使用油猴脚本Hook前端危险生成函数 - 技术文档

1. 背景与问题描述

在Web安全研究中，当发现XSS漏洞时，通常需要定位导致漏洞的生成函数。常规流程是：

1. 找到触发XSS的DOM节点
2. 通过节点特征(类名、属性等)全局搜索生成这些特征的函数

但有时会遇到特殊情况：

• 页面中没有明显的onerror=alert(1)等特征节点
• 可能是通过临时函数或类似eval的动态方式生成的XSS

2. Hook技术原理

2.1 基本Hook方法

JavaScript中可以通过重写原生函数来实现Hook：

let myalert = window.alert; // 保存原始alert函数
window.alert = function(fx) {
    myalert(fx); // 调用原始alert
    // 可以在此处添加调试逻辑
}

这种方法的优势：

• 将native函数转换为可调试的JavaScript函数
• 可以在调用时插入调试逻辑
• 能够追踪调用栈

2.2 Hook的应用场景

1. 定位XSS生成函数
2. 分析动态代码执行路径
3. 调试难以追踪的安全漏洞

3. 油猴脚本实现

3.1 油猴脚本简介

油猴(Tampermonkey)是一个浏览器插件，允许用户自定义JavaScript脚本在特定页面运行。

3.2 关键指令 - @run-at

油猴脚本的执行时机由@run-at指令控制：

3.3 实现早期Hook

要实现比页面代码更早的Hook，必须使用：

// ==UserScript==
// @name         Early Hook Example
// @namespace    http://tampermonkey.net/
// @version      0.1
// @description  Hook example with early injection
// @author       You
// @match        *://*/*
// @run-at       document-start
// ==/UserScript==

(function() {
    'use strict';
    
    // Hook代码放在这里
})();

4. 完整Hook实现示例

4.1 对alert的Hook实现

// ==UserScript==
// @name         XSS Generator Hook
// @namespace    http://tampermonkey.net/
// @version      0.1
// @description  Hook alert to trace XSS generators
// @author       You
// @match        *://*/*
// @run-at       document-start
// @grant        none
// ==/UserScript==

(function() {
    'use strict';
    
    // 保存原始alert函数
    const originalAlert = window.alert;
    
    // 重写alert函数
    window.alert = function(message) {
        console.log('Alert triggered with message:', message);
        console.trace(); // 打印调用栈
        
        // 调用原始alert
        return originalAlert.apply(this, arguments);
    };
})();

4.2 对console的Hook实现(用于脱敏示例)

// ==UserScript==
// @name         Console Hook Example
// @namespace    http://tampermonkey.net/
// @version      0.1
// @description  Hook console.log for demonstration
// @author       You
// @match        *://*/*
// @run-at       document-start
// @grant        none
// ==/UserScript==

(function() {
    'use strict';
    
    const originalConsoleLog = console.log;
    
    console.log = function() {
        console.log('Console.log was called with:', arguments);
        console.trace();
        
        return originalConsoleLog.apply(console, arguments);
    };
})();

5. 调试技巧

1. 调试油猴脚本：

   • 在浏览器开发者工具中，转到"Sources"标签
   • 找到"Tampermonkey"部分
   • 选择正在运行的油猴脚本进行调试

2. 分析调用栈：

   • 在Hook函数中使用console.trace()
   • 通过调用栈追踪到原始调用位置
   • 可以设置断点进行逐步调试

3. 刷新页面：

   • 确保Hook脚本已正确注入后刷新页面
   • 观察控制台输出和调用栈

6. 实际应用场景

1. 定位XSS生成函数：

   • 当XSS触发alert但无显式事件处理器时
   • 通过Hook alert找到调用源头

2. 分析动态代码执行：

   • 追踪eval、setTimeout、setInterval等动态代码执行
   • 分析Function构造函数调用

3. 逆向工程：

   • 理解复杂前端框架的执行流程
   • 分析混淆代码的实际行为

7. 注意事项

1. 脚本执行顺序：

   • 确保使用@run-at document-start以获得最早执行时机
   • 注意与其他脚本的潜在冲突

2. 性能影响：

   • 频繁的Hook调用可能影响页面性能
   • 生产环境慎用

3. 浏览器兼容性：

   • 不同浏览器对native函数Hook的支持可能不同
   • 测试主要目标浏览器

4. 道德与法律：

   • 仅用于授权测试
   • 遵守相关法律法规

8. 扩展应用

1. Hook其他关键函数：

   // Hook eval
   const originalEval = window.eval;
   window.eval = function(code) {
       console.log('Eval called with:', code);
       return originalEval.apply(this, arguments);
   };
   
   // Hook document.write
   const originalWrite = document.write;
   document.write = function(html) {
       console.log('document.write called with:', html);
       return originalWrite.apply(document, arguments);
   };
   

2. 条件Hook：

   • 只在特定条件下触发Hook逻辑
   • 减少不必要的性能开销

3. 多函数联合Hook：

   • 同时Hook多个相关函数
   • 分析它们之间的调用关系

通过这种技术，安全研究人员可以有效地追踪和分析前端代码中的潜在安全风险，特别是那些难以通过静态分析发现的动态生成漏洞。