漏洞分析：Yaklang XSS 检测启发式算法

背景

上一篇介绍了XSS 启发式检测基础设施，本篇通过Yak提供的基础设施编写一个xss检测插件。

本次xss靶场使用pentesterlab的xss靶场。

环境部署

git clone https://github.com/yaklang/vulinonecd php-web-for-pentesterdocker-compose up -d

编写思路

参考上一期XSS 启发式检测基础设施 中的思维导图

为了实现启发式漏洞检测，需要对目标环境进行检测：

1. 检测目标过滤了哪些字符、语句，过滤掉受过滤影响的payload，减少无效发包。

2. 检测哪个参数在html有回显、回显位置。

3. 猜测目标生成html方式，模板生成？还是后端拼接的html？

所以我们的思路可以大致形成这样的思维导图

判断回显位置

这里先生成随机数，然后进行fuzz，最后使用xhtml.Find方法找到字符串的回显位置

randStr = str.RandStr(5)respChannel, err = param.Fuzz(randStr).Exec()die(err)rssp = <-respChannelrawBody, err = str.ExtractBodyFromHTTPResponseRaw(rssp.ResponseRaw)die(err)matchNodes = xhtml.Find(rawBody, randStr)

根据回显位置分类并生成对应payload

这里我们简单地将回显位置分为四类，对于不同类型我们构造不同的payload

1.(tag)标签内文本: 构造标签闭合2.(attr)属性: 构造标签闭合或伪协议,如果是特殊属性可以直接使用javascript代码3.(comment)注释：构造标签闭合4.(js)script 标签内：构造标签闭合或dom型

示例代码如下

我们可以看到node中有许多方便的方法可以很简单地获取这个节点的详细信息，如节点类型(Text,Comment,Attr等)，节点标签名

根据获取到的信息我们可以来将回显分类并生成对应的payload，这里还有一些特殊的处理，比如判断回显是否在引号内，判断是否是特殊属性等

payloads = []for _, matchNode = range matchNodes {    if matchNode.IsText() {        /*         4. script标签内        例：<script>a = '<参数>';</script>         */        if matchNode.TagName == "script" {            // 引号判断            matchText = matchNode.MatchText            randStrIndex = str.Index(matchNode.MatchText, randStr)            quote = ""            for {                randStrIndex -= 1                if randStrIndex < 0{                    break                }                chr = string(matchText[randStrIndex])                if chr == "=" {                    break                } elif chr == "\"" {                    quote = "\""                }elif chr == "'" {                    quote = "'"                }            }            payloads = append(payloads, newPayload(sprintf("1%s;prompt('%s');%s", quote, verifyRandStr, quote), ";"+quote, "js"))            payloads = append(payloads, newPayload(sprintf("1%s;</%s><img id='%s' src=1 onerror='prompt(1)'><%s>%s", quote, matchNode.TagName, verifyRandStr, matchNode.TagName, quote), "<>"+quote, "tag"))        } else {            /*            1.标签内文本: 构造标签闭合            例：<div><参数></div>            */            payloads = append(payloads, newPayload(sprintf("</%s><img id='%s' src=1 onerror='prompt(1)'><%s>", matchNode.TagName, verifyRandStr, matchNode.TagName), "<>", "tag"))        }    } elif matchNode.IsAttr() {        /*        2.属性: 构造标签闭合或伪协议,如果是特殊属性可以直接使用javascript代码        例：<div id="<参数>"></div> <img src=1 onerror="<参数>"></div>         */        attrName = str.ToUpper(matchNode.Key)        // 特殊属性处理        if specialAttr(attrName) {            payload = specialAttrPayload(attrName, verifyRandStr)            payloads = append(payloads, newPayload(payload, "", "spec-attr"))        } else {            payload = sprintf("\"></%s><img id='%s' src=1 onerror='prompt(1)'><%s %s=\"", matchNode.TagName, verifyRandStr, matchNode.TagName, matchNode.Key)            payloads = append(payloads, newPayload(payload, "<>/", "attr"))            payload = sprintf("'></%s><img id='%s' src=1 onerror='prompt(1)'><%s %s='", matchNode.TagName, verifyRandStr, matchNode.TagName, matchNode.Key)            payloads = append(payloads, newPayload(payload, "<>/", "attr"))            payload = sprintf("></%s><img id='%s' src=1 onerror='prompt(1)'><%s %s=", matchNode.TagName, verifyRandStr, matchNode.TagName, matchNode.Key)            payloads = append(payloads, newPayload(payload, "<>/", "attr"))        }    } elif matchNode.IsCOMMENT() {        /*        3.注释：构造标签闭合        例：<!-- <参数> -->        */        payloads = append(payloads, newPayload(sprintf("-->%s<script>prompt(1);</script><!--", verifyRandStr), "<>-", "comment"))    }}

过滤检测

过滤可能是后端框架、自定义方法过滤，可能是前端过滤，也可能是waf过滤

可能过滤的除了字符还可能是script、alert、prompt、div等语句

这里作为演示，我们只是简单地将一些危险字符，如< > ' " / \ - 进行了判断，将过滤的字符数组都写入到filterChars这个数组中

// ! 四 检测危险字符并过滤payloadfilterChars = []allDangerousChars = ["<", ">", "'", "\"", "/", "-"]i = 0detectPayload = randStr + str.Join(allDangerousChars, randStr) + randStrresp, err = param.Fuzz(detectPayload).Exec()die(err)rspo = <-respbody, err = str.ExtractBodyFromHTTPResponseRaw(rspo.ResponseRaw)die(err)randStrFromIndex = string(body)for {    n, btChr = xhtml.MatchBetween(randStrFromIndex, randStr, randStr, 50)    if n == -1 || i >= len(allDangerousChars){        break    }    if allDangerousChars[i] != btChr {        pass = false        filterChars = append(filterChars, string(allDangerousChars[i]))    }    randStrFromIndex = randStrFromIndex[n:]    i += 1}log.debug(sprintf("[%d]filterChars: %s", len(filterChars), filterChars))

使用过滤后的payload测试

在拿到filterChars的时候我们就可以通过判断payload中是否包含这些过滤的字符从而来筛选掉一部分payload

将筛选过后的payload进行测试，然后根据回显来判断是否存在xss，根据之前回显类型的不同，判断存在xss的方式也有所不同

这里使用到了并发技术，将结果写入管道中

payloadFuzzTask = func(swg, resultCh, url, param, verifyRandStr, payload) {    swg.Add()    go func {        defer swg.Done()        freq = param.Fuzz(payload.value)         httpReq, err = freq.GetFirstFuzzHTTPRequest()        checkErr(err)        rawReq, err = httpReq.GetOriginHTTPRequest()        checkErr(err)        reqBody, err = http.dump(rawReq)        checkErr(err)        reqBody = string(reqBody)        respChannel,err =  freq.Exec()        checkErr(err)        rssp = <-respChannel        newBody, err = str.ExtractBodyFromHTTPResponseRaw(rssp.ResponseRaw)        checkErr(err)        existVuln = false         maybeVuln = false        extraMsg = ""        payloadType = payload.payloadType        if payloadType == "js" {        verifyMatchNodes = xhtml.Find(newBody, verifyRandStr) // js类型的payload判断漏洞存在条件为: js中包含"verifyRandStr"这个字符串字面量            for _, matchNode = range verifyMatchNodes {                if matchNode.TagName != "script" {                    continue                }                result,err = js.ASTWalk(matchNode.MatchText)                if err != nil { // 如果ASTWalk报错，则可能存在xss                    existVuln = true                    maybeVuln = true                    break                }                for _,s = range result.StringLiteral{                    if s == verifyRandStr {                        existVuln = true                        break                    }                }                if len(result.BadSyntax) > 0 { // 如果js语法出现错误，则可能存在xss                    existVuln = true                    maybeVuln = true                    break                }            }        } else {            if payloadType == "comment" { // comment类型的payload判断漏洞存在条件: 逃出注释                verifyMatchNodes = xhtml.Find(newBody, verifyRandStr)                 for _, matchNode = range verifyMatchNodes {                    if matchNode.IsText() && matchNode.MatchText == verifyRandStr {                        existVuln = true                        break                    }                }            } elif str.HasPrefix(payloadType, "spec") { // ! 对spec-attr类型的漏洞不做判断,可能存在误报                existVuln = true                maybeVuln = true            } else { // tag或attr类型的payload判断漏洞存在条件: 存在属性值为verifyRandStr的节点，证明标签逃逸或者属性逃逸                verifyMatchNodes = xhtml.Find(newBody, verifyRandStr)                 for _, matchNode = range verifyMatchNodes {                    if matchNode.IsAttr() && matchNode.Key == "id" && matchNode.Value == verifyRandStr {                        existVuln = true                        break                    }                }            }         }        if existVuln {            result = newResult(maybeVuln, url, param, payload, reqBody, newBody)            resultCh <- result        }    }}

输出结果

这里将结果使用log打印出来，并写入Yakit数据库中

// 最后结果 日志输出xssLog = func(result, saveDB) {    maybeVuln = result.maybeVuln    url = result.url    param = result.param     payload = result.payload    reqRaw = result.reqRaw      respRaw = result.respRaw    if maybeVuln {        msg = "Maybe xss"    } else {        msg = "Found xss"    }    payloadString := sprintf("%s=%s", param.Name(), payload.value)    report = {"message": msg, "payload": payloadString, "payload_type": payload.payloadType, "param_position": param.PositionVerbose()}    yakit_output(report)    if saveDB {        risk.NewRisk(            url,            risk.title(sprintf("XSS for: %v", url)),            risk.details(report),            risk.type("xss"),            risk.payload(payloadString),            risk.request(reqRaw),             risk.response(respRaw),            risk.severity("warning"),        )    }}// ! 六 输出结果saveDB = true for result = range resultCh {    xssLog(result, saveDB)    if saveDB {        saveDB = false    }}

简要演示

启动劫持

在左边勾选我们需要启动的MITM插件，浏览器设置代理，访问存在漏洞的靶场页面

将模式修改为被动日志界面，这样才能看到mitm插件的扫描输出，浏览器刷新，重新访问存在漏洞的靶场页面，可以看到插件提示找到了一个xss

同时也将该漏洞的详细信息写入了Yakit数据库中

这里我们复制payload，用浏览器手动测试payload是否有效，可以看到成功弹窗

靶场测试

pentesterlab的xss靶场一共有10关，具体的测试报告如下

靶场案例	是否检测出漏洞	payload	说明
example1	✔️		标签内文本 没有过滤直接输出
example2	✔️		标签内文本 过滤了script标签
exmaple3	✔️		标签内文本 过滤了script标签
example4	✔️		标签内文本 过滤了script关键字
example5	✔️		标签内文本 过滤了alert关键字
example6	✔️	1";	script标签内 没有过滤直接输出
example7	✔️	1";prompt('OOXNhBmZ');"	script标签内使用htmlentities函数过滤
example8	❌		标签内属性注入点存在于URL路径插件没有覆盖到测试点
example9	❌		script标签内注入点存在于URL锚DOM型xss，插件暂不支持

不足

这个插件仅仅是作为一个简单的演示，抛砖引玉，实际上我们知道它还存在很多的不足:

1. 只能检测反射型xss，无法检测dom型xss
2. 对一些特殊位置上的xss无法覆盖(例如路径参数上/某个请求头上)

---

本文首发于 Yak Project 公众号，阅读原文。