学习DOM型XSS前&＃xff0c;先搞清楚什么是DOM

通过 Javascript&＃xff0c;可以重构整个 HTML 文档。您可以添加、移除、改变或重排页面上的项目。

要改变页面的某个东西&＃xff0c;Javascript 就需要获得对HTML 文档中所有元素进行访问的入口。这个入口&＃xff0c;连同对 HTML 元素进行添加、移动、改变或移除的方法和属性&＃xff0c;都是通过文档对象模型来获得的&＃xff08;DOM&＃xff09;。

所以&＃xff0c;你可以把DOM理解为一个可以访问HTML的标准编程接口。

举个栗子来理解一下DOM

这是标题

点击标题&＃xff0c;会提示出它的值。

这个例子是从w3school拖下来的&＃xff0c;我们直接去w3school看一下&＃xff0c;因为上面有具体演示的页面&＃xff0c;http://caibaojian.com/w3c/example/hdom_examples.html

这里有一个document对象&＃xff0c;点击getelementbyid()

首先我们先把js代码给删掉

那这段就是纯HTML代码&＃xff0c;显示出来就是上边这样子

我们再把js代码给添进去

function这个地方其实是js的函数&＃xff0c;它定义了一个变量x&＃xff0c;通过document.getElementById去获取HTML里面&＃xff0c;id等于myHeader标签的这个值&＃xff0c;那实际上x的值就是这是标题&＃xff0c;这是个字符&＃xff0c;document.getElementById这个方法&＃xff0c;其实就是document提供的方法&＃xff0c;当它获取到值后&＃xff0c;把这个值给alert出来

这是标题

在这个标题里面&＃xff0c;有onclik&＃xff0c;当我们点击这个标题的时候&＃xff0c;会去调用getValue()这个方式&＃xff0c;然后把这个值复制给x&＃xff0c;弹出来

看到了吧&＃xff0c;弹出来了&＃xff0c;DOM有一个比较大的特征&＃xff0c;这一整个弹窗的过程&＃xff0c;其实都是在前端完成的&＃xff0c;这一整个过程是没有跟我们的后台交互的&＃xff0c;数据并没有通过get、post的方式提交到后台&＃xff0c;所以说&＃xff0c;DOM是一个前端的操作接口

我们打开pikachu&＃xff0c;也就是我们今天要演示的靶场

输入框那边&＃xff0c;我们可以输入一个字符&＃xff0c;来看一下&＃xff0c;我们点提交

点提交之后&＃xff0c;弹出来一个what do you see&＃xff1f;&＃xff0c;看起来好像是一个A标签&＃xff0c;我们看一下源码&＃xff0c;它到底是做了什么操作&＃xff0c;搜索一下what

我们看到这个地方有一段js的代码&＃xff0c;我们来读一下它是什么意思

首先&＃xff0c;它用document.getElementById的一个方法&＃xff0c;来获取id等于text这个标签的值

function domxss(){var str &＃61; document.getElementById("text").value;document.getElementById("dom").innerHTML &＃61; "what do you see?";}


实际上这个text就是input&＃xff0c;也就是我们输入的内容&＃xff0c;它把我们输入的内容赋值给了str&＃xff0c;通过字符串拼接的方式&＃xff0c;写到了A标签的href属性里面&＃xff0c;整个的意思是说&＃xff0c;当我们在text标签里面输入字符串之后&＃xff0c;它就会把字符串&＃xff0c;通过dom方法&＃xff0c;把它拼接到a标签里面&＃xff0c;这个a标签会被写到id等于dom。这么一个div标签里面来

我们首先确认它的输入点&＃xff0c;输入点就是在input里面&＃xff0c;通过document.getElementById把数据给获取到了之后&＃xff0c;在div里面&＃xff0c;把它输出了&＃xff0c;直接通过innerHTML把它写到了div里面

我们可以看到&＃xff0c;它的输入和输出是没有做任何转义的操作的&＃xff0c;我们把这段给复制出来&＃xff0c;构造一个闭合&＃xff0c;来看一下

what do you see?


中间这个str其实就是我们输入的内容&＃xff0c;就是一个变量&＃xff0c;我们要做的其实就是通过构造一个闭合&＃xff0c;来执行我们预期的代码&＃xff0c;我们把中间这部分变量&＃xff0c;我们可以控制的这部分给删掉&＃xff0c;我们首先在这个地方&＃xff0c;去把前面的a标签给闭合掉&＃xff0c;我们在这里随便输个字符串&＃xff0c;或者一个#号&＃xff0c;单引号&＃xff0c;把前面的href给闭合掉&＃xff0c;然后我们在这里用onclick&＃xff0c;弹一个窗&＃xff0c;然后我们alert&＃xff0c;111&＃xff0c;然后我们要把前面的a标签给闭合掉&＃xff0c;在这里输一个右尖括号&＃xff0c;然后

这一整段就是我们前面的a标签&＃xff0c;因为它后面本身自带了一个a标签&＃xff0c;所以这a标签就是一个正确的a标签

&＃39;>what do you see?


后面这一段&＃xff0c;我们不用管他&＃xff0c;我们把我们刚刚输入的那个部分&＃xff0c;把它复制出来

#&＃39; onclick&＃61;"alert(111)">


这其实就是我们构造的payload&＃xff0c;就是一旦我们输入这个内容&＃xff0c;按照我们的预期&＃xff0c;它应该会在我们的div标签里面&＃xff0c;通过我们的dom方法&＃xff0c;来获取到这个输入&＃xff0c;然后把它输出到div里面&＃xff0c;我们来试一下

理论上&＃xff0c;这个a标签点一下&＃xff0c;就会弹出111

这就说明&＃xff0c;这个地方是存在dom型xss漏洞的

我们接下来讲一下don型漏洞的利用&＃xff0c;这一串输入既不会在url里面&＃xff0c;也不会在后台存储下来&＃xff0c;刷新一下&＃xff0c;这个东西就没了&＃xff0c;其实在我们场景下&＃xff0c;这个例子确实是比较鸡肋的&＃xff0c;但是不能不说&＃xff0c;它是个问题&＃xff0c;只能说这个地方是出现了比较低危的dom型xss

它的原因&＃xff0c;其实是前端的输入被dom给获取到了&＃xff0c;也就是对dom进行了操作&＃xff0c;然后通过dom又在前端输出了&＃xff0c;它是不经过后台输出的

因为前端的写法千奇百怪&＃xff0c;层级也非常复杂&＃xff0c;谁都不知道程序员会怎么去写前端的dom操作&＃xff0c;我们来看一下&＃xff0c;下一个dom型xss的案例

我们看到这个地方&＃xff0c;有输入框&＃xff0c;我们随便输入一串字符串&＃xff0c;点一个提交&＃xff0c;他弹了一句话&＃xff0c;我们看一下后端的源码&＃xff0c;看一下&＃xff0c;他的逻辑是怎么样的&＃xff0c;我们搜一下&＃xff0c;定位一下

我们看到这个地方&＃xff0c;也有一段js代码

function domxss(){var str &＃61; window.location.search;var txss &＃61; decodeURIComponent(str.split("text&＃61;")[1]);var xss &＃61; txss.replace(/\&＃43;/g,&＃39; &＃39;);
// alert(xss);document.getElementById("dom").innerHTML &＃61; "就让往事都随风,都随风吧";}


他在这个地方&＃xff0c;定义了一个function&＃xff0c;用window.location.search这个dom方法&＃xff0c;来获取浏览器的参数&＃xff0c;他会把url传参的参数&＃xff0c;给获取下来&＃xff0c;然后对他进行一个url的解码&＃xff0c;用一个字符串进行分割&＃xff0c;来获取到对应的内容

var str &＃61; window.location.search;var txss &＃61; decodeURIComponent(str.split("text&＃61;")[1]);var xss &＃61; txss.replace(/\&＃43;/g,&＃39; &＃39;);


这一段其实就是从框里面&＃xff0c;获取到完整的内容&＃xff0c;然后把这个赋值的内容&＃xff0c;赋值给xss这么一个变量&＃xff0c;然后&＃xff0c;他就把xss跟我们刚看到的dom型xss一样&＃xff0c;他把他写到了a标签里面&＃xff0c;他的输入其实是从浏览器的url里面去获取的&＃xff0c;跟我们上面一关不一样的地方&＃xff0c;这个场景跟我们反射性的xss&＃xff0c;就很像了

我们来构造一下闭合&＃xff0c;跟刚刚一样&＃xff0c;我们复制一下&＃xff0c;然后我们点提交

有些费尽心机想要忘记的事情,后来真的就忘掉了


我们点一下a标签&＃xff0c;就会去执行function&＃xff0c;function会把a标签的内容&＃xff0c;写到div里面

这种情况也是dom型的xss&＃xff0c;他只需要把这一段url发送给需要攻击的用户

http://192.168.42.236/pikachu/vul/xss/xss_dom_x.php?text&＃61;#&＃39;&＃43;onclick&＃61;"alert(111)">#


他只需要打开这个链接&＃xff0c;这段恶义的代码&＃xff0c;就会被插入到xss里面去&＃xff0c;那这个就跟反射型的xss一样了&＃xff0c;这个就比我们刚刚讲的dom型xss危害高很多

如果是从url里面获取的参数&＃xff0c;那就意味着&＃xff0c;我们可以通过js来注入恶意的代码