Multi-Parameter Attribute-Based Stored XSS

[theeternalwanderer]

Recent am testat o aplicatie web si am intalnit urmatoarea situatie:

• doi parametri pe care ii puteam controla erau inclusi intr-un 'href'
• parametrii respectivi aveau o lungime maxima destul de restrictiva, sa zicem 15 caractere
• orice continea semnul mai mic (<, inclusiv variante Unicode gen full-length angle bracket) urmat de o litera iti termina sesiunea
• caracterele speciale nu erau filtrate si nu se folosea HTML-encoding cand valorile respective erau folosite

 

Cam asa arata codul HTML:

<a href="https://mataigrasa.com/?param1=XXX&param2=YYY&someotherparamsgohere=whateverman">TROLOL</a>

Am folosit urmatoarele valori:

• param1="onclick='/*
• param2=*/alert(9)'x="

 

Atunci codul HTML devine:

<a href="https://mataigrasa.com/?param1="onclick='/*&param2=*/alert(9)'x="YYY&someotherparamsgohere=whateverman">TROLOL</a>

Param1 inchide atributul 'href' si defineste un 'onclick' in care incep un comment (/*). Param 2 inchide comentul (*/) si introduce codul JS care va fi executat de eventul 'onclick'. 

Comentariul este folosit ca sa scoata '&param2=' din ecuatie si sa permita concatenarea codului JS.

 

Alte idei/recomandari/sugestii sunt bine venite.

 

 

Edited November 9, 2017 by theeternalwanderer