一次奇特的XSS之旅

今天闲来无事，和try2实验室站长Bluephantom无意中扯到安全的话题上，Bluephantom说是能搞到try2网站的漏 洞，Bluephantom请吃饭哈。 一提吃饭便来了兴致，可是Bluephantom写的www.try2.org安全性我也见识过，过滤了不少东西，能搞嘛？

我抱着试一试的心态，用X-Scan对Try2.org做了漏洞扫描。(图1)

我是用X-Scan做的扫描，出来的结果只有一条引起我的兴趣——-HTTP TRACE 跨站攻击。。看到这里，我不由得深吸了口冷气，是X-Scan的误报？还是www.Try2.org真的存在所谓的跨站漏洞呢？(图2)

图2
Try2,org的程序是Bluephantom写的，并且开源，开放下载，看过源码，所有的变量都是引号扩起来，又过滤掉了引号，按常理说，怎么可能补全呢？不过我还是只信奉一条。没有绝对安全的程序哈。
说到这里，不得不佩服Bluephantom做的过滤，常用的” ‘ “号在try2.org这个站上面早已失去了意义。(图3)

既然我们跨站，那要怎么跨呢？ 先来构造跨站语句吧！

当然，里面的 是http的转义字符，就是所谓的空格了，在www.Try2.Org的搜索处，提交这个语句。(图4)

很明显，就像Bluephantom说的那样过滤了引号，不可能补全。而且所有的Html都给转义了，就是说<>会变成&lt;&gt;等等。。。可是我也看到了，提交的代码，网站程序运行之后，变成了

这样的格式。。。。在这里我深切的bs一下 Bluephantom，在引号的前面插入””号，造成跨站的失败，可是，是不是就不能跨站了呢？ 我并不灰心。。。
抽支烟，喝口水。。。继续。。。。。。。。。
我发现，try2的url构造基本上都是。。。

Act=viewer就是查看嘛。。module=tools 工具页面？ 后面的typeid= 和 id= 两个应该就是查看的内容页面了，最后的tree=yes或者no，这个tree的功能我还不是很确定，先不管它。
进入视线的便是 typeid= 和id= 两个查询。
嘿嘿，好玩儿。看文章标题的下方，本页URL。

这难道就是文章的地址吗？(图5)

从这里可以看出，貌似是提交什么url，就返回给什么地址。那也就是说，我们把语句给”id=”这个查询变量，是不是会成功跨站呢？

提交。(图6)

我晕，料想的没错。提交是提交了，可就是被过滤了。 这么说，Bluephantom在开发这个程序的时候也开始偷懒了。提交是提交了，响应是响应了，可就是给过滤掉，这倒是个省事的办法哈。
写到这里，为91ri.org感叹，既然当初Bluephantom已经发现这个漏洞了，为什么没有更好的解决掉呢？仅仅是限制了双引号么？ 暂且BS一下。。。。开始郁闷。。。。在考虑是不是要放弃。
抽支烟ing

在baidu上乱点，无意中发现了baidu的搜索代码html的代码。。。咦？这不是一个查询对话框和按钮么？又没用引号，嗯，不错不错
立即对这个代码做了简化，我构造了一个按钮出来哈。

写入到我们构造的url里面去哈。

快测试下 (图7)

居然成功了， 快测试一下。居然可以用，在新窗口中弹出。可是很快我又发现了新的问题，这样做，岂不是从这个页面上弹出的么？ 又得不到这个页面上的程序？
短暂的快乐过后，又陷入了郁闷之中，哎。。。再抽支烟…
晕，原来是我犯傻了，看到我构造的这个url中，action= 后面岂不是可以添加东西吗？哈哈哈，我们看看cookies怎么样？

兴奋之余就给提交了url

再一次傻脸，这个代码怎么又不运行了呢？ (图8)

看了url才知道，自己犯了一个低级错误。哎。。
原来，提交这个这个

url中，引号又被过滤了，页面运行后，返回了

这样的地址。好了，去掉引号，去掉那个文本框，再来提交

出现了按钮了，我迫不及待的按下去，哈哈，得到了cookies啦…(图9)

激动了半天，终于傻了一下，得到的这个貌似没什么太大的作用。而且，只能在管理员登录的时候伪造session 。况且Bluephantom写的后台，后台登陆依然用cookies，郁闷了，抽烟…… 正在发愁自己该咋戒烟的时候，对比构造的这两个跨站代码
一个是按钮，一个是在框架内。
忽然发现自己犯的又一个低级错误。

这个url我不是可以把双引号去掉嘛。

Ok，接着构造url。

迫不及待的test，
哈哈，终于看到了久违的baidu了。(图10)

哇，终于搞定了，接下来的利用我不用说了吧？ 哈哈哈哈。

到这里，似乎有些成功之后的喜悦，毕竟程序是人写的嘛，漏洞是不可缺少的，在存在漏洞的同时，软件也会不断的加强，升级，看来 Bluephantom请我吃饭是肯定的啦。Try2.org很快也会发布相应的补丁的。

91ri.org:xss已经早不是什么只能获取cookie的东西了，不了解xss的朋友可以参考《用xss平台沦陷百度投诉中心后台》经典文。

本文有过程 有思路 有错误分析 有最终结果 不得不说是一篇好文啊，大家多参考他的挖掘漏洞思路，有时能学习想到一个新思路比你所获得结果更重要！

原文：http://try2.org/index.php?act=viewer&module=releases&typeid=2&id=21&page=1&tree=no

本文由网络安全攻防研究室(www.91ri.org)信息安全小组收集整理，转载请注明出处！