ब्राउजर प्रदान करना व्यवहार में गड़बड़ी के साथ क्रैश हो जाता है

इस लेख में, मैं आपको बताऊंगा कि कैसे मैंने फ़ायरफ़ॉक्स में कई क्रैश खोजने के लिए फ़ज़िंग का उपयोग किया। आमतौर पर, फ़ज़िंग का उद्देश्य एक विफलता ढूंढना है जो स्मृति भ्रष्टाचार को इंगित करता है, लेकिन मेरा लक्ष्य अलग है: मैं एक अप्रत्याशित प्रतिक्रिया प्रतिक्रिया का पता लगाना चाहता हूं। ये ऐसे अक्षर हो सकते हैं जो एक असामान्य टैग को खोलते हैं या बंद करते हैं, या संभवतः ऐसे अक्षर जिन्हें जावास्क्रिप्ट पार्सर द्वारा अनदेखा किया जाता है। इस तरह की अप्रत्याशित प्रतिक्रिया अक्सर XSS हमलों का संचालन करने, सुरक्षा फिल्टर को दरकिनार करने और जावास्क्रिप्ट सैंडबॉक्स से बचने के लिए इस्तेमाल की जा सकती है।

पहली त्रुटि मैं इस बारे में बात करना चाहता हूं कि HTML टिप्पणी को अलग तरीके से कैसे बंद किया जाए। यदि आप HTML विनिर्देश पढ़ते हैं, तो आप जानते हैं कि एक टिप्पणी -> या -> के साथ बंद हो सकती है। लेकिन इसे अलग तरीके से कैसे किया जाए? फ़ज़िंग शुरू करने के लिए बढ़िया सवाल! आपको बस उस कोड को जनरेट करना होगा जो जवाब देगा।

2008 में वापस, जब मैंने ब्राउज़र के व्यवहार को खराब करने के लिए Shazzer को इकट्ठा किया, तो मैं प्रति पृष्ठ लगभग 10,000 दिशाओं तक सीमित था। आज, 2019 में, सब कुछ तेजी से काम करता है, इसलिए हम अधिक बार फ़ज़ कर सकते हैं। इसके अलावा, DOM का उपयोग करने से फजिंग में तेजी आती है क्योंकि आपको वर्तमान दस्तावेज़ में प्रत्येक दिशा जोड़ने की आवश्यकता नहीं है। यह ध्यान देने योग्य है कि यह एक अविश्वसनीय दृष्टिकोण है, क्योंकि आप विभिन्न परिणाम प्राप्त कर सकते हैं। वास्तव में, मुझे ऐसे मामले मिले हैं जहां DOM, href जैसे विशेषता तर्कों में शून्य मान की अनुमति देता है, लेकिन HTML पार्सर नहीं करता है। ये अभी भी गैर-महत्वपूर्ण विफलताएं हैं, लेकिन आप हमेशा परिणाम पर भरोसा नहीं कर सकते कि HTML पार्सर क्या करेगा। हालांकि, ज्यादातर मामलों में यह काम करता है, और यह सर्वर की ओर से HTML आउटपुट से बहुत तेज है।

पहला कदम पहले ही उठाया जा चुका है - हमारे पास एक सवाल है: "कौन से वर्ण HTML टिप्पणी को बंद कर सकते हैं?"। इसका उत्तर देने के लिए, हमें मौजूदा वर्णों का उपयोग करने की आवश्यकता है जो HTML टिप्पणी को बंद कर देंगे और जो हमें पता नहीं है, वे फ़ज़ी अक्षर बंद कर देंगे। अगला चरण उपयुक्त फ़ज़िंग सॉफ़्टवेयर का उपयोग करना है। मेरे मामले में, मैं अपने हैकवर्टर टूल का उपयोग करता हूं, लेकिन स्थानीय वेब सर्वर का उपयोग करके मैं समान परिणाम प्राप्त कर सकता हूं। इस उपकरण का विचार इनपुट क्षेत्र में इनपुट डालना, टैग को थोड़ा रूपांतरित करना और आउटपुट के साथ कुछ करना है। चूँकि हमारे पास कन्वर्ट करने के लिए कुछ नहीं है, हम अपने कोड को सीधे आउटपुट फील्ड में डाल सकते हैं। इसलिए, टेक्स्ट आउटपुट क्षेत्र पर क्लिक करें और फजी पात्रों को संग्रहीत करने के लिए एक सरणी बनाएं और HTML का परीक्षण करने के लिए एक दिव्य तत्व:

log = []; div=document.createElement('div'); 

फिर हमें 1,000,000 से अधिक यूनिकोड वर्ण या, अधिक सटीक रूप से, 0x10ffff पर फ़ज़ी करना होगा। लूप के लिए एक सरल सब हमें चाहिए:

 for(i=0;i<=0x10ffff;i++){ 

फिर हम उस दिव्य तत्व का पुन: उपयोग करते हैं जो हमने प्रत्येक चरित्र के लिए बनाया था। इस स्थिति में, मैं इसके बाद की स्थिति का परीक्षण करता हूं! ताकि चरित्र के बाद प्रवेश किया जा सके! .. तब मैं img तत्व का उपयोग करके देखता हूं कि क्या फ़ज़िंग सफल था। यदि यह तत्व मौजूद है, तो HTML टिप्पणी बंद कर दी गई है, और हमारे पास कुछ दिलचस्प अक्षर हैं!

 div.innerHTML = '<!-- --!'+String.fromCodePoint(i)+'><img>-->'; 

अंत में, querySelector के साथ हम जाँचते हैं कि img मौजूद है और लॉग में वर्ण जोड़ते हैं। फिर मैं if स्टेटमेंट और लूप के लिए बंद करता हूं। अंत में, मैं बाईं ओर इनपुट क्षेत्र में परिणाम दर्ज करता हूं:

 if(div.querySelector('img')){ log.push(i); } } input.value=log 

यहाँ कोड का पूर्ण संस्करण है । आपको फ़ायरफ़ॉक्स में URL खोलने की आवश्यकता है, और फिर आउटपुट फ़ील्ड में इनपुट वर्णों को डालें और वर्णों को फ़्यूज़ करने के लिए "जेएससी निष्पादित करें" बटन पर क्लिक करें। फ़ज़िंग पूरा करने के बाद, आपको इनपुट फ़ील्ड में संख्याओं को देखना चाहिए, वे चरित्र कोड के अनुरूप हैं जो सफल थे। लेखन के समय, फ़ायरफ़ॉक्स (संस्करण 67) अभी भी टिप्पणी को बंद करने के लिए newline वर्ण - \ n और \ r - के बाद! मुझे सूचित किया गया था कि यह फ़ायरफ़ॉक्स के भविष्य के संस्करणों में तय किया गया है। तो, फ़ज़िंग का अंतिम चरण आपके पेलोड का निर्माण करना है, यह बहुत सरल है। आपको वर्ण कोड को वर्ण से बदलना होगा और XSS पेलोड जोड़ना होगा:

 <!-- --! ><img src=1 onerror=alert(1)> --> 

आप अपने ऑपरेशन का परीक्षण करने के लिए फिर से उत्पादन क्षेत्र में उपरोक्त पेस्ट करके और फिर "टेस्ट HTML" पर क्लिक करके हैकवर्टर का उपयोग कर सकते हैं। एक चेतावनी विंडो दिखाई देनी चाहिए क्योंकि फ़ायरफ़ॉक्स (संस्करण 67) अंतिम टिप्पणी के हिस्से के रूप में नई लाइन को हल करता है।

तो इसने हमें फ़ायरफ़ॉक्स HTML पार्सर में एक गैर-महत्वपूर्ण त्रुटि खोजने की अनुमति दी। चलो एक और खोजो! हमें एक नया प्रश्न चाहिए: "कौन से वर्ण एचटीएमएल टिप्पणी खोल सकते हैं?"। मौजूदा HTML टिप्पणी से परे जाने के बजाय, हम अब मौजूदा HTML विशेषता से परे जाने के लिए HTML टिप्पणी का उपयोग करेंगे। जैसा कि मुझे यकीन है, आप सभी जानते हैं कि आप <के साथ एक HTML टिप्पणी खोल सकते हैं! -। क्या यह सब ठीक है? हम फिर से उसी कोड का उपयोग करेंगे, लेकिन इस बार टिप्पणी को खोलने के लिए इनर HTML के उद्देश्य को बदल दें:



इस प्रकार, जो प्रतीक हम फजी है, वह पहले हाइफ़न के बाद होगा। यदि चरित्र सफलतापूर्वक एक प्रारंभिक HTML टिप्पणी बनाता है, तो यह div तत्व पर टिप्पणी करेगा और इस प्रकार शीर्षक विशेषता से बाहर निकल जाएगा। इस बार, जब हम "जेएससी निष्पादित करते हैं" चलाते हैं, तो हमें फ़ायरफ़ॉक्स में दो परिणाम मिलते हैं (संस्करण 67): "0.45"। कोड 45 की उम्मीद है क्योंकि यह एक हाइफ़न है, लेकिन 0 एक पूर्ण चरित्र है! इसका मतलब है कि फ़ायरफ़ॉक्स अनुक्रम की व्याख्या करता है <! - NULL- एक खुली टिप्पणी के रूप में। किसी तरह का खेल! (मुझे लगता है कि ब्राउज़र प्रदाताओं को अधिक व्यवहार फ़ज़िंग की आवश्यकता है)))। इस परीक्षण मामले को समाप्त करने के लिए, अब हमें अपनी दिशा बनाने की आवश्यकता है। चलिए ऐसा ही करते हैं: फिर से, स्टर्लिंग.फ्रॉमकोडप्वाइंट फ़ंक्शन को दिशा के साथ NULL और XSS प्रतीक से बदलें:

 document.body.innerHTML = '<!-\x00- ><div title="--><img src=1 onerror=alert(1)>"></div>'; 

HTML के बजाय जावास्क्रिप्ट पर जाएँ। मैंने हर ब्राउज़र का परीक्षण किया और मुझे खेद है कि मोज़िला, लेकिन फ़ायरफ़ॉक्स फिर से किसी तरह का खेल बना रहा है। मैं इस तथ्य से प्रेरित था कि jinmo123 के ट्वीट से फ़ॉरेस्ट कोष्ठक के बिना फ़ंक्शन को कॉल करने के लिए दिलचस्प नई ES6 सुविधाओं का उपयोग करता है। जो सवाल मैं फजीहत के लिए आया था वह यह था: "या इनोफ़ ऑपरेटर के बाद कौन से वर्णों की अनुमति है?" फिर हम हैकवर्टर में फिर से कोड बनाते हैं, यह एक समान पैटर्न का अनुसरण करता है, लेकिन इस बार डोम का उपयोग नहीं करता है। सबसे पहले, एक सरणी बनाएं और लूप के लिए:

 log = []; for(i=0;i<=0x10ffff;i++){ 

तब हम अपने मूल्यों को बदलने के लिए आंतरिक HTML के बजाय eval का उपयोग करेंगे। पहले हमें अमान्य वर्णों के कारण होने वाले अपवादों का पता लगाने के लिए एक ट्रायल कैच ब्लॉक का उपयोग करना होगा।

 try{ eval("/a/"+String.fromCodePoint(i)+"instanceof function(){}"); 

यह देखने के लिए कि हमारी जावास्क्रिप्ट वैध है, इस eval फ़ंक्शन का उपयोग किया जाता है। यदि ऐसा है, तो यह अगली पंक्ति पर जाएगा, यदि नहीं, तो यह एक अपवाद फेंक देगा जिसे ध्यान दिया जाएगा, और फिर अगले चरित्र पर जाएं। अगली पंक्ति बस चरित्र को पंजीकृत करती है, और फिर कोशिश करें को पकड़ ब्लॉक और लूप के लिए बंद कर देता है। फ़ंक्शन तब इनपुट फ़ील्ड में परिणाम प्रदर्शित करता है।

 log.push(i); }catch(e){} } input.value=log 

यदि आप "Execute JS" का उपयोग करके इस कोड को चलाते हैं, तो आपको परिणामों का एक गुच्छा मिलेगा! फ़ायरफ़ॉक्स कई पात्रों की उपेक्षा करता है। यदि आप Chrome पर कोड आज़माते हैं, तो आपको अधिक उचित परिणाम मिलेंगे। उस इनपुट फ़ील्ड में वर्ण कोड ढूंढें जिसे आप उपयोग करना चाहते हैं, मेरे मामले में यह "1114110" या हेक्स में "0x10fffe" था। अब हम अपना जावास्क्रिप्ट वेक्टर बनाएंगे:

 eval("1337"+String.fromCodePoint(1114110)+"in"+String.fromCodePoint(1114110)+"alert(1337)"); 

आप एक SVG स्क्रिप्ट के अंदर भी इसकी कल्पना कर सकते हैं:



2019 इंटेल स्केलेबल प्रोसेसर के साथ समर्पित सर्वरों के नवीनतम दोहरे प्रोसेसर कॉन्फ़िगरेशन DEDIC.SH पर उपलब्ध हैं:

• 2x Xeon Silver 4214 - कुल 24 कोर
• 2x Xeon Gold 5218 - कुल 32 कोर
• 2x Xeon Gold 6240 - 36 कोर के साथ कॉन्फ़िगरेशन।

152 X rubles / महीने से - दो Xeon Silver 4214 वाले सर्वर की लागत
हम आपके लिए कोई भी कॉन्फ़िगरेशन एकत्र करने के लिए तैयार हैं - हमें लिखें !

यदि एक समर्पित सर्वर की बड़ी शक्तियों की आवश्यकता नहीं है - 150 रूबल / माह से वीडीएस की आवश्यकता है!