php跨站脚本,基于PHP的在线跨站脚本检测工具

在跨站脚本越来越隐蔽的今天,应对该漏洞威胁就成了一项艰巨的任务[1-3]。在早期对跨站脚本的研究只停留在简单的暴力式攻击[4],而对绕过等新兴的攻击方式缺乏了解。但近几年国外对于跨站脚本的研究越来越深入,有了这些研究基础,Web安全大大的提高了[5]。目前国内的研究现状,也基本已经涉及到跨站脚本的各个层次,唯独自动化的检测工具较少,即便是有也主要针对SQL注入等漏洞[6-8]。不专注与构造型的跨站脚本检测,本文将补充这类的不足。依据基本的Javascript脚本和跨站构造方法,可以构造出多种多样的跨站语句,这样的语句被称为Payload。通过HTTP请求,不断地检测Payload提交到WebServer,就可以检测站点是否存在跨站脚本,达到检测的目的。1跨站脚本攻击及防范方法1.1跨站脚本攻击跨站脚本漏洞的攻击方式主要来源于Web站点运行过程中,有攻击者将自己带有恶意的脚本代码,提交给该Web服务器,并在浏览器加载时将恶意代码一起执行。在互联网大规模流行的初期,大量的网站曾遭受到跨站脚本漏洞的攻击[9]。本文从实践角度实践产生原理角度,对研究如何发掘与利用,如何防范等都做出了大量细致描述。本文将演示从系统的分析过程、搭建过程、运行过程、结果分析的过程逐一剖析。1.2构造攻击及Bypass跨站脚本的漏洞攻击方法很多,其中不乏一些特殊的漏洞利用方式,当下所有绕过方式主要都是由人工完成。通过人工的漏洞查找虽然细致,但是效率低下,还要取决于攻击者自身的编程水平。这样一来注入工具就开始流行,而通过程序检测跨站脚本,无法做到及时发现和灵活的构造。如果要求准确,而不要求时间,就可以手动注入。如果要求效率而忽略精确程度,就可以采用自动化检测。本文就是采用自动化的检测方法进行的一系列评估。耗时短,扫描量大,但是构造方法相对于手动注入缺乏灵活性。1.3跨站脚本攻击防范方法1.3.1敏感过滤对付跨站脚本最基本方法就是要将用户交互的所有地方进行过滤,在Web后台语言中几乎所有的都包括前端标签过滤函数。1.3.2HTTP头指定类型请求的报文必需包括请求行、请求头部、空白行和请求内容4个部分组成。在headerofrequest包含了名/值对的组成的单个组合数据,每1对都是由名称和值构成,然后由英文冒号近行分割。在HTTP协议中可以使用报文的头部指定内容的类型,使得输出的内容避免被作为HTML解析[10]。2系统架构2.1逻辑架构WebScan漏洞扫描系统是根据XSSer为扫描引擎的扫描工具。结合国内最成熟的PHP开发框架Think-PHP[11],将扫描的Web页面信息爬取出来,并根据参数寻找到关键字,重新构造POST和GET参数提交给XSSer引擎进行扫描,完成后输出结果到文件中,前台读取文件,进行信息汇总。系统目录图如图1所示。图1系统目录2.2物理架构图2物理架构描述了一个标准的WebScan系统扫描时经过的物理结构,图中所有的元件都是物理设备,包括2台Web服务器、路由器、客户端、主机。扫描器部署结构。2.3系统运行环境(1)平台环境:项目环境采用Ubuntu开发,兼容各Linux发行版本。(2)语言环境:Python,PHP,Javascript。(3)引擎环境:XSSer是用Python开发的渗透测试跨站漏洞的工具,只针对跨站脚本进行检测。(4)服务器环境:XAMPP(MySQL+Apache+PHP+PERL)。图2物理架构3在线跨站脚本检测工具(1)登陆模块。此登陆模块基于ThinKPHP、后台架构和charisma的前台架构,用户信息存于MySQL数据库