9 web脚本攻击

《9 web脚本攻击》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、网络安全9Web脚本攻击何路helu@nwu.edu.cn2Web脚本漏洞网站服务器越来越多，主要涉及SQL注入：通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令跨站脚本攻击(XSS)：攻击者通过在链接中插入恶意代码，就能够盗取用户信息。网站在接收到包含恶意代码的请求之后会产成一个包含恶意代码的页面，而这个页面看起来就像是那个网站应当生成的合法页面一样。SQL注入攻击原理绕过认证：or'a'='a‘必须要有2个条件：1、账号密码的查询是要同一条查询语句；2、密码没有

2、加密保护判断能否进行SQL注入判断数据库类型及注入方法猜测表名和字段名猜解用户名和密码3判断能否进行SQL注入http://www.mytest.com/login.asp?name=admin&pass=adminSelect*fromuserswhereuname=‘输入的用户名’andpass=‘输入的密码’构造用户名：admin’and‘a’=‘aadmin’and‘a’=‘b如果①同1、②不同1，说明可以注入如果①、②均不同1，说明不能注入注意：需要根据传入参数的数据类型具体构造4判断数据库类型及注入方法不同的数据

3、库的函数、注入方法都是有差异的SQLServer有一些系统变量，如果服务器IIS提示没关闭，并且SQLServer返回错误提示的话，就可以直接从出错信息获取如果服务器IIS不允许返回错误提示，Access和SQLServer都有自己的系统表，Access是在系统表[msysobjects]中，但在Web环境下读该表会提示“没有权限”，SQLServer是在表[sysobjects]中，在Web环境下可正常读取。构造：and(selectcount(*)fromsysobjects)>0and(selectcount(*)fr

4、ommsysobjects)>05猜测表名和字段名构造：And(SelectCount(*)fromuser)>=0and‘a’=‘a构造：And(SelectCount(uname)fromuser)>=0and‘a’=‘a一般程序员会使用有意义的表名和字段名反复穷举，如果页面工作正常，说明猜测正确这里有一些偶然的成分，不存在100%成功的黑客技术，苍蝇不叮无缝的蛋，无论多技术多高深的黑客，都是因为别人的程序写得不严密或使用者保密意识不够，才有得下手。6猜解用户名和密码确定字段长度构造：and(selecttop1len(

5、uname)fromuser)>0穷举各种可能……确定字段内容构造：and(selecttop1asc(mid(username,1,1))fromuser)=1穷举各种可能……可以使用二分搜索加快速度7利用系统表注入SQLServer举例http://Site/url.asp?id=1;execmaster..xp_cmdshell“netusernamepassword/add”--先是Select出ID=1的记录，然后执行存储过程xp_cmdshell，这个存储过程用于调用系统命令，于是，用net命令新建了用户名为na

6、me、密码为password的windows的帐号，http://Site/url.asp?id=1;execmaster..xp_cmdshell“netlocalgroupnameadministrators/add”--这种方法只适用于用sa连接数据库的情况，否则，是没有权限调用xp_cmdshell的。8http://Site/url.asp?id=1;anddb_name()>0返回的是连接的数据库名。http://Site/url.asp?id=1;backupdatabase数据库名todisk=’c:ine

7、tpubwwwroot1.db’;--某些IIS出错暴露出的绝对路径，将数据库备份到Web目录下面，再用HTTP把整个数据库就完完整整的下载回来9SQL注入防范过滤关键词，如select、form、引号、分号等，这些关键词都是查询语句最常用的词语，一旦过滤了，那么用户自己构造提交的数据就不会完整地参与数据库的操作。限制输入的长度秘密字段使用散列函数进行保护10防范要严密验证、过滤所有的输入char(85)代替直接使用引号等程序中使用类型安全的查询参数避免在Like语句中使用%使用SQL单一语句执行许可http://msd

8、n.microsoft.com/en-us/library/ms161953.aspx11跨站脚本攻击(XSS)跨站脚本攻击是一种准许将恶意代码注入到网页中的安全漏洞。这种攻击主要用于：钓鱼或者cookie窃取，目的是为了访问受限信息。为了恶搞、丑化其它网站或实施社交工程攻击在网站的客户端