EeSafe安全交流中心

 找回密码
 注册EeSafe

QQ登录

只需一步,快速开始

查看: 1622|回复: 6

SQL注入技术和跨站脚本攻击的检测 [复制链接]

Rank: 1

该用户从未签到

帖子
1
精华
0
积分
46
经验值
38
安全币
0
在线时间
7 小时
发表于 2013-5-18 09:09:48 |显示全部楼层
在这两年中,安全专家应该对网络应用层的攻击更加重视。因为无论你有多强壮的防火墙规则设置或者非常勤于补漏的修补机制,如果你的网络应用程序开发者没有遵循安全代码进行开发,攻击者将通过80端口进入你的系统。广泛被使用的两个主要攻击技术是SQL注入[ref1]和CSS[ref2]攻击。SQL注入是指:通过互联网的输入区域,插入SQL meta-characters(特殊字符 代表一些数据)和指令,操纵执行后端的SQL查询的技术。这些攻击主要针对其他组织的WEB服务器。CSS攻击通过在URL里插入script标签,然后 诱导信任它们的用户点击它们,确保恶意Javascript代码在受害人的机器上运行。这些攻击利用了用户和服务器之间的信任关系,事实上服务器没有对输入、输出进行检测,从而未拒绝javascript代码。

这篇文章讨论SQL注入和CSS攻击漏洞的检测技术。网上已经有很多关于这两种基于WEB攻击的讨论,比如如何实施攻击,他们的影响,怎样更好的编制和设计程序防止这些攻击。 然而, 对如何检测这些攻击并没有足够的讨论。我们采用流行的开源的IDS Snort[ref 3],组建根据检测这些攻击的规则的正则表达式。附带,Snort默认规则设定包含检测CSS的方法,但是这些容易被避开检测。比如大多通过hex进制编码,如%3C%73%63%72%69%70% 74%3E代替<script>避开检测。

依赖level of paranoia组织的能力,我们已经编写了多种检测相同攻击的规则。如果你希望检测各种可能的SQL注入攻击,那么你需要简单的留意任何现行的SQL meta-characters,如单引号,分号和双重破折号。同样的一个极端检测CSS攻击的方法,只要简单地提防HTML标记的角括号。但这样会检测 出很多错误。为了避免这些,这些规则需要修改使它检测更精确些, 当仍然不能避免错误。

在Snort规则中使用pcre(Perl Compatible Regular Expressions)[ref4]关键字,每个规则可以带或不带其他规则动作。这些规则也可以被公用软件如grep(文档搜索工具)使用,来审阅网络服务器日志。 但是,需要警惕的是,用户的输入只有当以GET提交请求时,WEB服务器才会记录日记,如果是以POST提交的请求在日记中是不会记录的。

2. SQL注入的正则表示式

当 你为SQL注入攻击选择正则表示式的时候,重点要记住攻击者可以通过提交表单进行SQL注入,也可以通过Cookie区域。你的输入检测逻辑应该考虑用户 组织的各类型输入(比如表单或Cookie信息)。并且如果你发现许多警告来自一个规则,请留意单引号或者是分号,也许些字符是你的Web应用程序创造的 合法的在CookieS中的输入。因此, 您需要根据你的特殊的WEB应用程序评估每个规则。

依照前面提到,一个琐细的检测SQL射入攻击的正则表达式要留意SQL特殊的meta-characters 譬如单引号(’)双重扩则号(--),为了查出这些字符和他们hex等值数, 以下正则表达式适用:

2.1 检测SQL meta-characters的正则表达式

/(\%27)|(’)|(--)|(\%23)|(#)/ix

解释:

我 们首先检查单引号等值的hex,单引号本身或者双重扩折号。这些是MS SQL Server或Oracle的字符, 表示后边的为评论, 随后的都将被忽略。 另外,如果你使用MySQL,你需要留意 ’#’和它等值的hex的出现。注意我们不需要检查双重破折号等值的hex, 因为这不是HTML meta-character, 浏览器不会进行编码。 并且, 如果攻击者设法手工修改双重破折号为它的hex值%2D(使用代理像Achilles[ref 5]), SQL注入将失败。
加入上述正则表达式的新的Snort规则如下:

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"SQL Injection - Paranoid"; flow:to_server,established;uricontent:".pl";pcre:"/(\%27)|(’)|(--)|(%23)|(#)/i"; classtype:Web-application-attack; sid:9099; rev:5;)

在本篇讨论中, uricontent关键字的值为".pl ", 因为在我们的测试环境里, CGI 程序是用Perl写的。uricontent关键字的值取决于您的特殊应用, 这个值也许是".php ", 或" .asp ", 或" .jsp ", 等。 从这点考虑, 我们不显示对应的Snort 规则, 但是我们会给出创造这些规则的正则表达式。 通过这些正则表达式你可以很简单的创造很多的Snort规则.在前面的正则表达式里, 我们检测双重破折号是因为:即便没有单引号的存在那里也可能是SQL射入点[ref 6]。 例如, SQL查询条目只包含数值,如下:

select value1, value2, num_value3 from database
where num_value3=some_user_supplied_number

这种情况,攻击者可以执行额外的SQL查询, 示范提交如下输入:

3; insert values into some_other_table

最后, pcre的修饰符’ i’ 和’ x ’ 是用于分别匹配大小写和忽略空白处的。 上面的规则也可以另外扩展来检查分号的存在。然而,分号很可以是正常HTTP应答的一部分。为了减少这种错误,也是为了任何正常的单引号和双重扩折号的出现,上面的规则应该被修改成先检测=号的存。用户输入会响应一个GET或POST请求,一般输入提交如下:

username=some_user_supplied_value&password=some_user_supplied_value

因此, SQL 注入尝试将导致用户的输入出现在a = 号或它等效的hex值之后。

2.2 修正检测SQL meta-characters的正则表达式

/((\%3D)|(=))[^ ]*((\%27)|(’)|(--)|(\%3B)|(:))/i

解释:

这个规则首先留意 = 号或它的hex值(%3D),然后考虑零个或多个除换行符以外的任意字符,最后检测单引号,双重破折号或分号。

典型的SQL注入会尝试围绕单引号的用途操作原来的查询,以便得到有用的价值。讨论这个攻击一般使用1’or’1’=’1字符串. 但是, 这个串的侦查很容易被逃避,譬如用1’or2>1 --. 然而唯一恒定的部分是最初的字符的值,跟随一单引号,再加’or’。随后的布尔逻辑可能在一定范围上变化,可以是普通样式也可能是非常复杂的。这些攻击可 以相当精确被侦测,通过以下的正则表达式。2.3章节讲解。

2.3 典型的 SQL 注入攻击的正则表达式

/w*((\%27)|(’))((\%6F)|o|(\%4F))((\%72)|r|(\%52))/ix

解释:
w* - 零个或多个字符或者下划线。
(\%27)|’ - 单引号或它的hex等值。
(\%6 F)|o|(\%4 F))((\%72)|r|-(\%52) -‘or’的大小写以及它的hex等值。

union’SQL 查询在SQL注入各种数据库中攻击中同样是很常见的。如果前面的正则表达式仅仅检测单引号或则其他的SQL meta characters ,会造成很多的错误存在。你应该进一步修改查询,检测单引号和关键字‘union’。这同样可以进一步扩展其他的SQL关键字,像’select’, ’insert’, ’update’, ’delete’, 等等。

2.4 检测SQL注入,UNION查询关键字的正则表达式

/((\%27)|(’))union/ix

(\%27)|(’) - 单引号和它的hex等值
union - union关键字

可以同样为其他SQL查询定制表达式,如 >select, insert, update, delete, drop, 等等.

如果,到这个阶段,攻击者已经发现web应用程序存在SQL注入漏洞,他将尝试利用它。如果他认识到后端服务器式MS SQL server,他一般会尝试运行一些危险的储存和扩展储存过程。这些过程一般以‘sp’或‘xp’字母开头。典型的,他可能尝试运行 ‘xp_cmdshell’扩展储存过程(通过SQL Server执行Windows 命令)。SQL服务器的SA权限有执行这些命令的权限。同样他们可以通过xp_regread, xp_regwrite等储存过程修改注册表。

2.5 检测MS SQL Server SQL注入攻击的正则表达式

/exec(s|+)+(s|x)pw+/ix

解释:
exec - 请求执行储存或扩展储存过程的关键字
(s|+)+ - 一个或多个的空白或它们的http等值编码
(s|x) p- ‘sp’或‘xp’字母用来辨认储存或扩展储存过程
w+ - 一个或多个字符或下划线来匹配过程的名称

3. 跨站脚本(CSS)的正则表达式

当发动CSS攻击或检测一个网站漏洞的时候, 攻击者可能首先使简单的HTML标签如<b>(粗体),<i>(斜体)或<u>(下划线),或者他可能尝试简单的 script标签如<script>alert("OK")</script>. 因为大多数出版物和网络传播的检测网站是否有css漏洞都拿这个作为例子。这些尝试都可以很简单的被检测出来。 然而,高明点的攻击者可能用它的hex值替换整个字符串。这样<script>标签会以%3C%73%63%72%69%70%74%3E出 现。 另一方面,攻击者可能使用web代理服务器像Achilles会自动转换一些特殊字符如<换成%3C、>换成%3E.这样攻击发生时,URL 中通常以hex等值代替角括号。

下列正则表达式将检测任何文本中包含的html的<、>。它将捉住试图使用< b>、<u>、或<script>。这正则表达式应该忽略大小写。我们需要同时检测角括号和它的hex等值(% 3C|<)。检测hex进制转化的整个字符串,我们必须检测用户输入的数字和%号,即使用[a-z0-9%] 。这可能会导致一些错误出现,不是大部分会检测到真实攻击的。

3.1 一般 CSS 攻击的正则表达式

/((\%3C)|<)((\%2F)|/)*[a-z0-9\%]+((\%3E)|>)/ix

解释:
((\%3C)|<) -检查<和它hex等值
((\%2F)|/)*-结束标签/或它的 hex等值
[a-z0-9\%]+ -检查标签里的字母或它hex等值
((\%3E)|>) -检查>或它的hex等值

Snort 规则:
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"NII Cross-site scripting attempt"; flow:to_server,established; pcre:"/((\%3C)|<)((\%2F)|/)*[a-z0-9\%]+((\%3E)|>)/i"; classtype:Web-application-attack; sid:9000; rev:5;)

跨站脚本同样可以使用<img src=>技术。现行默认的snort规则可以被轻易避开。

3.2章节提供了防止这种技术的方法。

3.2 "<img src" CSS 攻击正则表达式

/((\%3C)|<)((\%69)|i|(\%49))((\%6D)|m|(\%4D))((\%67)|g|(\%47))[^ ]+((\%3E)|>)/I

解释:
(\%3 C)|<) -<或它的hex等值
(\%69)|i|(\%49))((\%6D)|m|(\%4D))((\%67)|g|(\%47) -’img’字母或它的大小写hex等值的变化组合
[^ ]+ -除了换行符以外的任何跟随<img的字符
(\%3E)|>) ->或它的hex等值

3.3 CSS 攻击的极端的正则表达式

/((\%3C)|<)[^ ]+((\%3E)|>)/I

解释:

这个规则简单寻找<+除换行符外的任何字符+>。由于你的web服务器和web应用程序的构架,这个规则可能产生一些错误。但它能保证捉住任何CCS或者类似CSS的攻击。

总结:

在 这篇文章中,我们提出了不同种类的正则表达式规则来检测SQL注入和跨站脚本攻击。有些规则简单而极端,一个潜在的攻击都将提高警惕。但这些极端的规则可 能导致一些主动的错误。考虑到这点,我们修改了这些简单的规则,利用了另外的样式,他们可以检查的更准确些。在这些网络应用成的攻击检测中,我们推荐将这 些作为调试你IDS或日志分析方法的起点。再经过几次修改后,在你对正常网交易部分的非恶意应答进行评估以后,你应该可以准备的检测那些攻击了。

使用道具 举报

Rank: 1

该用户从未签到

帖子
5
精华
0
积分
59
经验值
55
安全币
0
在线时间
4 小时
发表于 2013-7-20 14:20:21 |显示全部楼层

With Diamond Ladies Handbag - Hui Cong net

& GT; & GT; & GT; editing the new recommendations of the &middot; the trend of women's fashion &middot; &middot; &middot; &middot;'s sexy underwear; children; Hongkong Xinluo international apparel &middot; Shenzhen City Zi Liang clothing company &middot; Foshan Wang Bang Garment Co. company &middot; Zhongshan Faye Larry J garment &middot; Shantou WanNI Industrial Company Limited &middot; Yu Lan fashion sexy underwear &middot; Foshan Wang Bang Garment Co. Ltd. &middot; Guangdong Jubilee garment company July 10th news,mulberry sale, recently,mulberry bag, UNIQLO (UNIQLO) parent company FASTRETAILING announced in June,mulberry outlet, including online pin...
相关的主题文章:

  

相关的主题文章:

使用道具 举报

Rank: 1

该用户从未签到

帖子
17
精华
0
积分
29
经验值
29
安全币
0
在线时间
0 小时
发表于 2013-10-18 13:56:44 |显示全部楼层
|专|                             |网|
|业|丘丘:908+919+018|上|
|快|                             |可|
|速|请拨:18350095961|查|
|代|                             |代|
|办|   王先生           |考|
|正|                            |消|
|规|                            |分|
|驾|                            |转|
|照|                            |户|

使用道具 举报

Rank: 1

该用户从未签到

帖子
7
精华
0
积分
125
经验值
119
安全币
0
在线时间
6 小时
发表于 2014-9-27 18:44:49 |显示全部楼层

Se inicia con la idiota

camisetas de futbol baratas 2013 el uso de computadoras en el proceso de la limpieza de la caché
Sebaliknya pula Demikian, sangat seseorang yang Telepon melalui Seluler terkesan 'dingin' dan hambar karena penyampaian PESAN yang singkat dan padat, Ternyata dijumpai sebagai orang yang cerewet sangat, ekspresif, dan ramah. Di balik prosas sosialisasi, terjadi prosas individualisasi, alienasi bahkan.
Se inicia con la idiota, pero las voces en mi auricular inevitablemente obtener más enojado ya que la temporada continúa. Me llaman todo tipo de cosas: moron, idiota estúpido pedazo de mierda que nombre,. Como dije antes, los niños son inocentes en esta situación. El uso de algunos tacto sería apreciada..
La guerra de los filósofos es exclusivamente en relación con sus FORMAS DE COMBINACIÓN. El empirista sostiene que estas formas sólo pueden seguir el orden de combinación en la que los elementos se despertaron originalmente por las impresiones del mundo externo; los aprioristas insisten, por el contrario, que algunos modos de combinación, en todo caso, se derivan de la naturaleza de los mismos elementos, y que ninguna cantidad de experiencia puede modificar este resultado..
Ella no sólo monta una fuerte pendiente, pero también tomó un banco del parque limpiar sus fijaciones y puso en marcha su coche en el aire. Creo que la policía debe ser la búsqueda de los arbustos para alguien como yo creo que es muy posible que se produjo un rival en el amor o vecino despreciado sentado allí..
Las cortinas se levantaron en la noche del sábado en el hotel Marriott con el rendimiento Kuchipudi 45 minutos. Deepika se desvió de la norma y se mantiene la luz actuaciones, en un intento de llegar a un público nuevo. Pero si has cometido un error sólo podría mantener pulsada la tecla de retroceso y la máquina podría volver atrás y recordar a todos los personajes que deben eliminarse. También tenía daisywheels intercambiables para diferentes tipos de letra.
He pensado durante muchos años que sería muy interesante que pueda ser capaz de tener una cirugía para permitir que uno para estimular electrónicamente y artificialmente los sentidos. Originalmente, había pensado una buena alternativa a los auriculares en walkmen habría sido simplemente conectar el walkman en una toma implantado quirúrgicamente en la muñeca o algo así, pero en estos días un bluetooth, infrarrojos o IP por interfaz 802.11b podría ser más práctico ..
La tecnología de la tableta es inmensamente atractivo y apropiado para niños pequeños. Proporciona una plataforma ideal para esta época, dijo el Dr. Cuando los precios aumentan considerablemente en los mercados de materias primas, Washington siempre trata de culpar a los especuladores. Los riesgos de la fluctuación de precios de los productos se deben llevar por alguien; De hecho, han sido transmitidas en los tiempos modernos, principalmente por los especuladores profesionales.

使用道具 举报

Rank: 1

该用户从未签到

帖子
24
精华
0
积分
99
经验值
50
安全币
0
在线时间
49 小时
发表于 2015-4-7 09:24:51 |显示全部楼层
强帖终于出现,要顶的啊,谢谢楼主











交友:我是个小女生,21岁,独生子女,还没谈过恋爱,长相较好,反正带出去不会给你丢脸,身高165cm,体重50kg,现在是一家公司的文员。希望找个比我大几岁的男生,不需要你有非常好的条件,但一定要有上进心,会体贴女生,不花心。因为我是第一次恋爱,所以希望找的就是那种能结婚的。如果你是我说的那个他,那就加我微信吧:pndrwx

使用道具 举报

Rank: 1

该用户从未签到

帖子
12
精华
0
积分
74
经验值
46
安全币
0
在线时间
29 小时
发表于 2015-4-23 17:44:55 |显示全部楼层
上门推拿摩数师

使用道具 举报

Rank: 1

该用户从未签到

帖子
3
精华
0
积分
105
经验值
35
安全币
0
在线时间
70 小时
发表于 2017-7-28 11:54:05 |显示全部楼层
顶!!!!!!!

使用道具 举报

您需要登录后才可以回帖 登录 | 注册EeSafe

Archiver|EeSafe网站安全联盟

GMT+8, 2018-2-23 06:54 , Processed in 0.122679 second(s), 14 queries .

Powered by Discuz! X2

© 2001-2011 Comsenz Inc.

回顶部