搜索

[903] 2019-04-17_安全编码实践之一：注入攻击防御

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2019-04-17_安全编码实践之一：注入攻击防御 安 全 编 码 实 践 之 一 ： 注 入 攻 击 防 御 原 创   B y p a s s   B y p a s s   2 0 1 9 - 0 4 - 1 7 如 何 编 写 安 全 代 码 ？ 保 护 自 己 免 受 注 入 攻 击 ！ 我 已 经 在 这 个 问 题 上 工 作 了 好 几 个 月 ， 试 图 理 解 是 什 么 让 代 码 变 得 脆 弱 ， 现 在 ， 我 收 到 了 这 个 简 单 的 答 案   -   糟 糕 的 编 程 习 惯 。 现 在 这 看 起 来 很 明 显 ， 但 编 程 社 区 的 很 大 一 部 分 仍 然 对 这 个 事 实 一 无 所 知 。 了 解 问 题 ！ 了 解 问 题 ！ 我 的 意 思 是 渗 透 测 试 ， 并 有 专 门 的 团 队 来 负 责 构 建 的 应 用 程 序 的 安 全 性 是 惊 人 的 ， 总 是 值 得 称 赞 ， 但 它 不 是 每 个 人 都 能 负 担 得 起 的 。 大 公 司 可 以 吹 嘘 他 们 的 安 全 实 践 ， 他 们 如 何 让 团 队 全 天 候 工 作 以 保 证 客 户 数 据 的 安 全 ， 但 那 些 没 有 资 源 的 人 则 如 此 。 我 们 在 银 行 ， 航 空 ， 网 上 购 物 等 最 重 要 的 应 用 程 序 中 出 现 这 些 易 受 攻 击 的 代 码 的 最 大 原 因 之 一 是 程 序 员 。 最 后 一 行 肯 定 会 让 很 多 人 受 到 冒 犯 ， 让 我 说 我 不 是 故 意 要 抨 击 某 个 社 区 。 我 不 会 这 样 做 因 为 它 不 是 他 们 的 错 ， 在 当 前 编 程 时 代 ， 代 码 执 行 时 间 需 要 尽 可 能 低 ， 完 全 可 以 理 解 他 们 跳 过 这 些 部 分 来 增 强 他 们 的 代 码 。 所 以 ， 我 开 始 做 笔 记 ， 可 以 帮 助 程 序 员 编 写 安 全 的 代 码 。 我 将 尝 试 涵 盖 不 同 类 型 的 攻 击 以 及 程 序 员 为 保 持 代 码 安 全 而 进 行 的 小 调 整 ， 以 便 他 们 的 组 织 不 需 要 再 次 花 钱 来 保 证 应 用 程 序 的 安 全 。 我 想 我 今 天 已 经 足 够 了 ， 所 以 让 我 们 直 截 了 当 。 我 们 来 挖 掘 吧 ！ 我 们 来 挖 掘 吧 ！ 让 我 开 始 我 的 定 义 注 入 及 其 发 生 的 原 因 。 攻 击 者 输 入 恶 意 有 效 载 荷 ， 可 以 欺 骗 解 释 器 执 行 非 预 期 的 命 令 或 访 问 未 经 授 权 的 数 据 。 注 入 缺 陷 的 发 生 是 由 于 不 受 信 任 的 数 据 作 为 命 令 或 查 询 的 一 部 分 直 接 发 送 到 解 释 器 而 没 有 检 查 或 清 理 有 效 负 载 导 致 所 有 问 题 的 唯 一 原 因 。 在 本 文 中 ， 我 将 介 绍 三 种 不 同 类 型 的 注 入 攻 击 和 方 法 ， 您 可 以 使 用 它 们 来 防 止 它 们 ：   1 .   S Q L 注 入 注 入 这 种 类 型 的 攻 击 主 要 发 生 在 攻 击 者 在 语 句 末 尾 添 加 一 个 单 引 号 （ ' ） 时 ， 将 O R 添 加 到 语 句 后 面 的 真 值 总 数 。 简 单 来 说 ， S Q L 有 效 负 载 看 起 来 像 这 样 添 加 到 查 询 中 的 上 述 语 句 可 以 帮 助 攻 击 者 获 得 对 完 整 数 据 库 的 访 问 权 限 。 为 了 让 您 更 好 地 理 解 下 面 的 查 询 ， 它 将 为 攻 击 者 提 供 整 个 数 据 库 。 看 看 下 面 的 代 码 ， 并 试 着 弄 清 楚 它 是 否 容 易 受 到 S Q L 注 入 攻 击 。 如 果 您 认 为 上 述 代 码 是 安 全 的 ， 那 么 您 一 定 要 继 续 阅 读 本 文 。 ' 或 1   =   1     - S E L E C T   *   F R O M   U s e r s   W H E R E   U s e r N a m e   = ' A d i t y a ' O R   1   =   1 - -
代 码 不 安 全 的 原 因 是 因 为 攻 击 者 输 入 的 值 直 接 作 为 参 数 传 递 。 只 要 输 入 了 预 期 值 ， 但 用 户 的 输 入 可 能 包 含 ％ 1   $   t m ， ％ 1   $   t e 和 ％ 1   $   t Y 格 式 说 明 符 ， 情 况 就 很 好 。 如 果 攻 击 者 为 a r g s   [ 0 ] 传 入 值 ％ 1   $   t m ， 则 结 果 将 如 下 。 您 可 以 看 到 该 程 序 本 身 将 在 信 用 卡 到 期 日 的 当 月 出 炉 。 为 了 避 免 这 种 攻 击 ， 下 面 的 代 码 可 能 非 常 有 用 。 这 两 个 代 码 之 间 的 唯 一 区 别 是 ， 在 第 一 个 代 码 中 ， 攻 击 者 输 入 的 值 直 接 传 递 给 程 序 ， 而 在 第 二 个 代 码 中 ， 我 们 不 是 传 递 值 ， 而 是 直 接 将 其 打 印 出 来 ， 使 得 整 个 攻 击 无 用 。 防 止 S Q L 注 入 攻 击 应 该 涉 及 输 入 验 证 。 我 们 必 须 检 查 用 户 输 入 的 值 ， 并 且 我 们 必 须 始 终 假 设 这 些 值 不 受 信 任 ， 即 它 们 可 能 会 损 害 应 用 程 序 。 我 们 必 须 使 用 带 有 绑 定 变 量 的 参 数 化 查 询 ， 并 对 用 户 输 入 的 值 执 行 清 理 。 参 数 化 和 防 御 代 码 在 上 面 的 图 像 中 ， 我 们 可 以 看 到 传 递 的 值 如 何 在 被 代 码 使 用 之 前 首 先 被 清 理 。 2 . 命 令 注 入 命 令 注 入 这 是 最 危 险 的 注 入 攻 击 类 型 之 一 ， 在 当 今 的 情 景 中 仍 然 很 普 遍 ， 并 没 有 得 到 太 多 关 注 。 此 攻 击 利 用 漏 洞 ， 攻 击 者 可 以 进 入 并 执 行 应 用 程 序 不 期 望 的 命 令 。 让 我 与 您 分 享 一 个 示 例 ， 以 显 示 命 令 注 入 攻 击 的 基 本 实 现 。 在 上 面 的 图 像 中 ， 我 们 观 察 到 有 一 个 文 本 框 ， 我 们 需 要 输 入 主 机 名 /   I P ， 然 后 将 获 取 有 关 I P 地 址 的 详 细 信 息 ， 然 后 呈 现 给 我 们 。 整 个 应 用 程 序 似 乎 非 常 简 单 ， 但 它 很 容 易 受 到 代 码 注 入 的 影 响 。 要 理 解 我 们 首 先 需 要 弄 清 楚 应 用 程 序 是 如 何 工 作 的 ， 然 后 我 们 可 以 试 着 找 出 然 后 我 们 就 能 理 解 代 码 注 入 是 如 何 工 作 的 。 0 5 不 匹 配 ！ 提 示 ： 它 是 在 某 个 月 的 2 3 日 发 布 的 。 / /   0 5 是 用 户 验 证 自 己 需 要 知 道 的 月 份 。
当 我 们 输 入 主 机 名 /   I P 时 ， 应 用 程 序 实 际 上 会 调 用 终 端 ， 然 后 从 那 里 向 我 们 显 示 输 出 。 那 些 与 终 端 合 作 的 人 他 们 知 道 我 们 可 以 在 终 端 中 使 用 & & 同 时 传 递 两 个 不 同 的 命 令 。 因 此 ， 上 图 显 示 了 代 码 注 入 的 确 切 方 式 。 为 了 避 免 这 种 攻 击 ， 应 用 程 序 需 要 执 行 路 径 验 证 （ 规 范 化 然 后 进 行 绝 对 路 径 检 查 ） ， 应 用 程 序 还 需 要 执 行 输 入 验 证 以 及 枚 举 它 允 许 用 户 输 入 和 执 行 的 命 令 。 3 .   J S O N 注 入 注 入 这 是 一 次 重 要 的 注 入 攻 击 ， 而 且 近 年 来 在 应 用 程 序 中 经 常 使 用 A P I 的 情 况 越 来 越 多 。 当 我 们 在 A P I 发 出 请 求 和 响 应 查 询 时 将 有 效 负 载 注 入 到 传 递 的 J S O N 查 询 中 时 ， J S O N 注 入 工 作 。 这 个 例 子 很 容 易 理 解 ， 这 个 应 用 程 序 有 一 个 下 拉 菜 单 ， 您 需 要 从 中 选 择 一 个 P e n T e s t 工 具 选 项 ， 应 用 程 序 将 向 您 显 示 您 选 择 的 P e n T e s t 工 具 的 详 细 信 息 。 因 此 ， 让 我 们 尝 试 了 解 此 应 用 程 序 的 工 作 原 理 。 让 我 们 打 开 b u r p - s u i t e 并 拦 截 应 用 程 序 发 出 的 请 求 。 枚 举 { d i r ， c d ， c l s }
因 此 ， 在 上 面 的 图 像 中 ， 我 们 可 以 看 到 T o o l I d 正 在 请 求 查 询 中 发 送 ， 我 们 将 有 效 负 载 添 加 到 T o o l I d ， 以 检 查 它 是 否 在 响 应 查 询 中 反 映 给 我 们 。 我 们 确 实 收 到 了 我 们 在 请 求 查 询 中 注 入 的 有 效 负 载 ， 因 此 我 们 可 以 确 保 我 们 的 注 入 攻 击 将 通 过 。 让 我 们 执 行 攻 击 有 效 载 荷 并 确 认 攻 击 是 否 有 效 。 看 到 我 们 之 前 收 到 的 回 复 ， 让 我 们 传 递 此 值 以 获 取 c o o k i e 值 。 在 传 入 参 数 中 的 值 之 前 ， 我 们 对 其 进 行 u r l - e n c o d e 以 避 免 可 能 已 经 放 置 的 任 何 特 殊 字 符 限 制 。 “ } } ） ; 警 报 （ d o c u m e n t . c o o k i e 中 ） ;   / /
我 们 可 以 清 楚 地 看 到 c o o k i e 值 已 经 在 警 报 框 中 返 回 给 我 们 ， 它 确 认 攻 击 已 经 通 过 。 我 们 需 要 检 查 攻 击 在 浏 览 器 中 的 实 际 情 况 ， 并 根 据 需 要 显 示 c o o k i e 详 细 信 息 。 防 止 J S O N 注 入 攻 击 的 最 有 效 方 法 是 在 J a v a S c r i p t 上 执 行 编 码 技 术 。 O W A S P 还 提 供 了 一 种 J S O N 杀 菌 剂 ， 可 用 于 字 符 串 验 证 。 安 全 防 御 安 全 防 御 我 们 可 以 做 的 最 重 要 的 事 情 是 防 止 注 入 攻 击 发 生 ， 就 是 相 信 来 自 用 户 端 的 任 何 和 所 有 输 入 都 可 能 是 攻 击 。 程 序 员 大 多 理 所 当 然 地 认 为 ， 用 户 输 入 的 内 容 不 会 对 导 致 应 用 程 序 中 大 部 分 漏 洞 的 应 用 程 序 造 成 伤 害 。 必 须 对 使 用 方 的 每 个 输 入 进 行 检 验 ， 并 且 必 须 在 应 用 程 序 使 用 之 前 验 证 输 入 。 用 户 输 入 的 值 绝 不 能 直 接 传 递 给 程 序 。 如 果 程 序 员 记 住 这 些 事 情 ， 他 们 肯 定 可 以 防 御 大 多 数 的 注 入 攻 击 。 声 明 ： 本 文 由 B y p a s s 整 理 并 翻 译 ， 仅 用 于 安 全 研 究 和 学 习 之 用 。   文 章 来 源 ： h t t p s : / / m e d i u m . c o m / b u g b o u n t y w r i t e u p / h o w - t o - w r i t e - s e c u r e - c o d e - a g a i n s t - i n j e c t i o n - a t t a c k s - a a d 4 f f f 0 5 8 d a S t r i n g   s o m e V a l i d a t i o n   =   J s o n S a n i t i z e r . s a n i t i z e （ m y J s o n S t r i n g ） ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理