论坛徽章:: 0

电梯直达

1楼 [收藏(0)] [报告]

发表于 2006-11-20 23:00 |只看该作者 |倒序浏览

WWW服务是因特网上最重要的服务之一，提供给客户各种各样的信息资源，而把这种信息资源组织起来的一个很重要的东西就是Html超文本语言，然后经过应用的发展就出现了其他的如UBB等标签但是最终都是以Html代码来实现的。经过研究发现，即使是最安全的安全代码（已经排除了通常所说的Xss漏洞）也无法避免另外一种恼人的攻击方式，配合不严格的程序，可能被人利用产生更大的威胁。\r\n\r\n　　我们就以现在广泛存在于论坛，文章系统，Blog系统等脚本程序中的[img]标签也就是转化后的<img>标签举例来说明这个被忽视的安全问题吧！首先我来谈谈自己对这个标签以及浏览器对这个标签的处理过程。首先看看下面这个UBB代码：，然后通过脚本程序的转换成为了＜img src=http://www.cnbct.org/loveshell.jpg＞。＜img＞标签\r\n\r\n　　是在当前的页面嵌入一个图片，现在的论坛程序在发帖子以及个人头像那里都有这个功能，当浏览器遇到这个Html标记的时候就会根据src的地\r\n址，这里是http://www.cnbct.org/loveshell.j ... 缓笤诒镜亟薪馕觯�\r\n在浏览器里显示出这个图片，如果找不到这个资源就会显示一个红叉表示出错了。这里http://www.cnbct.org/loveshell.jpg是个很正常的图\r\n片，所以一切都顺利进行，但是不知道大家想过没有，如果这个资源是其他类型的资源譬如一个网页一个eXe文件或者是一个asp页面，当不是图片类型文件的时候，结果会怎么样呢？\r\n\r\n　　答案很明显，是图片显示一个红X，我们的Exe文件也没有下载，Html页面也没有执行，这是理所当然的东西，因为IE或者其他浏览器会把取得的资源当作图片解析，这样就会产生错误从而显示红X了。到这里大家也许还觉得没有什么用，但是如果我们把图片的地址改成\r\nhttp://127.0.0.1:88/imgtest/test ... asp里有如下内容的话\r\n\r\n＜%\r\ndim fso,file //定义Fso对象 \r\n\r\n\r\nConst ForReading = 1, ForWriting = 2, ForAppending = 8 \r\nSet fso = Server.createObject(\"Scripting.FileSystemObject\"

\r\npath = server.mappath(\"imgtest.txt\"

//打开同目录imgtest.txt \r\n\r\nset file=fso.opentextfile(path, ForAppending, TRUE)\r\nfile.write(\"有人来了: \"

//写内容 \r\nfile.write(request.Servervariables(\"QUERY_STRING\"

) \r\nfile.write vbCrLf\r\nfile.close\r\nset file = nothing \r\nset fso = nothing\r\n%＞\r\n\r\n　　大家可以测试看看，我们的访问被记录了，甚至还得到了提交的参数，但是这对于浏览器来说是未知的，因为我们只看到了一个红X。到这里我们也许知道我们可以用这个东西做什么了！就是可以以浏览者的身份悄悄去访问一个页面，甚至支持Get的参数请求，这很重要，理解了这个就可以在后面发挥我们的想象力来利用这个来做什么！

keaide

小富即安

论坛徽章:: 0

2楼 [报告]

发表于 2006-11-20 23:00 |只看该作者

1、刷流量:我们可以在一个流量大的论坛把自己的图象设置成要刷的页面，然后每一个浏览者都会去访问下我们的页面，不管他是否看到了，但是他访问了，不是么？\r\n\r\n　　2、破坏:这个让人很恼火，对于动网论坛如果把你的图象设置成logout.asp的话，呵呵，所有看了你的帖子的人都会被T了，很爽吧！\r\n\r\n　　呵呵，至于幻影论坛，大家可以试试，但是这是很不道德的！\r\n\r\n　　3、黑客:这个是我们最感兴趣的，可以跨越权限做一些事情，因为现在很多的程序对于前台都是防守较好，但是后台就不是那么严密了。如果程序中取得数据的时候是用request(\"id\"

这样的方法取得的话，那么我们就可以利用标签向Cgi脚本提交数据了，注意必须不能是request.form(\"username2\"

这种严格指定了取得的变量来源的方式，因为我们的变量只能通过URL提交也就是上面说的QUERY_STRING方式。这对于写法不严密的程序是很致命的，要例子的话动网就是一个，动网Sql版本后台的messages.asp里取得数据的方式就是request，代码如下：\r\n\r\n......\r\nSub Del()\r\nDim Dnum\r\nIf Request(\"username\"

= \"\" Then\r\nBody = Body + \"<br>\" + \"请输入要批量删除的用户名。\"\r\nExit Sub\r\nEnd If\r\nSql = \"select COUNT(*) FROM Dv_Message where Sender = \'\" & Request(\"username\"

& \"\'\"\r\nSet Rs = Dvbbs.Execute(Sql)\r\n......\r\n\r\n这本来是后台的必须要有后台管理权限才能访问的，但是我们构造这样一个Url：\r\n\r\nhttp://bbs.dvbbs.net/admin/messa ... l&user=';update/**/Dv_User/**/set/**/UserEmail=(select/**/top/**/1/**/\r\n\r\n[Username]/**/from/**/Dv_admin)/**/where[UserName]=\'loveshell\';--\r\n\r\n　　或者类似的语句了，然后放到[Img]标签里。大家也许觉得管理员看自己帖子的可能性也不大，但是要知道论坛短信也是支持和发帖子一样的[img]标签的，所以如果能给管理员发个短信，在里面构造我们的Img标签只要他一打开短信就会种招的哦！如果可以和社会工程学联一块，杀人不沾血啊，呵呵！有点遗憾的是仿佛动网对&等符号做了转换，大家可以尝试突破，更何况网络上写法不严密的程序何止千万。\r\n\r\n　　4 想象力大家赚钱都这么辛苦，如果把IMG标签里的地址改成附件下载地址的话，呵呵，说说而已，没有测试。\r\n\r\n　　5 ......\r\n\r\n　　再说说对这个问题如何防御，如果想保留这个[IMG]标签但是又不想出问题的话，是需要转换的，譬如限定后缀必须是jpg，呵呵这可以通过URL编码加#JPG饶过，反正我觉得如果有限制的话一般都是能饶过的，即使你限制了IMG，那好，还有Flash标签呢，还有Rm标签呢？......\r\n\r\n　　防御和利用都是艰难的。

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

返回列表

Chinaunix › 论坛 › 备份版区 › 攻防交流区 › 危险无处不在 Html标签带来的安全隐患

危险无处不在 Html标签带来的安全隐患 [复制链接]

浏览过的版块