رابط يكسر نفسه في المتصفح

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

صفحة الملف الشخصي في منتدى الغربان تقرأ الجزء الذي بعد علامة # في الرابط وتضعه داخل سمة alt لصورة العرض كل هذا يحدث في جافاسكربت الصفحة نفسها فالخادم لا يرى شيئا الهاكر أضاف حماية تحذف <script> من القيمة

ما الذي تراه أمامك

صفحة الملف الشخصي في منتدى الغربان تقرأ ما بعد # في العنوان في جافاسكربت الصفحة نفسها وتضعه داخل سمة alt لصورة عبر innerHTML الخادم لا يرى شيئا الهاكر أضاف حماية تحذف script. تكتب الجزء في الحقل أو العنوان كاملا في شريط العنوان

الهدف

اصنع جزء رابط (بعد #) يجعل متصفح الضحية يشغل شيفرة تنادي steal() لاحظ: لا يرسل أي طلب للخادم

متى يعتبر محلولا

جزء الرابط ينتج html يشغل شيفرة تنادي steal داخل الصفحة بدون أي طلب للخادم

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

جرب جزءا عاديا وشاهد الـ html الذي تبنيه الصفحة قيمتك داخل سمة بين اقتباسين
فكر كيف تغلق الاقتباس ثم الوسم لتبدأ عنصرا جديدا
الحماية تحذف script فقط فاستخدم طريقة بدون وسم script
طبق الجزء وتأكد أن الشيفرة تعمل داخل الصفحة بلا طلب للخادم

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

هذا XSS من نوع DOM المصدر هو بيانات يتحكم بها المهاجم (جزء الرابط بعد #) والمصرف (sink) هو innerHTML في جافاسكربت الصفحة لا الخادم المشكلة مضاعفة: القيمة تدخل داخل سمة فيجب الهروب منها أولا والحماية قائمة سوداء تكسر الحل: لا تبن html من نص بل استخدم textContent أو setAttribute اللذين يعاملان القيمة كبيانات دائما وإذا لزم html فعقمه بقائمة بيضاء وافهم السياق الذي تضع فيه القيمة

السبب الجذري

المصدر بيانات يتحكم بها المهاجم جزء العنوان والمصرف innerHTML في جافاسكربت العميل والقيمة تدخل داخل سمة فتحتاج هروبا والحماية قائمة سوداء كل الخلل في العميل لا الخادم

كيف يصلح الكود

في ثغرات DOM غالبا ما يكون الخادم سليما والخلل كله في جافاسكربت العميل راقب المصادر (location document.referrer الرسائل) والمصارف (innerHTML document.write eval)

الكود المصاب

const value = decodeURIComponent(location.hash.slice(1));
const safe = value.replace(/<script>/gi, '');       // blacklist
// Value is built into HTML inside an attribute: it can break out.
avatar.innerHTML = '<img alt="' + safe + '" class="avatar">';

الكود الآمن

const value = decodeURIComponent(location.hash.slice(1));
// Treat it as data, never as markup: setAttribute can never break out.
const img = document.createElement('img');
img.className = 'avatar';
img.alt = value;
avatar.replaceChildren(img);

الأثر في الواقع

ثغرات DOM تمر من مراجعات الخادم لأن الخادم سليم تماما وتصيب مستخدمي صفحات تطبيق الصفحة الواحدة الحديثة بكثرة وتسرق الجلسات والرموز من المتصفح

كيف يكتشفها المدافعون

المدافع يبحث في كود العميل عن المصادر location و document.referrer والرسائل وعن المصارف innerHTML و document.write و eval ويستبدلها بـ textContent و setAttribute

العودة إلى الدرس