Странное поведение XSS

Белый Тигр · 31.05.2019, 10:46

Здравствуйте. Столкнулся со следующей странностью при проведении XSS.
Пейлод, в виде тега с подключением стороннего скрипта, успешно попадает в админку.
Если из этого скрипта пытаюсь дёргать куки - пустота. Тут понятно, httpOnly. Я его вижу в запросах при первом посещении.
Если из скрипта дёргаю аяксом или ифреймом другие ссылки админки, то вместо них получаю контент формы авторизации. Будто человек, в чьём браузере сработка, не авторизован. При этом человек ходит по этим ссылкам спокойно (пейлод лежит на нескольких страницах, перемещения видны по сработкам), хтмл успешно получается из текущего <html>.
Что это может быть? Никаких необычных заголовков, по крайней мере на форме авторизации, не отдаётся. Может какой секурный плагин для браузера?

Beched · 03.06.2019, 18:05

А withCredentials проставил?

Белый Тигр · 05.06.2019, 06:50

Цитата:

Сообщение от Beched

А withCredentials проставил?

Да, на результат это не повлияло.

S00pY · 05.06.2019, 14:55

А приложение это SPA ?

Возможно, есть смысл посмотреть клиент сайд апликухи, как там делаются запросы, мб там при подготовке запроса сетится какой-то header для авторизации?
Мб еще посмотреть что лежит в localstorage и sessionstorage.

Белый Тигр · 06.06.2019, 16:52

Цитата:

Сообщение от S00pY

А приложение это SPA ?

Возможно, есть смысл посмотреть клиент сайд апликухи, как там делаются запросы, мб там при подготовке запроса сетится какой-то header для авторизации?
Мб еще посмотреть что лежит в localstorage и sessionstorage.

Приложение не SPA, обращается к обычным пхп скриптам по полному урлу. Сторейджы пусты. На руках есть весь внутренний JS, но там простой jQuery. Есть не много аякса, и этот копипащенный код нормально работает. Проблема почему-то именно при открытии прямых не аяксовых урлов.

Забыл упомянуть про одну особенность - если обращаться ифреймом и аяксом к урлу который сейчас открыт в браузере, то всё отлично. Мне уже начинает казаться что там на каждом урле отдельная авторизация (например уникальный ключ в сессии). Просто форма одна и та же.

31.05.2019, 10:46	#1
Белый Тигр Регистрация: 29.08.2010 Сообщений: 153 Репутация: 25	Странное поведение XSS Здравствуйте. Столкнулся со следующей странностью при проведении XSS. Пейлод, в виде тега с подключением стороннего скрипта, успешно попадает в админку. Если из этого скрипта пытаюсь дёргать куки - пустота. Тут понятно, httpOnly. Я его вижу в запросах при первом посещении. Если из скрипта дёргаю аяксом или ифреймом другие ссылки админки, то вместо них получаю контент формы авторизации. Будто человек, в чьём браузере сработка, не авторизован. При этом человек ходит по этим ссылкам спокойно (пейлод лежит на нескольких страницах, перемещения видны по сработкам), хтмл успешно получается из текущего <html>. Что это может быть? Никаких необычных заголовков, по крайней мере на форме авторизации, не отдаётся. Может какой секурный плагин для браузера?

03.06.2019, 18:05	#2
Beched Регистрация: 06.07.2010 Сообщений: 402 Репутация: 118	А withCredentials проставил? __________________ Current: Penetration Testing, Application Security === Old: Заметки о взломе ; проверка на уязвимости A hack CTF

Опции темы	Поиск в этой теме
Версия для печати Отправить по электронной почте	Поиск в этой теме: Расширенный поиск
Опции просмотра
Линейный вид Комбинированный вид Древовидный вид

05.06.2019, 14:55	#4
S00pY Регистрация: 06.07.2010 Сообщений: 39 Репутация: 35	А приложение это SPA ? Возможно, есть смысл посмотреть клиент сайд апликухи, как там делаются запросы, мб там при подготовке запроса сетится какой-то header для авторизации? Мб еще посмотреть что лежит в localstorage и sessionstorage.