一次小破站JS代码审计出XSS漏洞思路学习

今天看了小破站一个大佬的分析，感觉思路很有意思，感兴趣的xdm可以到大佬视频下提供的链接进行测试（传送门）这类社交平台的XSS漏洞利用起来其实危害是特别大的，利用XSS能在社交平台上呈现蠕虫式的扩散，大部分资产其实很容易存在这样的问题，也是一种挖高危的好思路。
由于up主视频分析比较概括，自己吧源码拉下来再研究和复现一遍，加深印象。
最后，JS看来还是得再学一下，学的东西都还给老师了qaq，代码还是理解得不透彻，不过暂且记录下来，有什么问题欢迎各路大佬来指正。

一、私信功能JS的部分代码：

<script>
function test(){var any_url = 'https?:\\/\\/(www\\.)?[-a-zA-Z0-9@:%._\\+~#=]{1,256}\\.[a-zA-Z0-9()]{1,6}\\b([-a-zA-Z0-9()@:%_\\+.~#?&//=]*)|bilibili://[\\w!@#$&\\*=\\./?~_%\\-]*';var white_list = JSON.parse('["^https?://[-A-Za-z0-9.]*(bilibili.com|biligame.com|acg.tv|b23.tv|(bili2233|bili23|bili33|bili22).cn|dl.hdslb.com)(/[A-Za-z0-9!@#$&\\\\*=\\\\./?~_%\\\\-]*)*$","^bilibili://[\\\\w!@#$&\\\\*=\\\\./?~_%\\\\-]*"]');var msgRegex = {any_url:any_url,white_list:white_list,black_list:[]}var g = null;var p = document.getElementById("in").value;//sort((function(t, e){})是比值函数结合sort()函数以字符长度大到小排序，具体解释：https://blog.51cto.com/u_15076212/4265209var m, f, h = new RegExp(any_url,"g"), g = (p.match(h) || []).sort((function(t, e) {return e.length - t.length})), v = null === (m = msgRegex) || void 0 === m ? void 0 : m.white_list.filter((function(t) {return -1 === t.indexOf("bilibili://")})), b = new RegExp(v.join("|")), y = new RegExp(null === (f = msgRegex) || void 0 === f ? void 0 : f.black_list.join("|"));g.forEach((function(e, n) {var i, s;console.log(e);!b.test(e) || null !== (i = msgRegex) && void 0 !== i && null !== (s = i.black_list) && void 0 !== s && s.length && y.test(e) || (p = p.split(e).join("bilibili-msg-link-placeholder-".concat(n)))})),(function(){//url是bilibili://开头的提示移动端打开p = p.replace(/(?:bilibili:\/\/)(?:[/.$*?~=#!%@&\-\w]*)?/g,function(t){return '\n              <span data-href="'.concat(t, '">\n                【请在移动端上打开链接】\n              </span>\n            ')})})(),//p = u(d, p).join(""),g.forEach((function(t, e) {//造成漏洞的关键部分：满足条件的字符串拼接bilibili-msg-link-placeholder-（序号）p = p.split("bilibili-msg-link-placeholder-".concat(e)).join('\n              <a href="'.concat(t, '" target="_blank" class="dynamic-link">\n                <i class="bp-icon-font icon-link"></i> 网页链接\n              </a>\n            '))})),document.getElementById("output_html").value = p;console.log(document.getElementById("output"));document.getElementById("output").contentWindow.document.documentElement.innerHTML=p;console.log(p);
};
</script>

chatgpt对这一部分代码解释：

在这里插入图片描述

二、分析原理

首先要理解的是js代码里面的”bilibili-msg-link-placeholder-".concat(e)部分，这部分称为占位符，也可以理解为一个便于后面进行输出的数组变量，代码中看出只要符合url格式的字符串都会被归入占位符数组中，concat(e)可以简单理解为当存在多个符合条件的url的时候按短到长的顺序生成序号1，2，3…，

最后再满足white_list正则的占位符进行拼接并输出
显示效果就是这样
在这里插入图片描述

当攻击者故意在URL里面插入”bilibili-msg-link-placeholder-".concat(e)这样的字符串时就有可能导致XSS的发生。

比如发送两条符合条件的url：
https://www.bilibili.com/bilibili-msg-link-placeholder-1
https://www.baidu.com/οnmοuseοver=console.log(99)//

此时占位符的排序是由url长到短排序的，所以
bilibili-msg-link-placeholder-1的值是https://www.baidu.com/οnmοuseοver=console.log(99)//，但是由于格式不符合white_list，最后不会进行超链接的拼接
bilibili-msg-link-placeholder-0的值是https://www.bilibili.com/bilibili-msg-link-placeholder-1，格式符合white_list，最后会进行超链接的拼接

bilibili-msg-link-placeholder-0拼接的结果为

  <a href="https://www.bilibili.com/<a href="https://www.baidu.com/onmouseover=console.log(99)//" target="_blank" class="dynamic-link"><i class="bp-icon-font icon-link"></i> 网页链接</a>
" target="_blank" class="dynamic-link"><i class="bp-icon-font icon-link"></i> 网页链接</a>

最后效果：
可以看到控制台console.log(99)显示出来了。
在这里插入图片描述