无需括号和分号的XSS

2019-5-21 04:12 |来自: 互联网 1391 0

摘要: 几年前，我发现了一种在javascript语句中调用函数而不使用括号（使用onerror和throw）的方法。它的工作原理是将onerror设置为你想调用的函数，然后用throw语句将参数传递给函数：scriptonerror=alert;throw 1337/scriptonerror在每次javascript执行异常时都会被激活，调用指定的处理程序，并且t ...

关键词： 语句字符串函数 throw 括号 onerror 异常分号方法

几年前，我发现了一种在javascript语句中调用函数而不使用括号（使用onerror和throw）的方法。它的工作原理是将onerror设置为你想调用的函数，然后用throw语句将参数传递给函数：

onerror在每次javascript执行异常时都会被激活，调用指定的处理程序，并且throw语句可创建一个发送到onerror处的包含表达式的自定义异常。因为throw是一个语句，在和onerror配合使用时需要用分号隔离，避免被包含。

而最近，我遇到了一个过滤了括号和分号的网站，以前所发现的方法自然就失效了，现在我必须找到某种方法在不使用分号和括号的情况下执行一个函数。

第一种方法非常简单：你可以使用花括号来进行语句隔离，将onerror整体放入花括号中。这样就避免了使用分号：

这种方法虽然可行，但我想要一个更酷的XSS。有趣的是，因为throw语句可以接上一个表达式，所以你可以把onerror放在throw语句中进行赋值，并且throw表达式的最后一部分会被发送到onerror指定的处理函数中，实现一个自动的函数执行和参数调用。以下是它的工作原理：

当运行上面的代码时，你可以注意到Chrome把Uncaught作为描述异常的字符串的前缀。

在我之前的博客文章中，我展示了如何把eval当作异常处理程序并把指定字符串作为参数。简单回顾一下，你就会发现在字符串前加上一个=，就能将Uncaught字符串变成一个变量并执行任意javascript。例如：

发送给eval函数的是Uncaught=alert(1337)。以上XSS能在Chrome上正常工作，但在Firefox上不行，因为Firefox的前缀是uncaught exception，代码最后执行时会出现语法错误。于是我开始寻找通用的方法。

值得注意的是，当从控制台执行throw时，onerror/throw这套XSS是无法生效的。这是因为在控制台中执行throw时，结果将发送到控制台而不是异常处理程序。

当你在Firefox中使用Error函数创建异常时，最后报错语句的前缀不是uncaught exception，而是字符串Error：

throw new Error("My message")//Error: My message

当然，我显然无法直接使用Error函数，因为它需要括号，但我想也许我能使用带有Error原型的object literal来模拟它的动作。很可惜，试验后我发现这依旧不行——Firefox仍然使用相同的字符串作为前缀。接着我使用Hackability Inspector检查Error对象以查看它具有的属性。我将所有属性添加到object literal，发现它居然有效！于是我一个接一个地删除属性，直到找到最小的属性集合：