网页脚本攻击防范全攻略(二)

转载 2006年05月27日 10:40:00
程序体(1)

  另外,值得我们注意的是,很多站点在用户注册,或者是用户资料修改的页面上也缺少脚本的过滤,或者是只在其中之一进行过滤,注册进入后修改资料仍然可以进行脚本攻击。对用户提交的数据进行检测和过滤,程序体(2) 如下:

  ‘以下是过滤函数

  If Instr(request("username"),"=")>0 or
  Instr(request("username"),"%")>0 or
  Instr(request("username"),chr(32))>0 or
  Instr(request("username"),"?")>0 or
  Instr(request("username"),"&")>0 or
  Instr(request("username"),";")>0 or
  Instr(request("username"),",")>0 or
  Instr(request("username"),"'")>0 or
  Instr(request("username"),"?")>0 or
  Instr(request("username"),chr(34))>0 or
  Instr(request("username"),chr(9))>0 or
  Instr(request("username"),"?K")>0 or
  Instr(request("username"),"$")>0 or
  Instr(request("username"),">")>0 or
  Instr(request("username"),"<")>0 or
  Instr(request("username"),"""")>0 then
  response.write "朋友,你的提交用户名含有非法字符,请更改,谢谢合作 <a href='****:window.history.go(-1);'>返回</a>"
  response.end
  end if

  程序体(2)

  为了提供工作效率我们再将过滤内容程序化,这样对多个参数的过滤效率将有很大程度上的提高:如

  程序体(3)

  ‘以下为程序主体

  dim Bword(18)
  Bword(0)="?"
  Bword(1)=";"
  Bword(2)=">"
  Bword(3)="<"
  Bword(4)="-"
  Bword(5)="’"
  Bword(6)="””"
  Bword(7)="&"
  Bword(8)="%"
  Bword(9)="$"
  Bword(10)="'"
  Bword(11)=":"
  Bword(12)=" "
  Bword(13)="("
  Bword(14)=")"
  Bword(15)="--"
  Bword(16)=" chr(9)"
  Bword(17)=" chr(34)"
  Bword(18)=" chr(32)"
  errc=false

  ‘以下是应用实例部分

  for i= 0 to ubound(Bword)
  if instr(FQYs,Bword(i))<>0 then
  errc=true
  end if
  next
  if errc then
  response.write "<script language=""****"">"
  response.write "parent.alert('很抱歉!您的操作违法了);"
  response.write "history,back();"
  response.write "</script>"
  response.end
  end if

  程序体(3)

  有了上面的过滤函数您可以在任何需要过滤的地方应用过滤函数直接使用就可以了。这就使我们的修复工作大大的简化了。

  另外,我想在这里再次多提醒一下,一些站点的UBB在进行小的表情图标转化时也会出现过滤问题,由于很隐蔽所以不容易发现:

  如:

  我们标签内的文字进行修改,

  不知道各位看懂没,前一个单引号用来中和程序提供的左引号,第二个单引号用来中和闭合的右引号,这样程序输出就为:

  <img src=’img/0001.gif’ onerror=****:alert(); alt=’’>

  如果图片不存在,那么将激活onerror标签执行脚本程序。对于已经过滤了单引号的站点在这里用双引号一样可以完成。对于过滤了****字段的,只用alert()也完全可以。所以说要过滤就要过滤完全,别给攻击者留下一丝机会。

  防范SQL Injection 漏洞攻击

  可以这样说,这里似乎是整篇文章的重点了.SQL Injection 漏洞攻击的的多样化也使得我们在程序防护上不得不想的更多一些。面对SQL Injection 的强大”攻势”,我们到底该过滤哪些?

  一些常用的危险字符有

  '    数据库字段判别封闭

  --   某些数据库注释标志

  #   某些数据库注释标志

  "   可能导致程序出错

  /   跨越目录

  3221143836nicode  编码的特征字符

  $  可能用于变量标注

  / 和/   一样

  NULL   小心"空"录入的危险,可能导致数据库或系统处理报错,利用报错构造溢出.

  空格和'一起,构造sql injeciton

  ? = &   如果存在二次参数传递,可能改写querystr。

  (1) 从最一般的.SQL Injection 漏洞攻击来看:用户名和密码上的过滤问题,如:

  提交:用户名为:’or’’=’ 用户密码为:’or’’=’

  从程序出发,我们完全可以得出,数据库在执行以下操作

  Sql=” SELECT * FROM lUsers WHERE Username=''or''='' and Password = ''or''=''”

  这样一来,这样,SQL 服务器将返回 lUsers 表格中的所有记录,而 ASP 脚本将会因此而误认为攻击者的输入符合 lUsers 表格中的第一条记录,从而允许攻击者以该用户的名义登入网站。对此类注入的防范似乎简单的很:

  利用以下程序就可以实现,程序体(4)

  strUsername = Replace(Request.Form("Username"), "''", "''''")
  strPassword = Replace(Request.Form("Password"), "''", "''''")

  程序体(4)

  (2)杜绝SQL 注入式攻击的第一步就是采用各种安全手段监控来自 ASP request 对象 (Reques、Request.QueryString、Request.Form、Request.Cookies和 Request.ServerVariables) 的用户输入,以确保 SQL 指令的可靠性。具体的安全手段根据你的 DBMS 而异。

  SQL 注入式攻击可能引起的危害取决于该网站的软件环境和配置。当 Web 服务器以操作员(dbo)的身份访问数据库时,利用SQL注入式攻击就可能删除所有表格、创建新表格,等等。当服务器以超级用户 (sa) 的身份访问数据库时,利用SQL注入式攻击就可能控制整个 SQL 服务器;在某些配置下攻击者甚至可以自行创建用户帐号以完全操纵数据库所在的 Windows 服务器。

  如:

  http://127.0.0.1/forum/showuser.asp?id=999’;declare @a sysname set @a='xp_'+'cmdshell' exec @a 'dir c:/'--&aid=9

  http://127.0.0.1/forum/showuser.asp?id=999’; declare @a sysname set @a='xp'+'_cm’+’dshell' exec @a 'dir c:/'--&aid=9

  甚至可以执行像:net user fqy fqy /add 这样的指令.当然这就需要你当前的运行身份必须是Sa,或者你攻击的只是一台虚拟主机,我劝你还是就此打住.

  对于一些整机使用的站点来说防止通过80端口攻击而直接拿到整机管理权限,这一点就变得至关重要了。对xp_cmdshell 的过滤就成为首要,很多站点的程序都是用GET或者是GET与POST混合来提交数据的,对于此,我们给出一种防止GET进行SQL注入的程序:如


XSS跨站脚本攻击原理及防护方法

概念:     XSS(Cross Site Script)跨站脚本攻击。它指的是恶意攻击者往Web 页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web 里面的html 代码会被执行,...
  • lovechuanyu
  • lovechuanyu
  • 2014年10月28日 14:16
  • 4400

跨站脚本攻击(XSS)——常见网站攻击手段原理与防御

主要是依靠一切可能的手段,将浏览器中可以执行的脚本(javascript)植入到页面代码中,从而对用户客户端实施攻击。这才是我认为在目前这个“大前端时代”xss攻击的定义。 实际上黑客攻击这种行为从本...
  • guugle2010
  • guugle2010
  • 2016年04月10日 01:09
  • 2116

跨网站脚本攻击(XSS)的原理与防范对策

摘要:随着计算机网络技术的迅速发展,网络安全问题已变得越来越受到人们的重视,网络攻击形式多种多样,很多蠕虫病毒、木马病毒等植入到某些网页中,给网络用户带来了很大的安全隐患。其中XSS跨网站脚本攻击,恶...
  • bytxl
  • bytxl
  • 2014年11月12日 11:42
  • 1453

Microsoft 虚拟机技术及产品全攻略之十:Virtual Server 2005 R2 脚本技术及密技

  • 2010年04月10日 15:00
  • 12.61MB
  • 下载

网页木马全攻略(黑客X档案)

  • 2009年03月01日 19:47
  • 2.79MB
  • 下载

Dreamweaver网页设计制作与色彩搭配全攻略.pdf

  • 2010年07月25日 16:36
  • 12.27MB
  • 下载

webBrowser中操作网页元素全攻略

1、获取非input控件的值: webBrowser1.Document.All["控件ID"].InnerText; 或webBrowser1.Document.GetElementBy...
  • bbwfang
  • bbwfang
  • 2012年12月20日 14:21
  • 544

采集网页选定部分全攻略

在 VCKBASE 混了这么久竟然没有写出一篇文章,想想很是惭愧,每当在这里看到一篇好文,这种感觉尤甚,总结我在程序员加油站中的一些技术点写了这个文章(虽然程序员加油站还要继续开发,但是由于时间关系不...
  • caijun12358098
  • caijun12358098
  • 2012年03月15日 10:02
  • 510

webBrowser中操作网页元素全攻略

转自: http://www.cnblogs.com/qqflying/archive/2012/07/27/2611563.html 1、获取非input控件的值: webBrowser...
  • t5bcss
  • t5bcss
  • 2012年12月16日 02:53
  • 269

弹出网页窗口全攻略

from 屑木编程屑木网络在线:http://www.blog.ccoo.cn/nbk4/lshow.asp?id=37305&uid=9194                          ...
  • Kid_U_ForFun
  • Kid_U_ForFun
  • 2012年09月25日 22:17
  • 728
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:网页脚本攻击防范全攻略(二)
举报原因:
原因补充:

(最多只允许输入30个字)