通过iFrame代理解决方案访问网站的XSS浏览器JS执行

Question

我对通过iframe代理解决方案访问的网站上的XSS有疑问...绕过公司代理并在浏览器的受害者中执行代码。

这是在安全测试过程中。

• 我在公司的LAN上，该公司使用公司代理（显然），[在下面命名为Corporate.proxy]

• 为了说明安全网络钓鱼活动和XSS，我需要找到一种方法来说明缺乏来自代理部分的安全过滤（我知道需要在服务器端纠正漏洞，但是作为一家公司，您并不总是选择用户所使用的网站）走.. ：）

• 我放置了一个php代理，以在Internet上我的服务器上的iFrame中进行导航，[在下面名为my.outsideserver.com]（有点像miniproxy ）。 我的迷你代理的网址正在测试中：h ** p：//my.outsideserver.com/miniproxy.php

• 如果此次访问的是传统上被阻止的网页（youpr0n），请从内部访问此URL：h ** p：//my.outsideserver.com/miniproxy.php？url = youpr0n.com ==>我访问该网站...

现在我的问题是：如果一个网站容易受到XSS的攻击[在下面命名为xss.vulnwebsite.com]：h ** p：//xss.vulnwebsite.com？q =注意：想象一下网站是youpr0n。

我可以创建这样的链接：h * p：//my.outsideserver.com/miniproxy.php？url = h * p：//xss.vulnwebsite.com？q =

并将此链接发送给网络钓鱼营地中的公司受害者。 如果受害者单击链接，我会看到2个漏洞：

1）第一个是代理过滤绕过--->公司用户进入一个通常被阻止并且现在可以访问的网站。

2）实际网站（youpr0n）带有xss，并且利用此xss代码在受害者的浏览器中执行。 注意：我知道由于同源策略的原因，iFrame中加载的内容将无法读取（如果对xss不利）...但是。

这是我的问题，代码是在受害者的浏览器中执行的。SOP（相同来源策略）将保护攻击者读取任何用户的youpr0n上的内容（例如，其会话cookie）， 但不能保护它的浏览器！

如果我发送此链接：h * p：//my.outsideserver.com/miniproxy.php？url = h * p：//xss.vulnwebsite.com？q = alert（1），我成功地看到了弹出窗口，显示“ 1在我的浏览器中。 目前，唯一的浏览器保护是浏览器的XSS过滤机制（？）。 公司代理机制被绕过（正确的？/ 0）

• 您如何看待所有这些。 我确定（或不）不要怪我...
• 对企业代理有什么缓解措施（告诉用户不要单击“ ..”除外）...是否有动态安全内容过滤解决方案在起作用？

我的观点是说明风险 ，想象一下我通过向成千上万的企业用户发送邮件来发送网络钓鱼链接。 通过使用我们的免费代理机制，电子邮件主题为“从您的公司访问任何网站” ...您可以在工作中看到pr0n ！！！！

然后用户一定会单击链接（我会）：D

感谢您的回答：您是否同意可以在受害者的浏览器中执行代码。 您是否同意代理过滤绕过？ 什么是解决方案（对于公司...）

Answer 1

像Miniproxy这样的代理充当HTTP客户端，并在http://my.outsideserver.com/miniproxy.php上显示HTTP响应，SOP由浏览器强制执行。 浏览器在那里将http://my.outsideserver.com/miniproxy.php上显示的所有JavaScript视为源自该源，而不管miniproxy在何处获取内容。

简而言之，这不是滥用SOP。 公司防火墙很容易绕开，但这是众所周知的。

我建议您拿起一份“纠结的网站”，并阅读《 Google浏览器安全手册》 。