深圳搬家搬厂网站建设公司
当前位置：网站首页 > 新闻动态 > 检测常见网站漏洞检测（检测找一个网站的XSS漏洞必须会什么） 返回列表

检测常见网站漏洞检测（检测找一个网站的XSS漏洞必须会什么）

发布时间：2023-12-05来源：网站建设公司

一、背景

在本篇文章当中会一permeate生态测试系统为例，利用PHP扩展Taint找出网站的潜在安全漏洞实践

二、漏洞简介

在实践漏洞之前，先简单介绍一下XSS漏洞，不过XSS的相关概念介绍并不是本文的重点，因此不会过多细讲；

如果原理都懂，可以直接跳过往下翻至第三节

XSS的漏洞类型主要分为三类：反射型、存储型、DOM型

2.1 漏洞成因

XSS的漏洞主要成因是后端接收参数时未经过滤，导致参数改变了HTML的结构，如下图所示

检测常见网站漏洞检测（检测找一个网站的XSS漏洞必须会什么）


在图中可以看到攻击者的参数被原样放到了HTML代码当中，导致原本的结构被改变，当这份代码被浏览器执行之后，将执行alert事件。

2.2 反射型

反射型XSS的定义是、如果URL地址当中的恶意参数会直接被输出到页面中，导致攻击代码被触发，便称之为反射型XSS，如下图所示

检测常见网站漏洞检测（检测找一个网站的XSS漏洞必须会什么）

在图中可以看到，此处原本是输入一个名字，单实际传递了一个script标签，此标签也被原样放到了HTML结构当中，结果script标签代码中的代码被触发

2.3 存储

存储型XSS，顾名思义便是恶意参数被存储起来了，通常存储在后端服务器当中，所以存储型XSS在URL地址当中不会包含恶意参数

对于受害者来说，很难发现已经被攻击了，如下图存储型XSS被触发

检测常见网站漏洞检测（检测找一个网站的XSS漏洞必须会什么）

在图中并没有在URL地址当中看到script代码

但是攻击代码依然被触发，说明攻击代码来自于服务器，而这个攻击代码确实是由攻击者传递到服务器当中去的。

一般情况下，当攻击者将攻击代码通过表单传递到服务器当中去，会得到一个新页面的地址，这个地址中URL并没有明显异常，比如如下URL地址

http://permeate.songboy.net/article/1

但当存在存储型XSS时，受害者打开此URL，攻击代码将会被触发，这种情况下便称之为存储型XSS漏洞。

2.4 DOM型

DOM型XSS较为特殊，前面反射型XSS和存储型XSS都是以传播方式来区分的，而DOM型XSS和传参方式无关

而是当开发者做了一些安全防护之后，出现安全问题的一种现象


在图片中，可以看到参数name已经使用函数转义了，按理说此时将参数传递到前端页面是不会产生XSS漏洞的；

但当JavaScript代码将参数进行DOM节点操作之后，原本被转义的代码又会被还原，因此还是会被触发


在图中看到XSS代码已经被触发，这种DOM型XSS相对来说更加隐蔽

所以防御XSS漏洞的不能仅仅依靠后端开发者，前端开发者也应当了解XSS漏洞。

三、反射型挖掘

经过上面的原理介绍，相信大家对XSS已经有一些了解，现在需要进行手工XSS漏洞挖掘，在手工挖掘之前需要先逛逛网站有哪些功能点

如下图是permeate的界面


3.1 思路分析

在知道反射型XSS，是通过URL地址传播的，那么就需要思考那些地方会让URL地址的参数在页面中显示；

相信你们都用过一些网站的站内搜索，在站内搜索的位置往往会将搜索的关键词展示在页面当中


而在首页也看见此网站有搜索功能，因此可以从搜索位置着手，可以在搜索位置输入一个简单的payload,参考如下

<script>alert(123)</script>

当点击搜索后，会自动跳转到以下URL当中，此时浏览器的URL地址已经发生了变化，URL地址如下：

http://permeate.songboy.net/home/search.php?keywords=<script>alert(123)</script>

搜索的表单是使用了GET传参，满足了测试反射型的第一步要求

3.2 漏洞检验

接下来就需要看看payload有没有被触发,结果很意外，不但没有被触发还被浏览器所阻止了


这里就需要跟读者说明一下，谷歌内核浏览器自带XSS筛选器，所以对于反射型XSS测试，尽量不使用谷歌浏览器，建议使用火狐浏览器进行测试；

3.3 结果分析

现在将上面的URL地址复制下来，并粘贴到火狐浏览器当中，并按下回车，看到效果


此时payload已经被触发，说明找到了一个反射型XSS的漏洞，这种漏洞相对来说非常初级，随着浏览器的XSS筛选器变得更加智能，这种漏洞也越来越少，在下面的内容当中将会提到存储型XSS挖掘与绕过。

四、存储型挖掘

现在来寻找存储型XSS，存储型的攻击代码是存储在服务端，因此需要找出一些会将表单内容存储到服务端的位置

在之前已经对permeate做了一番了解，因此知道permeate拥有发帖和回帖功能，这些功能正是需要将参数存储起来并展示的地方。

4.1 发现漏洞

在首页点击XSS板块，进入到了板块列表当中


在右下角能看到有一个发帖按钮，点击发帖按钮后，即可进入发帖界面


在permeate渗透测试系统当中，如果要发表帖子，那么就需要有账号，这里随便注册一个账号，注册过程就不详细讲解了

4.2 检验漏洞

在注册账号完成并登陆之后，再次打开发帖页面，并在标题处和内容处都填写payload,参考内容如下：

<script>alert(123)</script>

在标题处和帖子内容中分别填写payload，填写好之后，应与下图一致


填写好内容之后，点击下方的发表按钮，即可进行发帖，发帖成功会弹出一个提示成功


点击确定之后，会跳转到发帖列表，并弹出一个123的提示框


如果看到这个弹框，说明payload已经被执行，点击确定就可以看到列表的内容


在列表中只显示标题，所以帖子内容中的payload并没有被执行；

4.3 抓包绕过

现在点击标题，进入帖子详情页面，在详情页发现payload也只触发了一次，而且内容当中的标签被直接显示了出来


当标签被直接显示出来，这说明参数被转义了；

转义分为两种，前端转义和后端转义，如果是后端转义通常会放弃测试，如果是前端转义则可以绕过这个限制；

在这里发现标题没有被转义，而内容被转，猜测可能是前端做的转义，因此可以通过浏览器的审查工具将数据包拷贝下来；

首先重新打开发帖页面，然后在网页随便一个位置单击鼠标右键->选择审查元素->切换到network标签并勾选Preserve log，

打开网络并勾选Preserve log的目的是让发表帖子之后

能在网络请求中找到该记录，现在可以填写新的payload


点击发表按钮之后，可以在控制台中找到刚才的post请求

从请求中可以看出，这个数据发出去就已经被转义了


4.4 编码替换

当确定这个地方存在前端做了转义处理，如果后端没有做处理，

就可以绕过它，现在将请求复制出来，然后改变里面的数据


复制出来的数据如下

curl'http://permeate.songboy.net/home/_fatie.php?bk=6&zt=0' -H 'Connection: keep-alive' -H 'Cache-Control: max-age=0' -H 'Origin: http://permeate.songboy.net' -H 'Upgrade-Insecure-Requests: 1' -H 'Content-Type: application/x-www-form-urlencoded' -H 'User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_4) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.106 Safari/537.36' -H 'Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8' -H 'Referer: http://permeate.songboy.net/home/fatie.php?bk=6' -H 'Accept-Encoding: gzip, deflate' -H 'Accept-Language: zh-CN,zh;q=0.9,en;q=0.8' -H 'Cookie: __cfduid=defc970ef7081e30aedd761da5762b1891532003579; UM_distinctid=1655a61a23343c-03f0904540a333-34657908-1fa400-1655a61a234323; PHPSESSID=rufhm0741qfv55cpfnc80k1g4l' --data 'csrf_token=3908&bk=6&title=222%3Cscript+%3Ealert%28123%29%3C%2Fscript%3E&content=%3Cp%3E222%26lt%3Bscript+%26gt%3Balert%28123%29%26lt%3B%2Fscript%26gt%3B%3C%2Fp%3E' --compressed

找到参数中的title和content参数值，将title的参数值复制下来，然后替换content的参数值，替换后的内容如下

curl'http://permeate.songboy.net/home/_fatie.php?bk=6&zt=0' -H 'Connection: keep-alive' -H 'Cache-Control: max-age=0' -H 'Origin: http://permeate.songboy.net' -H 'Upgrade-Insecure-Requests: 1' -H 'Content-Type: application/x-www-form-urlencoded' -H 'User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_4) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.106 Safari/537.36' -H 'Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8' -H 'Referer: http://permeate.songboy.net/home/fatie.php?bk=6' -H 'Accept-Encoding: gzip, deflate' -H 'Accept-Language: zh-CN,zh;q=0.9,en;q=0.8' -H 'Cookie: __cfduid=defc970ef7081e30aedd761da5762b1891532003579; UM_distinctid=1655a61a23343c-03f0904540a333-34657908-1fa400-1655a61a234323; PHPSESSID=rufhm0741qfv55cpfnc80k1g4l' --data 'csrf_token=3908&bk=6&title=222%3Cscript+%3Ealert%28123%29%3C%2Fscript%3E&content=222%3Cscript+%3Ealert%28123%29%3C%2Fscript%3E' --compressed

替换完成之后，将此内容复制到终端当中（如果用的是windows操作系统，可以下载一个cmder），然后按下回车键


4.5 结果分析

在返回结果当中可以看到提示发帖成功，此时就已经成功发布了一个新帖子，回到帖子列表当中看到有三条帖子，在最后面的帖子则是新发布的


打开详情页，被弹了两次提示框，说明标题和内容当中的payload都被触发,并且在控制台当中也可以看到script变成了DOM节点，而不是文本展现出来


看到此处说明已经成功绕过前端XSS过滤器

阅读过此文章的读者，还阅读过下面的文章

  • 深圳网站制作好后来年到期了该怎么办
    深圳网站制作好后来年...
    <p> 深圳网站制作好后来年到期了该怎么办，不管是个人还是公司，要想制作好一个网站真的不容易，不仅仅需要做网站前期的规划和策划工作，还需要对网站建设的栏目，内容进行填充和建设，面对这一堆的要求和东西，整体还是比较麻烦和费事的，所以，网站建设制作好之后，一定要注意来年的续费问题，好多公司不注意这个问题，造成了网站后期打不开了，不能正常方面了，出现了问题才想起来网站没有续费，接下来我们来看看深圳网络公司是如何建议的。 </p> <p> 1.域名到期的影响<br /> &nbsp;一般情况下，网站域名需要一年进行一次续费，也可以一次购买多年，如果域名到期没有及时续费，网站就会打不开，域名续费期一般是一个月，过了这个时间就会进入赎回期，这时候就不能续费了。<br /> &nbsp;2.服务器到期的影响<br /> &nbsp;服务器到期与域名一样，到期后网站同样不能打开，如果之前网站在做推广，会直接影响展现效果，长时间不续费的话，网站数据就会全部删除了，之前的努力就全白做了。<br /> &nbsp;3.网站维护服务到期<br /> &nbsp;有些网络公司服务商会有网站维护费用，一般都是一年为一个期限，如果到期后您没有及时维护，网站出现问题后就不会有人给您维护，就会造成影响。影响最大的就是网站展现的效果。<br /> </p>
  • 深圳做网站公司做网站时要明白这些
    深圳做网站公司做网站...
    <p> 深圳做网站公司做网站时要明白这些。其实做网站有的时候不仅仅是在做网站，更多的是在帮助其他公司在做网络宣传门户，站在这个角度上你就知道你所承担的责任了，作为现在公司网站建设不仅要符合时代潮流，更多的需要紧扣时代网页设计特色和要求，只有这样制作设计出来的网站才能更好的满足现在人们的使用要求和观念的，不管是在网站设计理念，网站布局规划，以及网站内容建设等等，这些方面都需要进口时代主题和要求的，接下来我们来看看深圳网站制作公司是如何做的，需要做好那些方面的要求和规范呢？ </p> <p> 审美在变，网站设计要紧跟潮流<br /> 也许用户访问时，不会逐一阅读网站内容，但首先映入眼帘的一定是设计。也许网站在几年前设计制作的确实很漂亮，但是我们无法否认的事实是，用户对网站设计的审美一直在不断改变。这个比较容易对比，随便找一个行业，然后通过百度搜索到十家网站，分别对应年份和网站的网址，让一个不知情的人去逐一打开并评判感受。大体趋势是越是新近设计制作的网站，越容易赢得用户的接受承认。其实这就是用户的真实感受，每年快速改版重做对于很多公司来说有些压力，但是笔者认为一般而言网站2-3年是需要重新设计制作快速的。一个通过网站寻找供应商的用户，其浏览网站一般也就几十秒到几分钟时间，先进的网站设计效果是吸引其深入了解进而咨询的较好方法。<br /> 技术在变，网站制作要贴合需求<br /> 周围的一切都在发生着巨变，网站技术也是如此，此前被很多网站公司采用的ASP网站开发语言几乎已经没人使用，相对于传统的PC端网站，现在更多看重的是移动端，公司设计制作的网站现在多为自适应PC端、PAD端以及手持移动终端的响应式网站。谁也不知道网站技术会走向哪个方向，但是对于普通的企业而言，我们可以把握趋势，至少每隔两三年对网站重新快速设计制作。<br /> 企业在变，网站建设要适应发展<br /> 网站总是为企业服务的，换句话说就是网站的设计制作需要跟上企业的发展步伐。现在急剧变化的市场面前，如果想立于不败之地，企业的经营策略一定在不断调整优化。作为给企业发展提供服务的网站，其理应不断调整不断优化以适应公司需求。现在是互联网时代，用户了解公司更多的也是通过网络，网站不仅是营销的工具，更是企业品牌形象的展示窗口。由于人力成本的不断升高，而网站设计更多的需要技术人员手工完成，所以真正定制开发的网站都价格不菲。但是同样是网站建设公司网站改版也不一定就选择定制，如果有合适的模板网站，也是不做的选择。我们需要的是一个紧跟时代和用户需求的网站，而非一定采用哪种方式实现它。 </p>
  • 英文网站制作需要注意那些问题和事项
    英文网站制作需要注意...
    英文网站制作需要注意那些问题和事项。英文网站制作还是跟中文网站制作有比较大的区别的，应为中文网站面对的客户群体是国内的用户，而国内的用户对网站的使用习惯，要求都是跟国外不一样的，从而在制作英文网站的时候，一定要注意，像这种英文网站制作还是需要从国外人使用网站的习惯，使用网站的一些喜好出发，只有这样制作出来的网站满足国外人的使用的，这是一个方面，另外一个方面就是国外网站面对的搜索引擎，也是不一样的，国外的搜索引擎跟国内有着比较大的区别的，搜索引擎也是制作英文网站必须要考虑的一个方面了，最后就是网站制作价格方面了，一般英文网站制作价格要比国内的网站制作价格高一些，这是一定的，毕竟国外网站制作的细节要求，以及针对搜索引擎优化方面还是有比较高的要求的，所以，这些都是工作量，也都是需要处理好这些方面的细节工作的。
  • 网站设计公司的发展趋势详解
    网站设计公司的发展趋...
    <p> 网站设计公司的发展趋势详解，目前网页设计公司慢慢的转型升级成为一种综合性的设计公司了，不仅仅是在网站设计了，如果单纯的依赖于网站设计，对于这样的公司来说现在还是很被动的，并且目前的网站制作价格已经白热化了，竞争也是很大的情况下，好多公司已经赚不到什么钱了，面对这样的市场形式，作为网站设计公司要不断的扩大和尝试新的方式和方法，实现公司业务的升级和转型，这也是摆在深圳<a href="http://www.szbc888.com" target="_blank"><strong>网站制作公司</strong></a>面对不可逾越的一个问题了，毕竟现在网站制作公司的活量不大，如果养一个专业的网页设计技术团队专门作网站，根本养活不了这样的公司的发展了，更多的还需要通过其他的渠道，其他的平台上获得更为有质量的客户，这也是当下网站制作公司不得不面对的一个话题了。 </p> <p> <img src="static/picture/20231030113846_47114.jpg" alt="" /> </p> <p> <a href="http://www.szbc888.com" target="_blank"><strong>网页设计公司</strong></a>业务范围扩大，于是着这个网站制作行业市场需求量在逐渐的缩小，并且凡是使用到网站的多半集中在一些公司，单位方面的需求了，对于一些个人对网站的需求还是很少的，除非一些专业化路线的个人才会这样做的，网站设计公司的转型升级，不仅提升的服务质量，更多的将服务方位不断的扩大，从而得到更好的市场群体，能够为更多的市场客户服务。 </p>
  • 网站制作低价格策略已经成为网站制作行业的杀手锏
    网站制作低价格策略已...
    <p> 网站制作低价格策略已经成为网站制作行业的杀手锏，整个大环境不好的情况下，好多公司在制作网站的时候，已经在想尽办法降低网站制作的成本了，从当初的网站制作就直接去搜索引擎上搜索网站制作公司了，而如今制作网站已经发生变化了，从搜索引擎走向了淘宝，拼多多这些低价平台了，并且这些平台都是担保交易了，好多的需要<a href="http://www.szbc888.com" target="_blank"><strong>制作公司网站</strong></a>的商家慢慢转向这个方面来了，所以制作出来的网站不是模板的就是仿制的网站，价格的确很低，并且效率也是很高的，这也是聪明的用户慢慢的转型和变化了，如果这些模板网站放在搜索引擎来的客户的话，这些网站制作下来的费用基本上在好几千了，面对这样的市场转型和升级，这也让好多网站制作公司寻找不同的出路了。 </p> <p> <img src="static/picture/20231030113212_16069.jpg" alt="" /> </p> <p> <a href="http://www.szbc888.com" target="_blank"><strong>深圳网站制作</strong></a>的价格的确没有那么低，但是作为一些低价平台上的用户，他们为了争取到客户，低价引流，从而实现了低价格制作网站的形式，作为网站制作公司，你这样低价格去做的目的就只有一个，那就是辛苦转不到钱的，都是转一些辛苦钱而已，面对这样的市场形式和要求，作为网站制作公司一定要不断的提升网站制作的附加值，提升<a href="http://www.szbc888.com" target="_blank"><strong>网站制作</strong></a>的质量，让用户以质量取胜，不能专门走低价格战略，不然你的公司是发展不起来的，也作不大的，作为用户而已，你公司小还可以这样去做，如果公司发展到一定程度的去制作网站，这对于你的公司来说是灭顶之灾了，所以选择网站制作公司还是要从专业的角度出发去帮助客户解决实际的问题，从而实现网站制作公司的价值和效益。 </p>
  • 深圳网站定制开发全流程详解
    深圳网站定制开发全流...
    <p> 深圳网站定制开发全流程详解，作为网站定制开发公司接下来给大家普及一下网站定制究竟要经过那些过程呢，前期的网站沟通肯定是少不了的，除此之外，网站备案这块也是需要的，只要是正规的公司，正常的流程，网站备案也是需要做的，剩下的就是网站制作过程中的一些沟通了，接下来我们来看看<a href="http://www.szbc888.com" target="_blank"><strong>深圳网站制作</strong></a>公司的一个标准的流程。 </p> <p> 需求分析： 通过对客户业务的了解和与客户对流程的讨论对需求进行基本建模，最终形成需求规格说明书<br /> 总体设计： 通过分析需求信息，对系统的外部条件及内部业务需求进行抽象建模，最终形成概要设计说明文档<br /> 详细设计： 此部分在对需求和概要设计的基础上进行系统的详细设计（也包含部分代码说明）<br /> 开发编程： 对系统进行代码编写<br /> 测试分析与系统整合： 对所有功能模块进行模拟数据测试及其它相关性测试并整合所有模块功能<br /> 现场支持： 系统上线试运行进行现场问题记录、解答<br /> 系统运行支持： 系统正式推产后，对系统进行必要的维护和BUG修改<br /> </p>

Copyright © 2015 深圳市鑫惠广网络科技有限公司 粤ICP备2023111395号