【文章內(nèi)容簡介】 主要有SQL注入和XSS跨站攻擊等。1 SQL注入SQL注入（SQL injection）是發(fā)生在Web應(yīng)用程序和后臺數(shù)據(jù)庫之間的一種安全漏洞攻擊，它的基本原理是：攻擊者精心構(gòu)建一個包含了SQL指令的輸入數(shù)據(jù)，然后作為參數(shù)傳遞給應(yīng)用程序，在應(yīng)用程序沒有對輸入數(shù)據(jù)做足夠的檢查的情況下，數(shù)據(jù)庫服務(wù)器就會被欺騙，將本來只能作為普通數(shù)據(jù)的輸入當(dāng)成了SQL指令并執(zhí)行。數(shù)據(jù)庫是動態(tài)網(wǎng)站的核心，包含了很多網(wǎng)站相關(guān)的敏感數(shù)據(jù)，例如管理員的賬號和密碼等，所以一旦數(shù)據(jù)庫的信息被SQL注入非法查詢，這些敏感信息就會被泄露，導(dǎo)致嚴(yán)重后果。此外，SQL注入還可能被用于網(wǎng)頁篡改、網(wǎng)頁掛馬，更為嚴(yán)重的是，有些數(shù)據(jù)庫管理系統(tǒng)支持SQL指令調(diào)用一些操作系統(tǒng)功能模塊，一旦被SQL注入攻擊甚至存在服務(wù)器被遠(yuǎn)程控制安裝后門的風(fēng)險。2 XSS跨站攻擊簡單地說，XSS也是由于Web應(yīng)用程序?qū)τ脩舻妮斎脒^濾不嚴(yán)而產(chǎn)生，攻擊者利用XSS漏洞可以將惡意的腳本代碼（主要包括html代碼和JavaScript腳本）注入到網(wǎng)頁中，當(dāng)其他用戶瀏覽這些網(wǎng)頁時，就會觸發(fā)其中的惡意腳本代碼，對受害者進行諸如Cookie信息竊取、會話劫持、網(wǎng)絡(luò)釣魚等各種攻擊。與主動攻擊Web服務(wù)器端的SQL注入攻擊不同，XSS攻擊發(fā)生在瀏覽器客戶端，對服務(wù)器一般沒有直接危害，而且總體上屬于等待對方上鉤的被動攻擊，因此XSS這種安全漏洞雖很早就被發(fā)現(xiàn)，其危害性卻曾經(jīng)受到普遍忽視，但隨著網(wǎng)絡(luò)攻擊者挖掘出了原來越多的XSS漏洞利用方式，、Ajax等技術(shù)的普及，使得黑客有了更多機會發(fā)動XSS攻擊，導(dǎo)致近年來XSS攻擊的安全事件層出不窮，對XSS攻防方面研究的重視程度明顯提高。當(dāng)然，Web網(wǎng)站面臨的安全威脅還有很多，并且隨著網(wǎng)絡(luò)技術(shù)和網(wǎng)絡(luò)業(yè)務(wù)的發(fā)展而不斷更新，例如CSRF跨站請求偽造、界面操作劫持等。 Web滲透測試概述由于各種安全漏洞，因特網(wǎng)上的Web網(wǎng)站面臨黑客攻擊的風(fēng)險，因此必須采取措施進行防護工作。傳統(tǒng)防火墻因為必須放行Web服務(wù)的端口（一般是80端口），所以對SQL注入、XSS跨站攻擊之類入侵手段沒有防護效果，現(xiàn)在也出現(xiàn)了一些專門用于保護Web網(wǎng)站的安全設(shè)備，例如WAF防火墻、安全狗等，但這些設(shè)備并不是萬能的，往往容易被高水平的入侵者繞過。最有效的措施還是進行Web滲透測試。滲透測試時安全模擬黑客可能使用的攻擊技術(shù)和漏洞發(fā)現(xiàn)技術(shù)，對目標(biāo)系統(tǒng)的安全做深入的探測，發(fā)現(xiàn)系統(tǒng)最脆弱的環(huán)節(jié)。滲透測試能夠直觀的讓管理人員知道自己網(wǎng)絡(luò)所面臨的問題。Web滲透測試主要是對Web應(yīng)用程序和相應(yīng)的軟硬件設(shè)備配置的安全性進行測試。進行Web滲透測試的安全人員必須遵循一定的滲透測試準(zhǔn)則，不能對被測系統(tǒng)進行破壞活動。Web安全滲透測試一般是經(jīng)過客戶授權(quán)的，采取可控制、非控制性質(zhì)的方法和手段發(fā)現(xiàn)目標(biāo)服務(wù)器、Web應(yīng)用程序和網(wǎng)絡(luò)配置中存在的弱點。通過Web滲透測試后，即可有針對性地對Web網(wǎng)站上的安全漏洞進行修補，最大程度地加固系統(tǒng)，確保安全。第二章 Web滲透測試方案設(shè)計 滲透測試網(wǎng)站創(chuàng)建為了研究Web滲透測試技術(shù)，我們需要一個測試用的Web網(wǎng)站，由于法律的限制，我們不能直接去攻擊互聯(lián)網(wǎng)上的Web網(wǎng)站，所以需要自己創(chuàng)建一個實驗測試用Web網(wǎng)站，這樣不但合法，而且還有利于測試完成后做修補加固和代碼審核工作。測試Web網(wǎng)站可以創(chuàng)建在本地，也可以創(chuàng)建到自己購買的虛擬空間或云主機上，為了方便起見，這里選擇在云平臺上的一臺Windows 2003虛擬機系統(tǒng)上創(chuàng)建Web網(wǎng)站。ASP、PHP和JSP網(wǎng)站需要不同的環(huán)境，包括選用Apache、IIS、Nginx或者Weblogic中哪個Web服務(wù)器，數(shù)據(jù)庫也有Access、Microsoft SQL Server、MySQL以及Oracle等多種選擇。至于網(wǎng)站的源代碼，可以自己開發(fā)，但一般更常見是到互聯(lián)網(wǎng)上去搜尋開源的Web項目下載，例如中國站長網(wǎng)等，可以根據(jù)需求自己對網(wǎng)站源代碼進行適當(dāng)?shù)牟眉粜薷?，也更好達到滲透測試目的。如圖21所示，這里選用了IIS+ASP方案創(chuàng)建了一個測試用Web網(wǎng)站。圖21 創(chuàng)建Web網(wǎng)站 滲透測試工具選擇對Web網(wǎng)站進行滲透測試的工作是在一臺能訪問Web網(wǎng)站的攻擊機上實施的，這些測試工作有些可以直接用手工操作，不過如果有適當(dāng)?shù)墓ぞ邘椭?，往往可以大幅度地提高滲透測試的成功率和效率，因此選擇一套滲透測試用的工具軟件是必備的工作，這些工具一般包括端口掃描器、網(wǎng)站目錄掃描器、網(wǎng)站后臺掃描器、網(wǎng)站漏洞掃描器、SQL注入工具、XSS利用工具、轉(zhuǎn)碼工具、加解密工具等等。如圖22所示，在本地攻擊機上安