目录

1.什么是xss漏洞

1）存储型XSS漏洞

2）反射型XSS漏洞

3）DOM型XSS漏洞

2.什么是domcobble破环

3.案例一

1）例题链接

2）代码展示 

3）例题分析

4.案例二 

1）例题链接

2）代码 

3）代码分析

4）答案分析

---

1.什么是xss漏洞

XSS（跨站脚本）漏洞是一种常见的网络安全漏洞，它允许攻击者在受害者的网页上注入恶意脚本代码。当受害者访问被注入的网页时，恶意脚本会在受害者的浏览器中执行，从而导致攻击者能够窃取用户的敏感信息、劫持用户会话、修改网页内容等恶意行为。

XSS漏洞通常发生在Web应用程序中，其中用户的输入没有经过充分的过滤或转义处理，而是直接插入到网页的HTML代码中。攻击者可以利用这个漏洞，通过在用户输入中注入恶意脚本来执行各种攻击。

XSS漏洞可以分为三种类型：

1）存储型XSS漏洞

攻击者将恶意脚本存储在目标网站的数据库中，当其他用户访问受感染的页面时，恶意脚本会从数据库中提取并在他们的浏览器中执行。

2）反射型XSS漏洞

恶意脚本通过URL参数传递给目标网站，然后网站将恶意脚本反射回用户的浏览器执行。

3）DOM型XSS漏洞

恶意脚本通过修改网页的DOM（文档对象模型）来执行攻击，而不是通过服务器返回的HTML代码。

2.什么是domcobble破环

DOMClobber是一种攻击技术，它利用了DOM（文档对象模型）的特性来破坏或修改网页的结构和功能。

DOMClobber攻击通常发生在Web应用程序中，其中攻击者能够注入恶意代码或修改网页的DOM结构。DOMClobber攻击的目标是修改网页中的关键元素，例如修改表单的提交目标、修改链接的目标URL等。

攻击者可以通过修改网页的DOM结构来欺骗用户或实施其他恶意行为。例如，攻击者可以修改网页中的表单目标，使用户的输入数据被发送到攻击者控制的服务器，从而窃取用户的敏感信息。攻击者还可以修改网页中的链接，使用户被重定向到恶意网站。

为了防止DOMClobber攻击，开发人员应该对用户输入进行充分的过滤和验证，并使用安全的编码方式来处理和显示用户输入。此外，开发人员还应该使用安全的DOM操作方法，避免使用直接的innerHTML或eval等危险的操作。

3.案例一

1）例题链接

XSS Game - Ok, Boomer | PwnFunction

2）代码展示 

<!-- Challenge -->
<h2 id="boomer">Ok, Boomer.</h2>
<script>boomer.innerHTML = DOMPurify.sanitize(new URL(location).searchParams.get('boomer') || "Ok, Boomer")setTimeout(ok, 2000)
</script>

3）例题分析

GET参数boomer被设置为boomer.innerHTML，但问题是该网站使用了DOMPurify，它会对任何JavaScript进行清理，只留下无脚本的部分。紧接着的语句是一个sink，setTimeout在指定的延迟时间后执行代码。setTimeout可以接受函数或字符串作为参数并执行它。在这里，ok变量被执行，但它不存在。现在的问题是，我们能否自己定义ok变量？

是的，我们可以。 通过DOM Clobbering。通过将HTML元素注入到DOM中，我们可以创建JavaScript变量。所以在我们的情况下，我们需要创建变量ok。为此，我们将创建一个锚点标签，因为如果我们创建一个id设置为ok的锚点标签，那么浏览器会自动在JavaScript中创建一个名为ok的变量。我们选择锚点标签的另一个原因是，当对锚点标签调用toString()时，它返回该锚点标签对象的href属性。这很有用，因为我们不仅可以控制变量的创建，还可以控制它的字符串值。所以在我们的情况下，当setTimeout尝试将提供的函数ok作为参数调用时，它会意识到它不是一个函数，因此调用它的toString()，它返回href属性，然后被执行。

<a id=ok href=tel:alert(1337)>

需要注意的事项： href不能是任意的字符串，它必须遵循protocol:host的格式，如果字符串不符合该格式，它的值将变为BaseURL/yourString。 tel:alert(1337)也是一个有效的JavaScript，因为它遵循label:code的语法。 tel被使用是因为它被DOMPurify列入白名单，允许作为安全协议之一。

4.案例二 

1）例题链接

XSS Game - Jason Bourne | PwnFunction

2）代码 

<script>/* Helpers */const bootstrapAlert = (msg, type) => {return (`<div class="alert alert-${type}" role="alert">${DOMPurify.sanitize(msg)}</div>`)}document.getAlert = () => document.getElementById('alerts');
</script><script>/* Welcome */let name = (new URL(location).searchParams.get('name')) || "Pamela Landy";document.write(bootstrapAlert(`<b>Operation Treadstone</b>: Welcome <u>${name}</u>.`, 'info'))
</script><!-- alerts -->
<div id="alerts"></div><script>/* Handle to `#alert` */let alerts = document.getAlert();/* Treadstone Credentials */let identification = Math.random().toString(36).slice(2);let code = Math.floor(Math.random() * 89999 + 10000);/* Default Credentials */DEFAULTS = {};DEFAULTS[identification] = code;
</script><script>/* Optional Comment */if (location.hash) {let comment = document.createComment(decodeURI(location.hash).slice(1));document.querySelector('#alerts').appendChild(comment);}
</script><script>/* Use `DEFAULTS` to init `SECRETS` */SECRETS = DEFAULTS/* Increment the `code` before the check */let secretKey = new URL(location).searchParams.get('key') || "TREADSTONE_WEBB";SECRETS[secretKey] += 1;/* Authorization Check */if (SECRETS[secretKey] === SECRETS[identification]) {confirm(`Jesus Christ, it's Jason Bourne!`)} else {confirm(`You ain't David Webb!`)}
</script>

3）代码分析

第一个script块

首先定义了一个函数bootstrapAlert(msg,type)，返回值是一个div标签里面包含着msg输入的东西，还使用了DOMPurify框架进行过滤

之后又定义了一个函数get.Alert，获取id为alerts的元素

第二个script块

首先通过GET传入name参数，如果没有传，默认Pamela Landy

然后调用bootstrapAlert函数，相当于这样

<div class="alert alert-info" role="alert">
     <b>Operation Treadstone</b>
     : Welcome <u>${name}</u>
</div>

然后一个id属性为alerts的div标签

第三个script块

首先将函数getAlert()的返回值赋给alerts

之后生成一个0，1的随机数，再将其转换为36进制的字符串，然后切片，去掉前两个字符

再使用Math.random()*89999+10000生成一个10000到89999的随机数赋给code

然后定义了一个DEFAULTS空对象

最后将code赋值给DEFAULTS对象里的identification属性

第四个script块

如果存在location.hash值

那就去掉前面的#号，将hash值取出来，然后以改内容创建注释赋值给comment

最后找到id属性为alerts的标签，将comment添加为它的子元素

第五个script块

首先把对象DEFAULTS赋给SECRETS

之后找到GET参数key，将它赋给secretKey，如果不存在默认为"TREADSTONE_WEBB"

并将secretKey值加1作为属性赋给SECRETS对象

然后if判断SECRETS[secretKey]与SECRETS[identification]是否相等

4）答案分析

?name=<img name=getAlert><form id=alerts name=DEFAULTS>&key=innerHTML#--><img src onerror=alert(1337)>