以下是原文

------小小分割线----- 

那原本是一个Happy的夜晚,我搞了二两小白酒,听到领导发来的消息,还TM喝酒,加班了!

接到测试网站,利用crawlergo+XRAY扫到了一个xss,这是入口点。打开网页长这个样子。

利用点在keyword参数

seoss.oss-cn-shanghai.aliyuncs.com/wp-content/uploads/1970/01/beepress-image-143168-1602643703.png" style="margin:10px 0px;padding:0px;box-sizing:border-box;border-width:1px;border-style:solid;border-color:#EEEEEE;image-rendering:-webkit-optimize-contrast;max-width:90%;max-height:90%;cursor:zoom-in;" />

我们闭合前面的<script>看看

嗯..问题不大

而当直接注入payload的时候,会被拦截

麻麻赖赖的,咋直接干它!

开始尝试绕过payload

最后发现,onerror=   会被直接拦截

onerror==  不会被拦截,而是变成onerror="="

除此之外,不论=后面是否存在数值,都会被拦截。



于是猜想,是不是onerror这个事件太常用了,所以作为关键词的一部分被拦截了,因此我开始fuzz事件

这里贴出所有的事件,来自菜鸟教程。

image.png

image.png

image.png

随后,fuzz出了一堆可触发的事件出来

最后我选择了onwhell,滚动的时候触发,但是紧跟着alert依旧不行

于是,我认为是alert(1)这个函数太过敏感,我们可以用一些别的方法来进行混淆。

于是在尝试了反引号,confirm,prompt等都不行的时候,我居然想出了console.log(1)这个方法。

没想到又出来一个拦截

真的是i了i了

最后掏出我弹药库里的一些储备

例如这些:

image.png


但是也都一一被拦截下来


最后,幸运之神还是眷顾了我,让我找到了没有被waf住的包

例如:

javascript&#x3A;alert&lpar;document&period;cookie&rpar;


在javascript接着的语句中,进行编码后依旧可以进行识别


或者利用toString的编码转换,来进行bypass

例如

最后结合top来进行二次绕过

top[11189117..toString(32)](1);


那么最后为什么还没有弹框呢?原因是src=1 和onwheel压根没啥子关系。。


我们换个<svg onwheel>会不会更好。只需滚动一下鼠标滑轮即可

</sCrIpT><svg  onwheel=top[11189117..toString(32)](1);>


搞定收工,继续喝酒去!


本文作者:重生信息安全

本文为安全脉搏专栏作者发布,转自:https://www.secpulse.com/archives/143168.html