一、 前言

近幾年，伴隨網際網路的高速發展，對Web安全問題的重視也越來越高。Web應用所面臨的威脅來自很多方面，其中黑客的破壞是影響最大的，黑客利用Web應用程式存在的漏洞進行非法入侵，從而破壞Web應用服務，盜取使用者資料等，如何防範漏洞帶來的安全威脅是一項艱鉅的挑戰。
為了增強使用者的互動體驗，開發者們在Web應用程式中大量應用客戶端指令碼，使Web應用的內容與功能變得豐富有趣，然而隱藏的安全威脅隨之而來，黑客們將Web攻擊的思路從伺服器端轉向了客戶端，利用客戶端指令碼漏洞的攻擊變得越來越強大，如跨站指令碼（XSS）和SQL注入成為了眾多漏洞中最有針對性的攻擊目標。

白帽子與黑帽子

在安全圈子裡，素有“白帽”、“黑帽”一說。
黑帽子是指那些造成破壞的黑客，而白帽子則是研究安全，但不造成破壞的黑客。
作為白帽子，如何防範漏洞帶來的安全威脅？首先要先了解漏洞，先於攻擊者找到漏洞。下面對XSS和SQL注入簡單介紹。

二、XSS

XSS（Cross Site Scripting，跨站指令碼攻擊）是一類特殊的Web客戶端指令碼注入攻擊手段，通常指攻擊者通過“HTML注入”篡改了網頁，插入惡意的指令碼，從而在使用者瀏覽網頁時控制瀏覽器的一種攻擊。
當應用程式傳送給瀏覽器的頁面中包含使用者提供的資料，而這些資料沒有經過適當的轉義，或者在這些內容被顯示在頁面之前沒有驗證它們都是安全的，使得輸入被視為瀏覽器中的動態內容，就會導致存在跨站指令碼漏洞。

按照“資料是否儲存在伺服器”，XSS被分為：反射型XSS和儲存型XSS。
反射型XSS：
伺服器未對使用者請求引數做任何編碼或轉義處理，直接將引數作為響應的一部分輸出到頁面中。反射型XSS是一次性的，很容易實施釣魚攻擊，即誘使被攻擊者點選某條惡意連結就可觸發漏洞。
儲存型XSS：
攻擊者提供一個惡意負載輸入並在後臺儲存一段時間，一旦使用者訪問含惡意程式的網頁檔案便形成有效攻擊。富文字輸入空間，都有儲存型XSS的漏洞隱患，最嚴重可能導致XSS蠕蟲。

簡單測試指令碼檢測漏洞（XSS payload）

將payload作為使用者輸入引數提交測試，這些payload的目的是閉合html的標籤，使瀏覽器彈窗。若伺服器對請求引數沒有過濾處理，即直接彈窗，那麼包含有惡意程式碼的響應資訊被瀏覽器直接解析執行，由此觸發XSS漏洞，且誤報率很低。
當然有些xss漏洞隱藏較深，並不能那麼容易檢測到，需要構造更加強大的payload繞過一些xss簡單過濾。

xss攻擊過程：

在確定可注入的xss漏洞之後，誘使使用者載入一個遠端指令碼，如將url的提交引數改為，攻擊者將真正的惡意負載寫在這個遠端指令碼中，避免直接在url的引數裡寫入大量的js的程式碼，通過惡意指令碼，進而控制使用者的瀏覽器，達到攻擊目的。

三、SQL注入

攻擊者通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的SQL命令。

sql注入漏洞檢測

手動注入：

1、在引數中輸入一個單引號”’”，引起執行查詢語句的語法錯誤，得到伺服器的錯誤回顯，從而判斷伺服器的資料庫型別資訊。根據資料庫型別構造sql注入語句。
例如一個get方式的url[ http://www.xxx.com/abc.asp?p=YY ]
修改p的引數值http://www.xxx.com/abc.asp?p=YY and user>0 ，就可以判斷是否是SQL-SERVER，而還可以得到當前連線到資料庫的使用者名稱。
http://www.xxx.com/abc.asp?p=YY&n … db_name()>0 不僅可以判斷是否是SQL-SERVER，而還可以得到當前正在使用的資料庫名
2、盲注，大部分時候web伺服器關閉了錯誤回顯。
http://www.xxx.com/abc.asp?p=1 and 1=2 sql命令不成立，結果為空或出錯
http://www.xxx.com/abc.asp?p=1 and 1=1 sql命令成立，結果正常返回
以上兩個測試成功後，可以判斷負載的sql被執行，存在sql注入漏洞。

下面是某網站漏洞示例
手動注入網站登入密碼（‘or’1’=‘1）併成功進入管理後臺。

自動化工具檢測注入

SQLmap–檢測與利用SQL注入漏洞的免費開源工具
sqlmap.py –u 【指定url 】 –cookie –dbs //列出資料庫
sqlmap.py –u 【指定url 】 - D 【資料庫名】- -tables //列出某個庫的資料表
sqlmap.py –u 【指定url 】 -D 【資料庫名】-T 【資料表名】 –columns //列出資料表的列名
sqlmap.py –u 【指定url 】 -D dvwa -T users-C user,password –dump //把使用者名稱密碼列出來（sqlmap自動破解密碼）
某網站拖庫示例

隨著網際網路的發展，對Web安全的防護的重視是必然趨勢，歡迎大家一起學習交流。