猫史档案馆

用户:

嗯哼君渠源查看:56 回复:78 评论:56 创建时间:2020-05-27T19:45:17

在上次的XSS注入事件后（算是吧），经过我的多次调试，终于把这个机制摸得八九不离十了

（以下全是本人经过多次调试后得出的猜测，假若有更正确的内容，还请多多指出~）

首先，我们在这个富文本编辑器里输入任意的文字，打开element查看

我们就会发现，这个“回帖区域”，其实就是一个iframe：

center_image

大家可以边打开element边修改文字试试，以及其他如插入iframe、图片等操作，就会发现我们新添加的内容，都会在这个id为“tinymce”的body标签中出现

对于插入文字、表情及图片的任意正常操作，都会新建一个p标签，并且在新的两个p标签中间添加img标签（当然正常输入文字的话就是在一个p标签中的正常文字，且每换一行都会新建一个p标签）

当然，针对正常操作，我们还可以进行非正常操作。让我们右击这个body的DOM，选择“Edit as HTML”，在这个body中进行如喵入：

center_image

点击其余地方，我们就会发现正常显示了：

center_image

然后让我们点击回帖按钮，查看效果如何。乍看上去，可能效果不太尽人意。但是让我们打开element一探究竟时，却惊异地发现：ul注入成功了！

center_image

目前我测试过的，似乎只有p、img、pre（code）、iframe、ul、ol、li会正常出现，其他要么会被过滤，要么会被转换为普通文字（即p）。那么为什么官方会允许li的出现呢？细思极恐 emotion_doge

然后，我可能需要稍微讲一下最近才修复的iframe问题。大家可以看到，技术喵是直接在我们插入的时候就检测了，只有一小点网站能够正常插入。到这里，真正读懂上面内容的大家，也许就会萌发一个邪恶的想法：“要是直接在element里强行注入会怎么样呢？”这个我还没试过，不过我估计技术喵会在后台进行二次筛选，你们可以试试 emotion_doge

接下来，你们可以自己探讨一下其他功能——加粗、下划线、字体大小与下划线，看看element里会出现什么效果（毕竟跟CSS注入有关系，还是自己摸透彻了比较好）

要是实在不懂，那么我就简单讲一讲吧：举个例子，在你点击红色的时候，这个p标签会做出两个变化：添加一个color的style，以及一个相对应的id。style用于临时向你展示，id则是用于向后台返回数据时，对其进行相应的处理加工再放到帖子里（简单地说，style就是临时变色，真正发帖后仍然呈现红色则是id说了算）

因为id是有限的，这也是为何不能通过改变id来直接进行CSS注入。这一部分建议大家自己动手尝试，通过设置变量来进行对照实验

以上就是我们在准备发帖前，整个的处理流程。下面我们再来讲讲，我们的数据是怎么预处理的，以及后台是怎样进行主处理的

大家可以看到，在第一张图片里，我将body标签的id特别标了出来。他有什么用呢？给大家半分钟，发挥一下天马行空的想象力~

（半分钟时间到）

相信大家已经猜的八九不离十了：在返回给后台的数据中，会把id为“tinymce”的body标签中的数据，原封不动地传回去。简单地说，这个id为“tinymce”的body标签中的内容，就是传入后台的内容（没错，是整个的传过去，包括其style与文字部分，这也是CSS注入的核心）

而在后台的php/asp代码中呢，首先肯定会先进行htmlspecialchars()方法，所以说一般的HTML标签肯定会被屏蔽。那有人就问了，为什么有时候会在评论区正常显现特殊字符呢？我个人猜测，在用JavaScript生成DOM树时，可能会对其进行还原。但是，大家通过看消息通知里的内容肯定会知道，它在传入与传出的过程中已经被屏蔽了

然后，对其进行筛选，二次去掉不正常内容（到这时候，基本就只剩下上面所述的几种标签了）

最后一排版，便将内容返回到客户端，当然在返回后还可能会进行一些处理（比如上面所说的屏蔽字符还原机制）。另外说一下，根据JQ来说，所用的技术十有八九是AJAX（哪位大佬可以Ctrl+U翻一下源代码 emotion_doge ）

至此，一个被技术喵精心设计好的框架，就这么被喵喵地介绍完了（因为我对服务端也拿的不是很准，所以说大部分篇幅还是在介绍前端所干的事情）

最后稍微讲一下CSS注入的机制吧，其实理解起来也很简单：直接在element style里进行注入，不过目前支持的似乎很少了。其原因，就是我上面所述：

当客户端进行POST请求时，同时会直接将整个body的style传过去。因为我们还有一些正常操作，所以说会与CSS恶意注入的代码相混淆。官方已经将不相关的style全部去除了，但是相关的style（如字体大小、粗细、颜色等）却不能被分辨出来

但是针对这点，我感觉还是挺简单的。只要加上限定的大小、颜色等，不就可以判断了？所以说，咱也不知道咱也不敢问 emotion_doge

你插入一下试试呗

哇，厉害

好巧，一分钟前

萌新表示懵逼

惊讶

哇塞我竟然来的早

发现了新的“特性”：大家可以猜猜这是怎么改变的字体 emotion_doge

赶紧前排

前排但是mengb

嘿！真好玩

通过@ZH-Y-Q的回帖，我似乎发现了一个新大陆 emotion_doge

span注入尝试

ss2s

creeper？

owwwman

So we back in the mineGot our pickaxe swinging from side to side
Side-side to side
This task a grueling one
Hope to find some diamonds tonight night night
Diamonds tonight
Heads up
You hear a sound turn around and look up
Total shock fills your body
Oh no it's you again
I can never forget those eyes eyes eyes
Eyes-eye-eyes
'Cause baby tonight
The creeper's tryna 喵 all our stuff again
'Cause baby tonight
You grab your pick shovel and bolt again
Bolt again-gain
And run run until it's done done
Until the sun comes up in the morn'
'Cause baby tonight
The creeper's tryna 喵 all our stuff again
Stuff again-gain
Just when you think you're safe
Overhear some hissing from right behind
Right-right behind
That's a nice life you have
Shame it's gotta end at this time time time
Time-time-time-time
Blows up
Then your health bar drops and you could use a one-up
Get inside don't be tardy
So now you're stuck in there
Half a heart is left but don't die die die
Die-die-die
'Cause baby tonight
The creeper's tryna 喵 all our stuff again
'Cause baby tonight
You grab your pick shovel and bolt again
Bolt again-gain
And run run until it's done done
Until the sun comes up in the morn'
'Cause baby tonight
The creeper's tryna 喵 all our stuff again
Creepers you're mine haha
Dig up diamonds and craft those diamonds
And make some armor get it baby
Go and forge that like you so MLG pro
The sword's made of diamonds so come at me bro huh
Training in your room under the torchlight
Hone that form to get you ready for the big fight
Every single day and the whole night
Creeper's out prowlin' hoo alright
Look at me look at you
Take my revenge that's what I'm gonna do
I'm a warrior baby what else is new
And my blade's gonna tear through you bring it
'Cause baby tonight
The creeper's tryna 喵 all our stuff again
Gather your stuff yeah let's take back the world
Yeah baby tonight Haha
Grab your sword armor and go It's on
Take your revenge Woo oh-oh oh-oh
So fight fight like it's the last last night
Of your life life show them your bite Woo
'Cause baby tonight
The creeper's tryna 喵 all our stuff again
'Cause baby tonight
You grab your pick shovel and bolt again
Bolt again-gain woo
And run run until it's done done
Until the sun comes up in the morn'
'Cause baby tonight
Come on swing your sword up high

猫史档案馆

【编程喵坛回帖机制大揭秘！】欢迎各位编程大佬前来交流斧正

回复