利用文件上傳實(shí)現(xiàn)XSS攻擊是一個(gè)Hacking Web應(yīng)用的很好機(jī)會(huì)，特別是無(wú)處不在的用戶(hù)頭像上傳案例中，這就給予我們很多發(fā)現(xiàn)開(kāi)發(fā)者錯(cuò)誤的機(jī)會(huì)。基本的文件上傳 XSS 攻擊有以下幾種。
1) 文件名
文件名本身可能就是網(wǎng)頁(yè)的一部分可以造成反射，所以可以通過(guò)將 XSS 語(yǔ)句插入文件名中來(lái)觸發(fā)反射。
盡管不是有意為之，但是這個(gè) XSS 可以實(shí)踐在 W3Schools。
2) 元數(shù)據(jù)
使用 exiftool 工具可以修改 EXIF 元數(shù)據(jù)，從而在某些地方造成反射：
$ exiftool -FIELD=XSS FILE
例子：
$ exiftool -Artist=’ “><img src=1 onerror=alert(document.domain)>’ brute.jpeg 
3) 內(nèi)容
如果 Web 應(yīng)用允許上傳 SVG（一種圖像類(lèi)型）擴(kuò)展名，則以下內(nèi)容可以用來(lái)觸發(fā) XSS：
<svg xmlns="http://www.w3.org/2000/svg" onload="alert(document.domain)"/>
一個(gè) POC 可以在這里看到 brutelogic.com.br/poc.svg。
4）源碼
我們可以很容易的創(chuàng)建一張包含 JAVAscript payload 的 GIF 圖片，然后將這張圖片當(dāng)做源碼加以引用。如果我們可以成功的注入相同的域名，如下所示，則這樣可以有效的幫我們繞過(guò) CSP（內(nèi)容安全策略）防護(hù)（其不允許執(zhí)行例如<script>alert(1)</script>）
創(chuàng)建這樣一張圖片可以使用如下內(nèi)容并將文件命名為 .gif 后綴：
GIF89a/*<svg/onload=alert(1)>*/=alert(document.domain)//;
GIF 文件標(biāo)識(shí) GIF89a 做為一個(gè) JavaScript 的變量分配給 alert 函數(shù)。中間注釋部分的 XSS 是為了以防圖像被檢索為 text/html MIME 類(lèi)型時(shí)，通過(guò)請(qǐng)求文件來(lái)執(zhí)行 payload。
我們通過(guò)下圖可以發(fā)現(xiàn)，類(lèi) UNIX 命令的 php 函數(shù) exif_imagetype() 和 getimagesize() 都會(huì)將這個(gè)文件識(shí)別為 GIF 文件。而一般的 Web 應(yīng)用都是使用這些函數(shù)來(lái)驗(yàn)證圖像類(lèi)型的，所以這樣一個(gè)文件是可以被上傳的（但上傳后可能會(huì)被殺毒軟件查殺）。
點(diǎn)擊關(guān)注我的頭條號(hào)，0基礎(chǔ)掌握更多黑客秘籍
私信回復(fù)‘’資料‘’領(lǐng)取更多技術(shù)文章和學(xué)習(xí)資料，加入專(zhuān)屬的安全學(xué)習(xí)圈一起進(jìn)步
安界
安界貫徹人才培養(yǎng)理念，結(jié)合專(zhuān)業(yè)研發(fā)團(tuán)隊(duì)，打造課程內(nèi)容體系，推進(jìn)實(shí)訓(xùn)平臺(tái)發(fā)展，通過(guò)一站式成長(zhǎng)計(jì)劃、推薦就業(yè)以及陪護(hù)指導(dǎo)的師帶徒服務(wù)，為學(xué)員的繼續(xù)學(xué)習(xí)和職業(yè)發(fā)展保駕護(hù)航，真正實(shí)現(xiàn)和完善網(wǎng)絡(luò)安全精英的教練場(chǎng)平臺(tái)；
關(guān)注私信‘資料’
如果你想實(shí)現(xiàn)進(jìn)高企、就高職、拿高薪，即使低學(xué)歷也可實(shí)現(xiàn)職業(yè)發(fā)展中的第一個(gè)“彎道超車(chē)”！趕緊私信我！等你來(lái)！
