在URL凭据中隐藏载荷 | PortSwigger研究

去年，Johan Carlsson发现可以在URL的凭据部分隐藏载荷。这让我非常着迷，尤其是因为载荷在Chrome和Firefox的URL中实际上不可见。这种特性甚至在同源导航中持续存在。因此，我像咬住骨头的狗一样不肯放手，尝试探索可能的应用…

第一个令我惊讶的是，document.URL并不总是与location匹配。

1
2
3


https://foo:bar@portswigger-labs.net
alert(location); //https://portswigger-labs.net/
alert(document.URL); //https://foo:bar@portswigger-labs.net/

我原本假设这两个属性是相同的，因为我从未观察到它们不同，但事实证明document.URL包含URL的凭据部分，而location不包含。这意味着你可以在事件中使用URL从凭据中获取载荷：

1
2


https://alert(1)@portswigger-labs.net
<img src onerror=alert(URL.slice(8,16))>

从凭据中获取载荷

在模糊测试以识别URL凭据部分哪些字符被编码后，Shazzer发现Firefox不对单引号进行URL编码。这在DOM XSS场景中特别有用，如果网站移除查询字符串和哈希。因为它使得这样的漏洞在Firefox中可被利用：

1
2
3
4


function getBase(url) {
   return url.split(/[?#]/)[0];
}
document.write(`<script>const url='${getBase(document.URL)}';<\/script>`);

要利用这一点，你需要在Firefox的凭据部分提供载荷，如下所示：

1

https://'-alert(1)-'@example.com

这可以通过重定向或用户导航来实现。你甚至可以使用这种技术来控制锚链接的用户名或密码属性。这是因为每个锚元素都有这些属性，它们存储来自URL的凭据。如果是相对链接，它会继承父凭据，允许你覆盖这些值：

1
2


https://clobbered@example.com
<a href=# onclick=alert(username)>test</a>

锚覆盖示例

你可以将此与DOM覆盖结合使用，以控制具有用户名或密码属性的对象。注意，你甚至可以提供空白的href，仍然可以通过URL控制用户名或密码。

1
2
3
4
5
6


https://user:pass@example.com
<a href id=x>test</a>
<script>
eval(x.username)//user
eval(x.password)//pass
</script>

总之，发现location和document.URL之间的差异，以及document.URL如何保留URL的凭据部分——即使像Chrome和Firefox这样的浏览器在地址栏中隐藏它——是相当令人惊讶的。Firefox对某些字符（如单引号）的处理（不进行URL编码）也可能对DOM XSS有用。

通过凭据隐藏载荷、操纵锚元素内的用户名和密码属性，并可能将此与DOM覆盖结合使用的能力，可以用于更高级的利用。

注意：Safari会丢弃URL凭据。所示的所有示例仅在Chrome和Firefox上有效。此外，Chrome阻止子资源使用URL凭据。

URL凭据中隐藏载荷的XSS与DOM覆盖技术解析

本文探讨了如何在URL凭据部分隐藏恶意载荷，利用document.URL与location属性的差异实现XSS攻击，并结合DOM覆盖技术控制锚元素用户名密码属性，涵盖Chrome与Firefox的特定行为分析。

在URL凭据中隐藏载荷 | PortSwigger研究