【滲透實戰】waf配置不當，某企業的xss跨站漏洞
阿新 • • 發佈：2019-01-01
/禁止轉載 原作者QQ:3496925334/
■重要細節全部打碼
■部分細節對外開放
●漏洞已提交，無影響廠商忽略
●尋找注入點
開啟網頁就發現一個搜尋欄，
隨便寫一些東西，回車
搜出0條記錄，在後面加上永真判斷
‘or’’=’
回車，搜出2000多條記錄
■初步判斷：教科書式的注入漏洞，沒有過濾引數
●嘗試盲注
select語句試著爆表看看
可惜被waf攔截了
■waf攔截特定敏感詞
●嘗試繞過waf
替換大小寫！
被攔截
用註釋分割敏感字元！
報錯，爆出原生代碼，從程式碼中看出確實沒有過濾引數，所有安全措施全被waf管理。
註釋無效
用#分割字元
被截斷，報錯
用%00分割字元
被截斷，報錯
用%0A分割字元
轉碼成空格，報錯
用char語句繞過
報錯，sql識別不了
■放棄注入攻擊！
太可惜了，注入點沒法利用（對於我來說）
●嘗試跨站攻擊！
看到每條新聞下都有評論區，而且搜尋欄在sqlmap掃描後也發現了xss漏洞，emmmm
試試儲存型的跨站攻擊能不能成功吧
註冊一個賬號，傳送一條評論，f12看html構造
■每條評論都被div標籤包圍
●嘗試繞出div標籤
</div>test<div>回車！
test顯示在了評論之外！
■儲存型xss漏洞可以被利用！
那麼f12繼續看構造，構造一條可以在body標籤內自由控制引數的payload！
alert彈窗當然必備！
回車！
被waf攔截！什麼？
經過多次敏感詞測試
看來這個網站為了留住最後點尊嚴無論如何都要過濾alert（）引數。。
不過這也不能阻止我利用冷門標籤
■waf攔截敏感詞
●冷門標籤繞過
<img src="" onerror="Alert(/test/)">
回車！又被攔截了？
嗯？？
那麼js混淆看看？開啟站長工具，混淆壓縮js
再寫進冷門標籤裡，回車！成功彈出視窗！
js被成功執行了！
■waf被成功繞過了！js執行成功
雖然成功發現了一個漏洞 但注入點不能利用是真的可惜了。。
不止是國企有這種漏洞 連一下gov站都沒有認真防禦這種漏洞，上次在各種消防網站上都找到了xss漏洞。。有3，4層是儲存型，剩下的都是反射型，也可以控制引數。。
接下來放圖
