一个防 XSS 自动发留言的演示，看看你能不能绕过~

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

This topic created in 3343 days ago, the information mentioned may be changed or developed.

http://www.etherdream.com/FunnyScript/anti-xssworm/

游戏规则：在控制台里编写代码，若能自动发出留言，就算成功。

控制台必须是那个页面的 top 环境。（模拟页面中的 XSS 运行）
发表过程自动完成，不能有用户交互。（想象 XSS 自动发留言导致蠕虫）

XSS

留言

控制台

自动

10 replies • 2017-03-06 17:26:15 +08:00

O3YwA1ENkb7i35XJ

Mar 6, 2017

```
(function(img){
img.onload = updateList
img.src='https://xqin.net/temp/anti-xssworm.php?c=test_' + Math.random()
})(new Image())
```

这样的算吗?

zjcqoo

Mar 6, 2017

@xqin 后端代理应该不能算~ 这个案例只是为简单，所以不用登陆也可以发表。一般应用都是需要登陆的，代理是不知道用户 token 的。

O3YwA1ENkb7i35XJ

Mar 6, 2017

`游戏规则：在控制台里编写代码，若能自动发出留言，就算成功。` 不是符合了上面的规则了吗? 又没说不让用后端中转.

那个 DEMO, 利用跨域隔离运行环境, 从 js 层面想触发 click 是不可能了(只能用户主动点), 并通过 `message` 事件来进行交互.

O3YwA1ENkb7i35XJ

Mar 6, 2017

话说楼主咋换头像了呢 :P

zjcqoo

Mar 6, 2017

@xqin 没有换啊。。。应该是被和谐了。。。

zjcqoo

Mar 6, 2017

好吧，我再加个需要登陆的机制。。。不过这样后端还是可以自动发的。

我想想，改下游戏规则。用 clickjacking 也算，但也不能太容易

lauix

Mar 6, 2017

这也叫防 XSS ？？？

zjcqoo

Mar 6, 2017

@lauix 防自动发留言

cyrbuzz

Mar 6, 2017

试了一下:
iframs = document.getElementsByTagName('iframe')
然后 iframs[1].src = 'http://127.0.0.1/test' (0 也可以。)
http://127.0.0.1/test 是个用 flask 搭建的页面，页面就是用 python 请求发消息的地址:
http://cross.etherdream.com/FunnyScript/anti-xssworm/submit.php ，然后就可以发了。

呃，不知道这样可不可以。

zjcqoo

Mar 6, 2017

@cyrbuzz 这和 1L 是一样的，用代理发送