Странное поведение JavaScript в PhantomJS/WebKit

Я создаю приложение на Python, которое проверяет, уязвимо ли какое-либо веб-приложение для Escape/Bypass в AngularJS Sandbox.

Мое приложение запускает локальный веб-сервер (http://localhost), используя следующий контент.

Полезная нагрузка Sandbox Escape, которую я использую, это {{c=toString.constructor;p=c.prototype;p.toString=p.call;["a","open(1)"].sort(c)}}, которая должна открывать новое окно из-за вызова open(1).

После запуска веб-сервера он использует Selenium (с драйвером PhantomJS в качестве драйвера), чтобы проверить, открылось ли новое окно из-за ошибки SandboxJS Sandbox.

PhantomJS не открывает новое окно. Когда я перейду к http://localhost с помощью Google Chrome, откроет новое окно.

Вот журнал консоли PhantomJS (содержащий две ошибки):

И это журнал консоли Google Chrome (выдает ошибку, но открывает новое окно):

Некоторые другие утилиты для работы с песочницами AngularJS Sandbox работают без проблем. Например, полезная нагрузка ниже (для AngularJS версии 1.0.0 до 1.1.5) открывает новое окно в Chrome, а также PhantomJS.

Я надеюсь, что кто-то сможет помочь мне исправить эту проблему, чтобы я смог определить, успешно ли загружена полезная нагрузка.

Обратите внимание, что я использую open(1) вместо alert(1), так как невозможно обнаружить предупреждения в PhantomJS.

Это JSFiddle, который работает в Google Chrome, но не работает в PhantomJS. Я ищу решение (возможно, изменение полезной нагрузки или настроек PhantomJS или что-то еще), так что полезная нагрузка также запускается в PhantomJS.

Я выяснил, что это не связано с AngularJS. JSFiddle ниже содержит 4 строки JavaScript, которые работают в Google Chrome, но не работают в PhantomJS. Я также добавил консольный журнал из PhantomJS.

Ответы

Ответ 1

Ваша ошибка Safari очень освещается (и я пинаю себя за то, что не читаю ее более внимательно). Обратите внимание:

Синтаксическая ошибка: Неожиданный токен '('. Ожидаемый ')' или ',' после объявления параметра .

Эта часть parameter declaration важна.

Что делает полезная нагрузка

Установите c в конструктор toString, Function (который создает функции)
Перенаправляет прототип Function toString метода call
Сортирует массив с помощью c, создавая новую функцию с помощью Function("a", "open(1)")
Я не уверен, почему, но результат этого sort преобразуется в строку через toString, который перенаправлен на call, что приводит к вызову новой функции, которая вызывает open(1)

Так оно и работает в Chrome. Однако .sort() не обязательно работает одинаково во всех браузерах. Он просто должен разбирать вещи... так почему это имеет значение, в каком порядке он смотрит на предметы? В конце концов, переданная функция должна гарантировать, что все выйдет в правильном порядке.

Как MDN говорит, синтаксис Function есть

Function ([arg1[, arg2[, ...argN]],] functionBody)

WebKit сортирует его "назад", поэтому вместо вызова Function("a", "open(1)") он делает вызов Function("open(1)", "a"). Когда заданы несколько аргументов, последний считается телом функции, а все остальные интерпретируются как аргументы. Вот почему вы получаете неожиданный токен. Скобки не являются действительной частью имени параметра.

Вот альтернатива:

c=toString.constructor;p=c.prototype;p.toString=p.call;["open(1)","a"].sort(c)

Я тестировал его в своем браузере на основе QtWebKit и работал. Конечно, это также вызовет SyntaxError в Chrome, потому что аргументы "назад"...

Ниже приведены несколько попыток заставить это работать без проблем в Angular как на PhantomJS, так и на Chrome. Опять же, они не работают. Я оставляю их здесь, если они вдохновляют кого-то создать более полное решение.

Работает на PhantomJS и Chrome, но не с Angular (из-за Function):

[1, 0].sort(function(a, b){n=a});d=(n)?["a","open(1)"]:["open(1)","a"];c=toString.constructor;p=c.prototype;p.toString=p.call;d.sort(c)

Работает с Angular в Chrome, но не с PhantomJS:

c=toString.constructor;p=c.prototype;p.toString=p.call;['b=1','d=1'].sort(c);((window.b===undefined)?["a","alert(1)"]:['alert(1)','a']).sort(c)

Ответ 2

Вы можете сделать это различными способами. Чтобы назвать несколько:

Вы можете создать (или удалить) элемент HTML и обнаружить его в Selenium.

Кроме того, вы можете сделать console.log и определить его следующим образом: Есть ли способ просматривать сообщения консоли console.log через Selenium/GhostDriver?

И другим способом может быть вызов функции PhantomJS, который будет напрямую уведомлять экземпляр phantom с любой полезной нагрузкой, которую вы хотите (так долго поскольку полезная нагрузка JSON.stringifable).

Никогда не использовался Selenium, поэтому не знаете, можете ли вы получить доступ к экземпляру PhantomJS/page. Если Selenium позволяет вам сделать это, вы можете сделать что-то вроде этого:

phantomjs.page.onCallback = function(data) {
    console.log('CALLBACK: ' + JSON.stringify(data));
};

И на вашей веб-странице:

{{c=toString.constructor;p=c.prototype;p.toString=p.call;["a","window.callPhantom && window.callPhantom('YAY!')"].sort(c)}}

Например, если вы можете запустить код JavaScript, который вы хотите, вы можете делать все, что можете себе представить.

Легкий способ сделать это - вещь в "обратном режиме".

Что может обнаружить Selenium на странице? Ответ: Подождите, пока появится элемент.
Как я могу внести эти изменения? Ответ: Создание элемента и прикрепление его к телу для обнаружения Selenium.