字符集导致的浏览器跨站脚本攻击

　　前言：这种利用类型的攻击早在06年就被安全研究人员指出，不过一直没有在国内重视。而由于我们国内大部分站点正是这种有漏洞的字符集，所以影响还是比较大，希望各大站快速修复。可以看看http://applesoup.googlepages.com/。

　　文中<已经被替换为〈,如果需要文档,请访问http://www.80sec.com/release/charset-xss.txt

　　在一般的web程序里，显示数据给浏览器的时候都会指定一个字符集，在国内平时我们用到的字符集有utf-8，GBK，gb2312等等，字符集指示了浏览器该如何对待返回的数据。其中gb2312和GBK字符集使用得非常广泛，但是经证明，IE在处理这些宽字符集的时候存在问题，导致可能程序的一些安全规则被Bypass掉，引发严重的跨站脚本安全漏洞。在IE里，如果它遇到一个字符，它是指定字符集里的第一位的时候，就会认为其后续字符和当前字符构成一个合法的字符，这样它在解析包括html标签，处理javascript，Css时都会做如此考虑，测试版本为ie6和ie7。

　　1 Bypass某些js的检查规则

〈HTML> 〈HEAD> 〈TITLE>80sec test〈/TITLE> 〈meta http-equiv="Content-Type" content="text/html; charset=gb2312" /> 〈/HEAD> 〈BODY> 〈script> window.onerror=function(){ alert('Vul'); return true; } 〈/script> 〈script>x='〈?php echo chr(0xC1);?>';y='[User_IN_PUT]‘;〈/script> 〈/BODY> 〈/HTML>

　　这里即使是过滤了〈>’\等字符一样可以利用非法字符集序列来实现\的作用，因为它会把原来存在的’给结合掉，然后前面的’找不到闭合，后面[User_IN_PUT]就可以用来执行js代码了。

　　2 Bypass某些属性的检查规则

　　为了避免直接使用html导致出现漏洞，一些论坛和程序使用了UBB标签，但是在gbk等多字节编码下，一样容易出现问题，以最容易出现问题的一个UBB标签为例子：

color=xyz〈?php echo chr(0xC1);?>][/color][color=abc onmouseover=alert(/xss/) s=〈?php echo chr(0xC1);?>]exploited[/color]