收藏小白程序员轻松入门网络安全从实战案例到课程培训带你一步步成为漏洞挖掘高手本文通过一次APP存储型XSS漏洞挖掘的实战案例详细讲解了从前端限制突破、WAF规则绕过、事件FUZZ、字符截断踩坑到最终利用的完整测试逻辑适合新手学习。同时介绍了作者提供的SRC漏洞挖掘培训课程涵盖实战案例、知识体系并赠送知识星球内部小圈子交流群助力学员提升技能找到好工作。专注于SRC漏洞挖掘、红蓝对抗、渗透测试、代码审计JS逆向CNVD和EDUSRC漏洞挖掘以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具。010x1 【众测实战】某APP存储型XSS完整挖掘WAF绕过思路复盘大家好今天给大家复盘一次近期众测挖到的某APP存储型XSS漏洞从前端限制突破、WAF规则绕过、事件FUZZ、字符截断踩坑到最终成功拿洞拿赏金完整还原每一步测试逻辑新手也能看懂核心绕过思路。本文章敏感信息全部脱敏打码处理请勿使用文章技术进行违法犯罪活动。一、突破前端限制本次测试目标为某APP个人账户昵称修改功能属于典型的用户可控输入点是存储型XSS的高危测试位置。首次测试发现前端页面对昵称输入做了字符输入限制无法直接发送payload。突破思路抓包修改绕过前端校验所有前端校验都是客户端校验完全可控可绕过。前端的限制仅作用于页面输入抓包拦截修改接口请求数据包即可绕过所有前端JS校验直接向服务端提交恶意载荷。初步测试payloadsTest/s提交后页面正常解析标签、字体生效证明服务端未过滤HTML标签、前端渲染无转义存在XSS漏洞基础条件。二、时间戳校验重放数据包发现响应修改已经超时这里猜测服务端可能做了一些时间范围限制。三、WAF拦截高危事件在确认标签可解析后使用常规hover触发payload测试svg onmouseover1提交后直接拒绝连接初步判定服务端WAF未拦截HTML标签但是严格拦截常见高危JS事件。为验证猜想单独提交纯标签数据包正常回显、无拦截这里修改超时提示不影响后续WAF响应状态的判断。四、事件大小写绕过针对事件做大小写变形测试例如OnMouseOver、ONMOUSEOVER等结果全部被WAF拦截。该站点WAF对常见高危事件开启了大小写忽略匹配规则普通大小写混淆的绕过方式完全失效必须FUZZWAF黑名单缺失的冷门事件。五、黑名单FUZZ针对DOM交互事件进行批量FUZZ测试最终筛选出WAF完全放行、可正常触发JS冷门事件也是本次漏洞利用的核心关键OnMouseEnter、onmouseenter、OnMouseLeave、onmouseleave、OnChange、onchange、OnToggle、ontoggle这类事件属于HTML5小众交互事件WAF规则库未收录无拦截策略是本次绕过的核心突破口。六、进阶绕过确定可用事件后选择兼容性最强、触发最稳定的ontoggle事件details标签专属折叠展开事件搭配大小写混淆标签dETAILS初步测试payloaddETAILS OnTogglealert(document.cookie)dETAILS OnTogglealert(document.cookie)被WAF拦截利用逗号表达式写法从根源抹除攻击特征绕过payloaddETAILS OnToggleaalert,a(document.cookie)该写法利用 JS逗号运算符特性将「函数定义」和「函数调用」拆分执行彻底规避WAF特征检测语法逻辑如下第一步aalert // 将原生alert函数地址赋值给自定义变量a无任何高危特征第二步a(document.cookie) // 调用自定义变量a执行弹窗拿Cookie操作关键核心整个请求报文里不存在 alert( 这个高危特征串WAF只能看到普通变量a的调用无法通过文本匹配识别恶意行为直接放行。七、服务端32位字符硬截断来到昵称这发现确实解析出了折叠标签但是没弹窗站点存在固定32字符硬截断机制超出32位的内容会被直接截断丢弃不会报错、无提示。测试payloaddETAILS OnToggleaalert,a(document.cookie)被服务端强制截断为dETAILS OnToggleaalert,a(docuJS语法残缺、表达式不完整完全无法执行这也是上一步无弹窗的核心原因。索性放弃弹cookie直接弹窗1即可dETAILS OnToggleaalert,a(1)核心优势绕过原理规避WAF alert() 特征拦截常规payload会出现明文alert(极易被WAF匹配拦截本载荷采用 逗号表达式赋值执行原文无alert( 特征先赋值aalert再调用a(1)完美绕过函数特征检测。小众事件免拦截ontoggle非高危自动事件无WAF默认拦截规则。最终提交payload页面正常渲染折叠标签点击展开后成功弹窗存储型XSS漏洞验证成功成功拿下300元众测赏金。九、漏洞总结挖洞思路复盘前端限制全部可被抓包绕过不要被前端输入拦截迷惑WAF大多拦截显性高危特征小众HTML5事件、变量赋值调用语法是高效绕过手段遇到无报错不执行的情况优先排查服务端字符硬截断而非单纯纠结WAF拦截逗号表达式伪协议是规避alert、eval等高危函数特征的通用高阶XSS绕过技巧。本次漏洞难度不高但非常适合新手学习「从踩坑、判断环境、FUZZ筛选、适配限制到最终利用」的完整众测思路所有绕过手法均为实战通用、可复用的技巧。想从事网络安全的同学找工作最怕“理论都懂实战发懵”。在面试中HR和面试官更看重你对真实攻防场景的理解和动手能力。为了帮大家搞定面试我帮大家准备了一份360智榜样学习中心独家《网络攻防知识库》。这份资料最大的亮点在于**“实战性”**知识库由360智榜样学习中心独家打造出品旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力熟练掌握基础攻防到深度对抗。从零到精通完整闭环基础攻防→渗透测试→应急响应→CTF实战5大模块200课时比大学教材更贴近企业实战”涵盖渗透测试案例分析与实战技巧直接对应面试真题包含CTF竞赛基础与HW行动攻防对抗实录丰富你的简历项目经验深入十大安全漏洞与利用技巧掌握这些高阶技能实战SRC挖洞赚钱。实战教学专属靶场掌握这些高阶技能谈薪更有底气。无论你是找渗透测试岗还是安全服务岗这些项目都是加分项。点击下方链接补齐实战短板拿下心仪Offer**读者福利 |***CSDN大礼包《网络安全入门进阶学习资源包》免费分享 ***安全链接放心点击**
