数组怎么取值_谁看得懂黑客是怎么写Javascript的？

在2011年的BlackHat DC 2011大会上Ryan Barnett给出了一段关于XSS的示例java script 代码&＃xff1a;
($&＃61;[$&＃61;[ ] ] [(__&＃61;!$&＃43;$)[_&＃61;-~-~-~$]&＃43;({}&＃43;$)[_/_]&＃43;($$&＃61;($_&＃61;!&＃39;&＃39;&＃43;$)[_/_]&＃43;$_[&＃43;$])])()
[__[_/_]&＃43;__[_&＃43;~$]&＃43;$_[_]&＃43;$$](_/_)
这是一段完全合法的java script 代码&＃xff0c;效果相当于alert(1)。它可以在大部分浏览器上运行。&＃xff08;虽然目前我测试过手头的浏览器都能运行&＃xff0c;但理论上不能保证所有浏览器都能正确运行&＃xff0c;原因见下文&＃xff09;
这段代码的好处&＃xff08;对于黑客&＃xff09;是&＃xff0c;它不包含任何字符或数字&＃xff0c;可以逃过某些过滤器的检查。比如说&＃xff0c;如果假定一个AJAX请求将返回一个只包含数字的JSON&＃xff0c;于是很可能会简单判断了一下其中不含字母就直接eval了&＃xff0c;结果给黑客们留下了后门。上面的代码功能很简单&＃xff0c;只是alert(1)&＃xff0c;但使用同样的原理&＃xff0c;完全可以干出更复杂的事&＃xff0c;例如alert(document.COOKIE)。
更重要的是&＃xff0c;这段代码再一次提醒我&＃xff0c;黑客的想象力是无限的……正如Ryan Barnett的演讲标题&＃xff1a;"XSS:The only rule is no rule"。
那么这段代码是如何工作的呢&＃xff1f;
我们可以把它分为两个部分来理解&＃xff1a;
第一部分&＃xff1a;
($&＃61;[$&＃61;[ ] ] [(__&＃61;!$&＃43;$)[_&＃61;-~-~-~$]&＃43;({}&＃43;$)[_/_]&＃43;($$&＃61;($_&＃61;!&＃39;&＃39;&＃43;$)[_/_]&＃43;$_[&＃43;$])])()
第二部分&＃xff1a;
[__[_/_]&＃43;__[_&＃43;~$]&＃43;$_[_]&＃43;$$](_/_)
其中第一部分是核心&＃xff0c;我们首先对它进行分析&＃xff0c;先缩进一下&＃xff1a;
($&＃61; [$&＃61;[ ] ] [ (__&＃61;!$&＃43;$)[_&＃61;-~-~-~$] &＃43; ({}&＃43;$)[_/_] &＃43; ($$&＃61; ($_&＃61;!&＃39;&＃39;&＃43;$)[_/_] &＃43; $_[&＃43;$]) ] )()
显然&＃xff0c;最外层是(...)()形式的函数调用&＃xff0c;我们需要看看这里究竟调用了什么函数&＃xff0c;返回了什么。下一步&＃xff0c;我们把原来代码中赋值表达式提取出来&＃xff0c;将其改写为以下等价形式&＃xff1a;
$ &＃61; []; //1 __ &＃61; !$&＃43;$; //2 _ &＃61; -~-~-~$; //3 $_&＃61;!&＃39;&＃39;&＃43;$; //4 $$ &＃61; $_[_/_] &＃43; $_[&＃43;$]; //5 $&＃61; [$][ __[_] &＃43; //6 ({}&＃43;$)[_/_] &＃43; //7 $$ //8 ]; //9 $(); //10
现在来一行行看&＃xff1a;
1. $先赋值为一个空数组 &＃xff08;后面会被覆盖&＃xff09;
2. __ &＃61; ![] &＃43; [] &＃61; false &＃43; [] &＃61; "false" 这里利用了java script 运算的强制类型转换特性。首先空数组是一个非null值&＃xff0c;因此![]的结果是false&＃xff08;布尔型&＃xff09;。在计算false &＃43; []时&＃xff0c;由于数组对象无法与其他值相加&＃xff0c;在加法之前会先做一个toString的转换&＃xff0c;空数组的toString就是""&＃xff0c;因此事实上在计算false &＃43; ""。这时false被自动转换为字符串。最终结果是"false"&＃43;"" &＃61; "false"。 **换句话说&＃xff0c;在$为空数组时&＃xff0c;使用 “&＃43;$”的方式可以将任何一个值转为字符串**
3. 在计算~[]时&＃xff0c;~需要一个数字操作数&＃xff0c;空数组无法直接转换为数字&＃xff0c;则作为0处理。因此~[] &＃61; ~0 &＃61; -1
参考&＃xff1a; ~3 &＃61; -4 ~[3] &＃61; -4 ~[3,2] &＃61; -1 (无法转为数字&＃xff09; ~"3" &＃61; -4 ~"abc" &＃61; -1
因此: _ &＃61; -~-~-~[] &＃61; -~-~-(-1) &＃61; -~-~1 &＃61; -~-(-2) &＃61; -~2 &＃61; -(-3) &＃61; 3 理论上&＃xff0c;可以用这种方式得出1-9所有数字
4. !&＃39;&＃39;是true&＃xff0c;使用&＃43;$将其变为字符串 "true"
5. 这里需要注意的是&＃xff0c;之前一直用“值&＃43;[]”来获得“值”的字符串形式。而“&＃43;[]”则是0&＃xff08;正号导致[]被自动转换为数值0&＃xff09;。因此&＃xff1a;$$ &＃61; "true"[3/3] &＃43; "true"[&＃43;[ ] ]&＃61; "true"[1] &＃43; "true"[0] &＃61; "rt"
6. __[_] &＃61; "false"[3] &＃61; "s"
7. ({} &＃43; [])导致空对象{}被转换为字符串"[object Object]", 因此({}&＃43;$)[_/_] &＃61; "[object Object]"[1] &＃61; "o"
8. 这里把$覆盖为 [ [ ] ]["s"&＃43;"o"&＃43;"rt"]。注意这里[]本身是一个包含空数组的数组&＃xff0c;其实对这一步来说&＃xff0c;任何一个数组都没有关系&＃xff08;不一定要是嵌套数组&＃xff09;&＃xff0c;但作者巧妙地把$的首次赋值式放在了数组内部&＃xff0c;使代码更为紧凑。最终结果是&＃xff0c;$ &＃61; [ [ ] ]["sort"] &＃61; [ [ ] ].sort &＃61; Array.prototype.sort。
9. 调用$()&＃xff0c;作为整个表达式最终的取值。需要注意&＃xff0c;$是全局范围的&＃xff0c;是window的一个属性&＃xff0c;相当于window.$。而Array.prototype.sort会返回this。对于window.$来说&＃xff0c;this就是window。因此&＃xff0c;整个第一部分的值&＃xff0c;就是window本身&＃xff01;当然&＃xff0c;这个过程的正确运作依赖于当前浏览器的Array.prototype.sort实现能对this为window的情况容错。
通过第一部分&＃xff0c;我们已经获得将任何值转换为字符串的简单方法&＃xff0c;并能产生任意的数值&＃xff0c;理论上就可以从java script 的取值系统中提取出大部分字母&＃xff08;不知道是不是全部&＃xff0c;需要考证&＃xff09;。并且&＃xff0c;我们获取到了window的引用。下面就可以开始上下其手&＃xff0c;为所欲为了。哈哈哈哈哈哈&＃xff01;
可以看出&＃xff0c;上面的第9步是与浏览器的具体实现相关的&＃xff0c;因此也存在着某些浏览器下需要对代码作出修改的可能。
现在看第二部分&＃xff0c;事实上已经非常明朗了,唯一需要注意的是&＃xff0c;现在$是一个函数&＃xff0c;因此~$ &＃61; ~0 &＃xff08;无法直接转换为数字则作为0处理&＃xff09; &＃61; -1。
[__[_/_]&＃43;__[_&＃43;~$]&＃43;$_[_]&＃43;$$](_/_) &＃61; ["false"[1]&＃43;"false"[3&＃43;(-1)]&＃43;"true"[3]&＃43;"rt"](1) &＃61; ["a"&＃43;"l"&＃43;"e"&＃43;"rt"](1)
所以&＃xff0c;整条式子相当于&＃xff1a;
window["alert"](1)
最后只想再感慨一次&＃xff1a;黑客的想象力是无限的。理解代码并不难&＃xff0c;问题是一开始时他们是怎么能想出来的 ...?