搜索

[22084] 2021-06-21_Web安全：JSON注入漏洞

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2021-06-21_Web安全：JSON注入漏洞 W e b 安 全 ： J S O N 注 入 漏 洞 L e m o n S e c   2 0 2 1 - 0 6 - 2 1 来 源 ： 微 信 公 众 号 ： 计 算 机 与 网 络 安 全 I D ： C o m p u t e r - n e t w o r k J S O N 是 一 种 轻 量 级 的 数 据 交 换 方 式 ， 也 是 一 种 基 于 文 本 的 数 据 交 换 方 式 。 J S O N 也 是 一 种 数 据 结 构 ， 类 似 于 t x t 、 E x c e l 及 X M L 等 文 本 。 无 论 是 前 端 语 言 中 的 J a v a S c r i p t 还 是 后 端 语 言 ， J S O N 都 可 以 作 为 一 个 对 象 来 读 写 。 如 此 一 来 ， 开 发 者 就 可 以 很 方 便 地 管 理 并 读 写 所 需 要 的 数 据 。 而 且 ， 前 端 语 言 与 后 端 语 言 的 数 据 读 写 行 为 彼 此 独 立 。 只 要 后 端 语 言 返 回 的 J S O N 格 式 不 变 ， 前 端 语 言 就 能 正 常 显 示 ； 只 要 前 端 语 言 传 输 的 J S O N 格 式 不 变 ， 后 端 语 言 处 理 逻 辑 也 不 会 变 。 J S O N 其 实 就 是 一 个 更 具 有 一 般 意 义 的 管 理 数 据 的 格 式 ， 只 要 这 个 格 式 不 变 ， 格 式 中 的 内 容 可 以 随 意 改 变 而 不 会 改 变 整 体 的 格 式 。 我 们 来 介 绍 下 J S O N 的 安 全 问 题 。 当 程 序 在 解 析 J S O N 数 据 的 时 候 ， 若 该 J S O N 数 据 没 有 做 安 全 过 滤 或 者 被 攻 击 者 植 入 了 恶 意 数 据 ， 那 么 这 些 恶 意 数 据 很 可 能 在 程 序 中 会 被 当 作 代 码 来 执 行 ， 这 样 就 造 成 了 J S O N 注 入 。 攻 击 者 可 以 将 任 意 数 据 注 入 J S O N 中 ， 包 括 S Q L 注 入 漏 洞 攻 击 数 据 、 跨 站 脚 本 漏 洞 攻 击 数 据 及 任 意 文 件 读 取 数 据 等 。 如 果 某 站 存 在 J S O N 注 入 漏 洞 ， 攻 击 者 就 能 使 用 B u r p   S u i t e 截 取 J S O N 传 输 的 数 据 包 ， 如 图 1 所 示 。 图 1     截 取 J S O N 传 输 数 据 包 将 该 数 据 包 发 送 至 W e b 服 务 器 ， W e b 服 务 器 返 回 信 息 如 图 2 所 示 。
图 2     J S O N 请 求 返 回 信 息 由 图 2 可 见 ， W e b 服 务 器 向 客 户 端 返 回 了 J S O N 数 据 。 于 是 ， 攻 击 者 可 以 在 J S O N 中 注 入 数 据 试 试 ， 向 J S O N 数 据 中 注 入 跨 站 脚 本 漏 洞 攻 击 代 码 ， 如 图 3 所 示 。 图 3     注 入 跨 站 脚 本 漏 洞 攻 击 代 码 攻 击 者 将 已 注 入 跨 站 脚 本 漏 洞 攻 击 代 码 的 数 据 包 发 送 至 W e b 服 务 器 ， W e b 服 务 器 返 回 信 息 如 图 4 所 示 。
图 4     注 入 跨 站 脚 本 漏 洞 攻 击 代 码 的 J S O N 请 求 返 回 信 息 由 图 4 可 见 ， 这 里 的 反 斜 杠 被 W e b 服 务 器 进 行 了 安 全 转 义 处 理 ， 无 法 进 行 J S O N 注 入 。 此 时 ， 攻 击 者 进 入 W e b 服 务 器 ， 关 闭 W e b 服 务 器 上 的 安 全 转 义 。 于 是 ， 我 们 使 用 浏 览 器 重 现 一 下 刚 才 J S O N 注 入 的 效 果 ， J S O N 注 入 成 功 ， 如 图 5 所 示 。 图 5     J S O N 注 入 成 功 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ”
关 注 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理