安基網 首頁 電腦 電腦學堂 查看內容

Cookie注入是怎樣產生的

2008-4-25 11:46| 投稿: computer


免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!

摘要: 現在很多網站都加了防注入系統代碼,你輸入注入語句將無法注入~~感覺這樣的防注入系統不錯,但防注入系統沒有注意到 Cookies 的問題!所以就有了Cookies注入~~ 我們來研究一下怎樣情況下才會...
現在很多網站都加了防注入系統代碼,你輸入注入語句將無法注入~~感覺這樣的防注入系統不錯,但防注入系統沒有注意到 Cookies 的問題!所以就有了Cookies注入~~ 我們來研究一下怎樣情況下才會有Cookies注入!如果你學過ASP你應該會知道 Request.QueryString (GET) 或 Request.Form (POST)!呵,沒錯,這就是我們用于讀取用戶發給WEB服務器的指定鍵中的值!我們有時為了簡化代碼,會寫成 ID=Request("ID")這樣寫法是簡單了,但問題就來了~~~我們先看WEB服務是怎樣讀取數據的,他是先取GET中的數據,沒有再取POST中的數據,還會去取Cookies中的數據(暈,書上沒有這么說,這是和小高交流時才知道~~看來書說的不全~~) 我們再看看防注入系統,他會檢測GET和POST中的數據,如果有特殊字符(這里當然是注入字符了)!就禁止數據的提交! 但他沒有檢測Cookies的數據!問題就來了~~~那我們怎樣測試是否有Cookies注入問題~ 請先看下面的的連接(示例用,所以連接不是真的) http://www.xxx.com/1.asp?id=123 如果我們只輸 http://www.xxx.com/1.asp 時,就不能看到正常的數據,因為沒有參數!我們想知道有沒有Cookies問題(也就是有沒有Request("XXX")格式問題),先用IE輸入 http://www.xxx.com/1.asp加載網頁,顯示不正常(沒有輸參數的原因)之后在IE輸入框再輸入javascript:alert(document.cookie="id="+escape("123"));按回車,你會看到彈出一個對話框 內容是: id=123 之后,你刷新一個網頁,如果正常顯示,表示是用Request("ID") 這樣的格式收集數據~~~~,這種格式就可以試Cookies注入了 在輸入框中輸入javascript:alert(document.cookie="id="+escape("123 and 3=3"));刷新頁面,如果顯示正常,可以再試下一步(如果不正常,就有可能也有過濾了) javascript:alert(document.cookie="id="+escape("123 and 3=4"));刷新一下頁面如果不正常顯示,這就表示有注入了~~~ 如果程序員是用 Request.QueryString或 Request.Form收集數據的話,是無法利用Cookies繞過防注入系統進行注入的,因為服務程序是直截從GET或POST中讀取數據的,Cookies是否有數據,WEB服務器是不理的,所以就無法利用了!~ 為了方便不懂的朋友了解javascript:alert(document.cookie="id="+escape("123"));的意思,我說明一下document.cookie="id="+escape("123")  就是把 123 保存到Cookies 的 ID 中alert(xxx) 就是彈對話框 后話 Cookie注入已不算是什么新技術,但還算是很管用的方法,或者有一天,防注入系統會加入Cookies注入檢測!  

小編推薦:欲學習電腦技術、系統維護、網絡管理、編程開發和安全攻防等高端IT技術,請 點擊這里 注冊賬號,公開課頻道價值萬元IT培訓教程免費學,讓您少走彎路、事半功倍,好工作升職加薪!



免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!


鮮花

握手

雷人

路過

雞蛋

相關閱讀

最新評論

 最新
返回頂部
创业如何赚钱 今天上海快三开奖查询结果 快乐十分开奖结果 双色球彩计划下载安装 青海11选五5预测 江西快三预测软件 快乐赛车揭秘 四川7乐彩开奖结果 广东快乐10分时时彩 同花顺股票软件下载 彩票双面盘高倍率网址有哪些 深圳风采开奖软件 排列三金码号今天晚上 炒股开户最低多少钱 黑龙江福彩36选7开奖走势图 黑龙江省福彩p62玩法开奖号 股票涨跌的本质