程序员常见的WEB安全漏洞

• •
•
<span><iframe src=></iframe></span> <input type="hidden" Name="OrinSearchText" value="" ><iframe src=></iframe>< "" id="OrinSearchText_rfs" $disabledFlag /> <script>var fromgcn = '';hackerFunction(document.cookie);''; </script>
3.XSS – 简介
• Cross-Site Scripting，跨站脚本攻击 • 定义：攻击者在页面里插入恶意脚本，当用户浏览该页时， 嵌入其中的恶意代码被执行，从而达到攻击者的特殊目的 • 实质：用户提交的HTML代码未经过滤和转义直接回显 • 特点： – 攻击授信和未授信用户，不直接攻击服务器 – 很常见，例如贴图、 AJAX回调、富文本（如评论留言） – 恶意脚本可能位于跨站服务器，但必须用户浏览器执 行，最暴力的防范就是禁用JS脚本
所用的struts2是否修复了远程命令执行漏洞
上传文件功能是否考虑了安全防范 向导类操作是否都有对前一步骤结果的校验 考虑并解决了表单重复提交漏洞 与第三方合作的接口是否考虑了安全防范
*
* * * *
URL跳转是否有白名单限制
*
10.参考文献
• • • • • • • • SQL INJECTION SQL注入 iBATIS使用$和#的一些理解 XSS Wikipedia 不能忽视的XSS漏洞 CSRF Wikipedia Google GMail E-mail Hijack Technique Struts2/XWork < 2.2.0远程执行任意代码漏洞分析及修补 Struts2和Webwork远程命令执行漏洞分析
2.SQL注入 – iBatis 2
• 尽量使用#，避免使用$ • 若不能避免$，则带上元数据标识
SQL中需要用户提交的ASC、DESC等SQL关键字
select * from user order by gmt_create $ordertype:SQLKEYWORD$
SQL中需要用户提交的字段名、表名等元数据
网络安全 ≠ WEB安全 ≠ XSS ≠ alert
7.黑客攻击思路
• 找漏洞 – 分析产品或开源代码 – 浏览器、操作系统的0day漏洞 • 编写恶意脚本 • 蛊惑用户访问恶意链接，执行恶意脚本完成攻击 – 得到用户隐私 – 拿管理员权限 – 钓鱼网站 – 挂木马
9.安全开发Checklist
<select id=“findOrder” parameterClass=“ng.Array” resultClass=“ng.Object”> select * from order where order_status in <iterate open=“(“ close=“)” conjunction=“,”> #orderStatus[]# </iterate> </select>
alter login sa with password=„123456‟ select * from user select * from sys.tables xp_cmdshell “net stop iisadmin” xp_cmdshell “FORMAT C:” insert into comment(cnt) values(„<script>…</script>‟)
select * from user order by $orderByColumn:METADATA$
2.SQL注入 – iBatis 3
• 尽量使用#，避免使用$ • 若不能避免$，则带上元数据标识 • 用迭代替换IN关键字中的$
int orderStatus = {0,1,2,3} List orders = sqlMap.queryForList(“OrderDAO.findLlOrder", orderStatus );
• 执行任意SQL，利用注释，select * from item whre item=„‟;your sql--‟ 或整型字段，select * from item where item_id=0;your sql;
– – – – – – 篡改系统账号 用户隐私外泄 系统细节外泄 控制操作系统 损害硬盘宕机 埋入from item where type=123 and title=„123‟
$不过滤直接文本替换：
select * from item where type=$type$ and title=„$title$‟
#根据变量类型来替换：
select * from item where type=#type# and title=#title#
程序员常见的WEB安全漏洞
点苍@淘宝-新业务
2010-08-30
0.大纲
1.引子
不安全的淘宝，一直被紧盯，经常被攻击 • 影响力 – 宕机、篡改页面 • 交易 – 盗取银行账号、钓鱼攻击 • 用户 – 登录密码以及cookie/refer/ip隐私
2.SQL注入 – 简介
• 定义：攻击者提交恶意SQL并得到执行 • 本质：由于输入检验不充分，导致非法数据被当 做SQL来执行 • 特点：
2.SQL注入 – 防范
• 避免字符串拼SQL，完全使用参数化查询 • 将单引号字符取代为连续2个单引号字符 • 利用框架的防SQL注入功能
2.SQL注入 – iBatis 1
• 尽量使用#，避免使用$
根据彩种ID和彩期名得到一个彩期， int type=123; String title=“123”。
– 很常见，使用数据库的应用多如牛毛 – 多见于小PHP站，采用字符串拼SQL的应用 – 直接攻击服务器
SQL注入攻击也俗称黑客的填空游戏
2.SQL注入 – 危害
• 字符串填空
– 绕过登录鉴权
select * from user where name=„‟ or „1‟=„1‟ and pw=„‟ or „1‟=„1‟
安全分类 SQL注入 XSS 项目 iBatis中使用的$变量是否都有元数据标识 webx里是否配置了vm模板的自动XSS输出转义 vm模板以外的回显内容是否有显式的输入过滤输出转义 贴图功能是否有防XSS考虑 自检 必选 * * * *
再次确认没有遗漏的搜索框、评论、AJAX回调等XSS高发区
CSRF 关键业务是否有验证码校验 授信操作是否都有token校验 贴图功能是否有防CSRF考虑 其它 所用的数据库、操作系统账户是否有过高的权限 * * *
• • • • • 挂蠕虫、木马、病毒 盗取用户的cookie/referer/ip等信息 制作钓鱼网站 用户被提交恶意数据、被执行恶意操作 帮助CSRF，绕过CSRF的token验证
3.XSS – 代码分析
• • • <span>$!productName</span> <input type="hidden" Name="OrinSearchText" value="$!stKeyword" id="OrinSearchText_rfs" $disabledFlag /> <script>var fromgcn = '$!rundata.Parameters.getString('fromgcn')';</script>
3.XSS – 实例
• 彩票业务AJAX回调导致的XSS漏洞 /lottery/order/get DcSpInfoAjax.htm?callback=%3Cscript%3 Ealert%28%27xss%27%29%3C/script%3E
3.XSS – 危害
4.CSRF – 实例
1. 黑客在服务器端编写恶意脚本，并构造授信操作的 URL，例如评论 2. 恶意用户回复帖子时候贴图，图片地址指向黑客事先 编写的恶意脚本 3. 当用户浏览这些帖子时，就会请求该图片，不知觉访 问了恶意脚本 4. 恶意脚本利用302重定向，根据帖子不同跳转到对应的 评论URL 5. 用户在不知情情况下发表了评论，帮恶意用户顶贴 6. 所以，论坛一般会让用户在评论时输入验证码，来防 止类似攻击
3.XSS – 防范
• 输入过滤，RichTextXssFilter.filter(input) • 输出转义，HTML ESCAPE
4.CSRF – 简介
• Cross Site Request Forgery，即跨站请求伪造，有时也 缩写为XSRF • 定义： 在恶意站点上，促使用户请求有CSRF漏洞的应用 的 URL或欺骗性的表单，从而修改用户数据 • 实质：利用session机制，盗用授信用户对应用做一些恶 意的GET/POST提交 • 特点： – 不同于XSS，恶意脚本一定位于跨站服务器 – 攻击授信用户，不直接攻击服务器 – 近年增多，授信用户的贴图、表单提交、页面交互、 AJAX调用都可能导致该漏洞
4.CSRF – 危害
• 获得管理员权限 • 盗取用户银行卡、信用卡信息 • 授信用户被提交恶意数据、被执行恶意操作
4.CSRF – 防范
• 服务器区分GET/POST，增加攻击难度 • REFERER校验，补充手段 • 改长授信为短授信
– 时间戳 – 关键流程使用验证码 – Token验证