“ HTML”被视为每个Web应用程序的框架，因为它定义了托管内容的结构和完整状态。那么，您是否想过，是否用一些简单的脚本破坏了这种解剖结构?还是这种结构本身成为Web应用程序损坏的原因?今天，在本文中，我们将学习如何配置错误的HTML代码，从用户那里获取敏感数据。
什么是HTML?
HTML称为超文本标记语言，是一种标识性的语言。它包括一系列标签.通过这些标签可以将网络上的文档格式统一，使分散的Internet资源连接为一个逻辑整体。HTML文本是由HTML命令组成的描述性文本，HTML命令可以说明文字，图形、动画、声音、表格、链接等。HTML用于设计包含“超文本”的网站，以便将“文本包含在文本中”作为超链接，并包含包裹数据项以在浏览器中显示的元素组合。
那么这些元素是什么?
“元素是HTML页面的所有内容，即，它包含开始和结束标记以及介于两者之间的文本内容。”
1. HTML标签
HTML标签标记了内容片段，例如“标题”，“段落”，“表单”等。标记符中的标记元素用尖括号括起来，带斜杠的元素表示该标记说明结束;大多数标记符必须成对使用，以表示作用的起始和结束。浏览器不会显示这些HTML标记，而是利用它们来捕获网页的内容。
2. HTML属性
超文本标记语言定义了多种数据类型的元素内容，如脚本数据和样式表的数据，和众多类型的属性值，包括ID、名称、URI、数字、长度单位、语言、媒体描述符、颜色、字符编码、日期和时间等。所有这些数据类型都是专业的字符数据。
在这里，“ href”是“属性名称”，“ http：// hackingarticles”是“属性值”。
现在我们已经了解了基本的HTML术语，让我们查看“ HTML元素流程图”，然后将进一步尝试将它们全部实现以创建一个简单的网页。
3. 基本HTML页面：
互联网上的每个网页都是HTML文件。这些文件只不过是扩展名为“.html”的简单纯文本文件，通过web浏览器保存和执行。
因此，让我们尝试在记事本中创建一个简单的网页并将其另存为hack.html：
让我们在浏览器中执行这个“ hack.html”文件，看看会发生什么。
我们已经成功设计了我们的第一个网页。但是这些标签如何为我们工作，让我们看看它们：
- 标记符< html>：说明该文件是用超文本标记语言来描述的，它是文件的开头，而则表示该文件的结尾，它们是超文本标记语言文件的开始标记和结尾标记。
- ;，网页中显示的实际内容均包含在这2个正文标记符之间。正文标记符又称为实体标记。
- 标签是空标签，可插入一个简单的换行符。
- 标签用于设置网页中的标题文字,被设置的文字将以黑体或粗体的方式显示在网页中。
- 是段落的开始标志,
- 是段落的结束标志
- 标签定义一个锚(anchor)。这有助于我们建立“超链接”。锚有两种用法创建一个指向其他文档的链接(通过href属性);创建一个文档内部的书签(通过name属性)
我想你现在已经清楚了“什么是HTML及其主要用途”和“我们如何实现这一切”。因此，让我们尝试找出主要漏洞，并了解***者如何将任意HTML代码注入易受***的网页，以修改托管内容。
HTML注入简介
HTML注入是最简单和最常见的漏洞之一，当网页无法清理用户提供的输入或验证输出时，这样，***者就可以伪造自己的有效负载，并通过易受***的字段将恶意HTML代码注入应用程序，从而修改网页内容，甚至获取一些敏感数据。
让我们来看看这个场景，并了解这种HTML注入***是如何执行的：
假设有一个web应用程序，该应用程序存在HTML注入漏洞，并且它没有验证任何特定的输入。因此，***者利用这一点，将恶意的“HTML登录表单”注入“免费电影票”的骗局中，从而诱使受害者提交其敏感的凭证。
当受害者浏览该特定网页时，找到了这些“免费电影票”的选项，当他单击它时，他会看到该应用程序的登录屏幕，但这些只是***者精心制作的“ HTML表单”。因此，一旦他输入了他的凭证，***者就会捕获所有凭证，从而导致受害者泄露他的数据。
HTML注入的影响
当网页中的输入字段未正确清理时，因此有时此HTML注入漏洞可能会导致我们进行跨站点脚本(XSS)或服务器端请求伪造(***F)***。因此，该漏洞的严重性级别为“中等”，CVSS评分为5.3分，具体如下：
- CWE-80：网页中与脚本相关的HTML标记的不正确中和。
- CWE-79：网页生成期间输入的不正确中和。
HTML注入、XSS
在这种***过程中，我们有机会免除执行HTML注入***，而我们却遇到了XSS***，因为HTML注入几乎类似于跨站点脚本。但是如果我们仔细观察这两者之间的关系，我们会发现在XSS***期间，***者有机会注入并执行Javascript代码，而在HTML注入中，***者一定会使用某些HTML标记来破坏网页。
现在，让我们深入研究不同的HTML注入***，并查看异常方式如何破坏网页并捕获受害者的凭据。
Stored HTML
通过这个漏洞，注入的恶意脚本被永久性地存储在web应用服务器中，当用户访问被注入的网页时，应用服务器会进一步将其回传给用户。但是，当客户机单击作为网站的正式部分出现的有效负载时，注入的HTML代码将由浏览器执行。
Stored HTML的最常见示例是博客中的“评论选项”，它允许任何用户以管理员或其他用户的评论形式输入其反馈。
现在，让我们尝试利用此存储的HTML漏洞并获取一些凭据。
利用Stored HTML
我在我的浏览器中打开了目标IP，并以bee:bug的身份登录到BWAPP中，此外，我还将“Choose Your bug”选项设置为“HTML注入-存储(Blog)”，并启动了hack按钮。
现在，我们将被重定向到web页面，该页面存在HTML注入漏洞，该漏洞允许用户在blog中提交其条目，如屏幕截图所示。
首先，我们将通过“bee”生成一个普通的用户条目作为“Hacking Articles”，以确认输入数据已成功地存储在web服务器的数据库中，从而在“entry field”中可见。
现在，让我们尝试注入我们的恶意负载，它将在这个目标网页上创建一个假用户登录表单，从而将捕获的请求转发到我们的IP。
在给定的文本区域内输入以下HTML代码，以便设置HTML***。
从下面的图片你可以看到，当我点击“提交”按钮，一个新的登录表单已经显示在网页上。因此，这个登录表单现在被放入应用程序的web服务器中，每当受害者访问这个恶意登录页面时，它都会呈现这个表单，在他看来，这个表单是很官方的。
现在让我们在4444端口启用netcat侦听器，以便捕获受害者的请求。
这需要耐心等待，直到受害者启动这个页面进入他的浏览器，并输入了他的凭证。
从上面的图像中，您可以看到用户“ Raj”打开了网页，并尝试以raj：123的身份登录内部。
因此，让我们回到侦听器并检查是否在响应中捕获了凭据。
从下图可以看到，我们已经成功获取了凭据。
Reflected HTML
当web应用程序对用户的输入立即做出响应而不验证用户输入的内容时，就会出现反射的HTML(也称为“非持久性”)，这可能导致***者在单个HTML响应中注入浏览器可执行代码。由于恶意脚本不会存储在web服务器中，因此***者需要通过网络钓鱼发送恶意链接来诱捕用户。
此漏洞很容易在网站的搜索引擎中找到：在这里，***者在搜索文本框中编写一些任意的HTML代码，如果网站有漏洞，结果页面将返回作为对这些HTML实体的响应。
反映HTML基本上分为三种类型：
- Reflected HTML GET
- Reflected HTML POST
- Reflected HTML Current URL
在利用Reflected HTML之前，让我们回想一下——使用GET方法，我们从特定的源请求数据，而POST方法用于将数据发送到服务器以创建/更新资源。
Reflected HTML GET
在这里，我们创建了一个网页，这样用户就可以用他的“名字”提交“反馈”。
因此，当用户“Raj Chandel”以“Good”提交他的反馈时，会有一条消息提示说“感谢Raj Chandel，感谢您宝贵的时间。”
因此，这个即时响应和URL中的“name/value”对显示，这个页面可能容易受到HTML注入的***，并且数据是通过GET方法请求的。
因此，现在让我们尝试向此“表单”中注入一些HTML代码，以便对其进行确认。在“名称”字段中键入以下脚本，如下所示：
并将“反馈”设置为“良好”
从下面的图片中可以看到用户的名字“Raj Chandel”已经被修改为响应消息中的标题。
想知道为什么会这样，让我们看看下面的代码片段。
为了便于在屏幕上反映消息，开发人员没有设置任何输入验证，也就是说，他只是通过“$\u GET”变量包含输入名称来“回显”“感谢消息”。
“有时开发人员会在输入字段中设置一些验证，从而将我们的HTML代码重新引用到屏幕上，而不会呈现。”
从下图中可以看到，当我试图在name字段中执行HTML代码时，它将其作为纯文本放回原处，如下所示：
那么漏洞是不是已经修补好了?
让我们用我们的助手“burpsuite”捕获它发出的请求来检查这一切，并将捕获的请求直接发送到“Repeater”选项卡。
在“Repeater”选项卡中，当我单击“Go”按钮检查生成的响应时，我发现我的HTML实体在这里被HTML解码为：
因此，我处理了完整的HTML代码“< a href=http://hackingarticles.in“ > < h2 > Raj < /h2 >< /a >”并将其全部粘贴到解码器选项卡中。在右边的托盘上，我点击了“编码为”并选择了URL一。
获得编码输出后，我们将再次在URL的“编码为”中对其进行设置，以使其获得双URL编码格式。
现在让我们尝试一下，复制完整的双重编码的URL，然后将其粘贴到Request选项的Repeater选项卡中的“ name =”字段中。
单击“执行”按钮以检查其生成的响应。
从下图可以看到，我们已经成功地操纵了响应。
现在，只需在“ 代理”选项卡中进行类似的修改，然后单击“转发”按钮即可。从下图可以看到，我们也通过其验证字段破坏了此网页。
让我们检查一下代码片段，看看开发人员在哪里进行了输入验证：
从下面的图片可以看到，这里的开发人员为变量数据做了一个“hack”函数，甚至他将“
从下面的图片中，您可以看到开发人员在name字段实现了函数hack。
Reflected HTML POST
与“GET webpage”类似，“Name”和“Feedback”字段也存在漏洞，因为POST方法已经实现，因此表单数据不会显示在URL中。
让我们再次尝试破坏此网页，但这次我们将添加一个图像而不是静态文本
从下图中，您可以看到“Ignite technologies徽标”已被放置在屏幕上方，因此***者甚至可以在此处插入视频、音频或GIF等其他媒体格式。
Reflected HTML Current URL
如果网页上没有输入字段，web应用程序是否会容易受到HTML注入的***?
是的，不需要像评论框或搜索框这样的输入文件，有些应用程序会在其网页上显示您的URL，它们可能会受到HTML注入的***，因为在这种情况下，URL充当它的输入字段。
从上面的图像中，您可以看到当前URL在网页上显示为“ http://192.168.0.16/hack/html_URL.php ”。因此，让我们抓住机会，看看我们可以得到什么。
调整您的“burpsuite”并捕获正在进行的HTTP请求
现在让我们使用以下命令处理此请求：
单击前进按钮以在浏览器上检查结果。
从下面的图片中，您可以看到我们已经成功地破坏了网站，只需将我们所需的HTML代码注入到web应用程序的URL中。
让我们看一下它的代码，看看开发人员如何在屏幕上获取当前URL。
在这里，开发人员使用PHP全局变量作为$ _SERVER来捕获当前页面URL。此外，他用“ HTTP_HOST”修改了主机名，并用“ REQUEST_URI”修改了URL的请求资源位置，并将其全部放在$ url变量中。
在HTML部分，他只需使用$url变量设置echo，而不需要任何特定的验证，以便用url显示消息。
缓解措施
- 开发人员应该设置他的HTML脚本，从用户输入中过滤元字符
- 开发人员应该实现一些功能来验证用户输入，使其不包含任何可能导致虚拟损坏的特定标记。
【责任编辑：赵宁宁 TEL：（010）68476606】
来源：oschina
链接：https://my.oschina.net/u/4302800/blog/4497489