Web應(yīng)用程序攻防實(shí)戰(zhàn)
原創(chuàng)【51CTO.com獨(dú)家翻譯】想親自擊敗黑客嗎？OK，沒(méi)問(wèn)題，首先你要了解黑客是如何查找安全漏洞的，其次就是要了解黑客是如何利用Web應(yīng)用程序漏洞的，最后就是了解他們是如何組織進(jìn)攻的。本文將以一個(gè)漏洞百出的程序Jarlsberg為例，為大家講解Web應(yīng)用程序的攻防手段，全面解剖黑客的行徑和應(yīng)對(duì)辦法。Jarlsberg是用Python編寫(xiě)的，因此略懂Python會(huì)幫助理解本文，但即使不懂也無(wú)所謂，因?yàn)槁┒春托迯?fù)漏洞的方法基本上是與語(yǔ)言無(wú)關(guān)的。另外我們會(huì)涉及到黑盒黑客和白盒黑客，所謂黑盒黑客就是通過(guò)操縱輸入字段或URL參數(shù)，觀察Web應(yīng)用程序的響應(yīng)和變化，嘗試找出讓它出錯(cuò)的一種攻擊手段，這里我們通常會(huì)查看HTTP/HTTPS請(qǐng)求和響應(yīng)，推薦兩款很棒的輔助工具Burp和WebScarab；所謂白盒黑客就是分析Web應(yīng)用程序源代碼，嘗試找出bug并進(jìn)行攻擊的手段。
你完全可以根據(jù)本文介紹的內(nèi)容搭建一個(gè)滲透測(cè)試環(huán)境，自己做做練習(xí)，以提升自己的技能，當(dāng)然最重要的是通過(guò)學(xué)習(xí)達(dá)到舉一反三，以后自己也能發(fā)現(xiàn)和修復(fù)漏洞，Jarlsberg的下載地址是http://jarlsberg.appspot.com/jarlsberg-code.zip，你也可以直接訪問(wèn)http://jarlsberg.appspot.com/start，AppEngine會(huì)自動(dòng)為你創(chuàng)建一個(gè)新的Jarlsberg實(shí)例，每個(gè)實(shí)例都運(yùn)行在獨(dú)立的沙盒中，用唯一的ID進(jìn)行標(biāo)識(shí)，你可以隨意展開(kāi)攻擊，你也可以將你唯一的URL分享給其它人進(jìn)行攻擊研究。
如果想在本地運(yùn)行Jarlsberg，需要先安裝Python 2.5，其它版本可能不行，執(zhí)行Jarlsberg安裝的命令如下：
|
用localhost:8008替換所有文件中的jarlsberg.appspot.com，并用分配給你的唯一ID替換默認(rèn)ID 123。
如果是直接在AppEngine上創(chuàng)建的Jarlsberg實(shí)例，它有諸多限制，如不能訪問(wèn)和干擾其它Jarlsberg實(shí)例，資源使用也是有限制的，如果你搗鼓得Jarlsberg實(shí)例無(wú)法運(yùn)行時(shí)，可以通過(guò)下面的URL進(jìn)行重置，不過(guò)要注意的是所有歷史數(shù)據(jù)都將被清除掉。
http://jarlsberg.appspot.com/resetbutton/123 |
注意用你自己的ID替換這里的123。
Jarlsberg各個(gè)源文件介紹：
◆jarlsberg.py是Jarlsberg Web服務(wù)器
◆jdata.py在數(shù)據(jù)庫(kù)中存儲(chǔ)默認(rèn)數(shù)據(jù)，有一個(gè)管理員賬號(hào)和兩個(gè)默認(rèn)用戶(hù)
◆jtl.py是Jarlsberg模板語(yǔ)言
◆jsanitize.py是Jarlsberg保護(hù)自身HTML免受攻擊的模塊
◆resources/...目錄下存放了所有模板，圖片和CSS等文件
跨站腳本（XSS）
跨站腳本（XSS）指的是黑客通過(guò)網(wǎng)站漏洞在不受自己控制的網(wǎng)站內(nèi)容（通常是HTML或JavaScript）中植入代碼，當(dāng)受害者瀏覽這樣的網(wǎng)頁(yè)時(shí)，植入的代碼就會(huì)在受害者瀏覽器中執(zhí)行，這樣就可以順理成章地竊取受害者與網(wǎng)站請(qǐng)求相關(guān)的個(gè)人信息。
在一個(gè)反射式XSS攻擊中，攻擊通常是嵌入在請(qǐng)求URL中，受害者瀏覽黑客構(gòu)造的惡意URL時(shí)就被攻擊了。在存儲(chǔ)式XSS攻擊中，攻擊者將攻擊代碼保存在應(yīng)用程序內(nèi)，受害者瀏覽到這樣的網(wǎng)頁(yè)時(shí)就觸發(fā)攻擊代碼的執(zhí)行。
假設(shè)http://www.google.com/search?q=flowers這個(gè)URL返回的頁(yè)面包含以下HTML片段：
|
查詢(xún)參數(shù)q的值被嵌入到Google返回的頁(yè)面中，如果www.google.com不做任何驗(yàn)證或忽略q，攻擊者就可以構(gòu)造一個(gè)類(lèi)似下面這樣的鏈接進(jìn)行攻擊嘗試：
http://www.google.com/search?q=flowers+%3Cscript%3Eevil_script()%3C/script%3E |
接下來(lái)就是欺騙受害者點(diǎn)擊這個(gè)鏈接，當(dāng)受害者點(diǎn)擊這個(gè)鏈接后，他的瀏覽器就會(huì)解析下面的代碼：
|
瀏覽器就會(huì)執(zhí)行evil_script()，于是受害者的瀏覽器狀態(tài)和所有該域名對(duì)應(yīng)的cookies都全部暴露出來(lái)了。
有時(shí)即使受害者不直接地點(diǎn)擊惡意鏈接也會(huì)遭受攻擊，例如，假設(shè)攻擊者擁有www.evil.example.com域名，在頁(yè)面中用