样子的

那么首先从XSS开始

0x01 XSS-Example 1

点进去我们发现

可以清楚的看到url上有个name,通过改变name的值,发现下面的值也会有变化。

那么尝试在name上加上XSS的代码来进行测试

Payload: :

?name=<script>alert(/xss/)</script>

其实第一关肯定是最简单的,name这个参数不用想就知道是有问题的。

0x02 XSS-Example 2

发现还是和第一关是一样的页面。还是尝试改变name参数,发现内容也是随之而改变。

那么猜想,可能是进行了某种过滤,还是用第一关的payload尝试一下。

再查看下源代码,可以直观的看到2个<script>被变成空了。

那这个也是老套路了,1个变成空,那么我就来2个,类似<scriscriptpt>就行了。中间那个过滤成空了,剩下的拼接在一起,还是<script>。

Payload:

?name=<scriscriptpt>alert(/xss/)</scriscriptpt>

额,可是结果,

失败了。没弹窗,右键看下源代码,发现,不是把script替换成空

那么猜测后端可能是匹配<script>,</script>,如果出现,就替换成空,尝试用大小写绕过

成功,payload:

?name=<scripT>alert(/xss/)</scripT>

0x03 XSS-Example 3

一样熟悉的界面,name参数肯定是突破点,还是用老方法,用最常用也就是第一关的payload尝试。

发现还是和第二关是一样一样的。好,那我们用第二关的payload尝试

发现也被过滤了,也就是说匹配<script>,</script>,但是忽略了大小写,反思一下前面做的,发现,他是连用”<>”一起过滤的,也就是说scscriptript是不行的,但是要把<>也算进去,所以是<scri<script>pt>,当然这也算是猜测,那么尝试一下。

发现成功了。Payload:

?name=<scri<script>pt>alert(/xss/)</scri</script>pt>

0x04 XSS-Example 4

还是一样的场景。老方法,用最正常的payload去尝试,看看返回的结果是什么。

这次直接报error了,

也就是说在后端的处理,是直接检测到关键字就报error,而不是替换再输出,那么我们就要各种尝试了,看看他是匹配什么关键字的。,下面就是一些尝试

代码语言:js
复制
 ?name=<script>alert(/xss/) 报error
?name=alert(/xss/)</script> 报error
?name=alert(/xss/) 返回alert(/xss/)

说明一旦出现<script>,</script>,就报error。那就简单了,能执行xss代码的语句不止一个,只要不出现上面2个关键字就行。

Payload:

代码语言:js
复制
?name=<svg/onload=alert('xss')>

0x05 XSS-Example 5

还是一样的界面,不多说,还是直接上最简单的payload

还是和上一关一样的场景。这次思考了一下,上面是过滤<script>,那在这次就可能过滤函数了。尝试一下

果然过滤了函数,其实alert在实际的情况下并不会起太大的作用,只是起到测试效果而已。当然过滤函数也是现实中常用的防范方法,解决方法就是,这个函数不行,那就换一个同样效果的函数.比如说,用prompt()来替代

Payload:

?name=<script>prompt(/xss/)</script>

当然了,除了prompt(),和alert()还有类似的弹窗效果的还有confirm()

0x06 XSS-Example 6

恩,开始界面还是一样的,就直接上最简单的payload,看看效果了

这次又变了,看下网页源代码

这次是直接放在了变量里,不得不说,越来越贴近实际情况了。其实这也是最简单的一种,只要精心构造语句,然后把引号闭合,就可以执行后面我们想要执行的代码了。接下来,就来尝试一下,首先,看到提交的内容都是在完整的在引号里,那么就可以先闭合引号,然后分号(;)表示一句结束,然后alert语句,最后注释(//)最后一个分号即可,即?name=”;alert(“xss”);//

Payload:

?name=";alert("xss");//

0x07 XSS-Example 7

还是一样,用最普通的payload尝试,查看源代码可以看到,果然进行了过滤

把尖括号给编码成了html字符实体,所谓的html字符实体,简单的说就是html里的预留字符,就像是C语言中的int不能作为变量名一样,为了防止html把尖括号误认为标签,所以要进行编码.

从上面的测试中可以看到只是编码了尖括号,但是因为上下文已经有了script标签,所以就不需要我们再加上<script>了。好吧,其实我们上一关也是这个思路,是直接借用了它自己的<script>标签,所以用上一关的payload也能成功,

额,没有成功,貌似把双引号等一些特殊符号都给编码了。但是仔细看和上一题不同的是,这里用的是单引号,把payload的引号换一下试试。

很幸运的是单引号没被编码,payload:

?name=';alert('xss');//

0x08 XSS-Example 8

还是提交常规payload,

可以看到,提交参数的方式变成了post,然后也是对一些符号进行了html实体编码。对于这种输出直接进行html实体编码的,老实说,我也没想出什么好方法,大神教我。。。

对于这题,也是尝试了好久,各种方法都是不行,都没有成功。本人也是小白,没有什么好的方法,只能-----------看源码,

其他没有什么特殊的,唯有这个$_SERVER['PHP_SELF'],看到这种超级全局变量,就感觉用的有点蹊跷,果断百度一下,终于发现了漏洞所在。

$_SERVER["PHP_SELF"]的值是当前php文件相对于网站根目录的位置地址,也就是说,是返回当前正在执行脚本的文件名。但是呢,这个$_SERVER["PHP_SELF"]的值是可以通过url上的值控制的,比如说/xss/example8.php,在url上改成/xss/example8.php233

那么$_SERVER["PHP_SELF"]的值就是/xss/example8.php233,(当然不能直接php233,这样就请求不到文件了,/ 如果不是伪静态的话,一般是指目录,由于已经请求到具体的php文件了,后面就不会管了)

最后,源代码是没有任何过滤就直接输出了这个值,,那我们就可以通过构造语句,来闭合双引号,然后执行自己想要的代码。

Payload:

example8.php/"><script>alert("xss")</script>"

可以看到源码;

0x09 XSS-Example 9

可以看到稍微有点变化了,还是老规矩,用常规payload测试。

第一次并没有反应,查看一下源码

百度一下这个函数,发现

location是JavaScript管理地址栏的内置对象,location.hash则可以用来获取或设置页面的标签值,也就是#号后面的值。所以当我们第一次访问

/xss/example9.php#hacker时,location.hash.substring(1)就是#后面的hacker,当我们在改变为

#<script>alert(/xss/)</script>时,location.hash.substring(1)的值并没有更新,需要刷新一下,才会更新。这是典型的DOM-XSS。

Payload:

#<script>alert(/xss/)</script>

当然如果你直接访问/xss/example9.php#<script>alert(/xss/)</script>的话,是可以直接成功的。

0x10 总结

现在来总结下:

  • 第一关是普通的payload
  • 第二关是匹配并替换标签,大小写绕过
  • 第三关是忽略大小写的匹配并替换标签,双重标签绕过
  • 第四关是匹配标签并报错,使用未过滤的标签绕过
  • 第五关是匹配函数并报错,使用未过滤的函数绕过
  • 第六关/第七关都是把提交的代码放入某个变量中,根据上下文闭合双引号,标签等
  • 第八关则是考察了php的漏洞结合的xss,$_SERVER['PHP_SELF']
  • 第九关是DOM-XSS

其实xss漏洞也主要是这些,在CTF比赛中或者在实际的发掘漏洞中,当然不可能是单个的一种,肯定需要多种不同的组合。

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2018-01-13,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 恒星EDU 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
相关产品与服务
数据库
云数据库为企业提供了完善的关系型数据库、非关系型数据库、分析型数据库和数据库生态工具。您可以通过产品选择和组合搭建,轻松实现高可靠、高可用性、高性能等数据库需求。云数据库服务也可大幅减少您的运维工作量,更专注于业务发展,让企业一站式享受数据上云及分布式架构的技术红利!
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档