網站安全(20) —— 語義URL攻擊

好奇心是不少攻擊者的主要動機，語義URL 攻擊就是一個很好的例子。此類攻擊主要包括對URL 進行編輯以期發現一些有趣的事情。
-
什麼是語義URL 攻擊？
 
好奇心是不少攻擊者的主要動機，語義URL 攻擊就是一個很好的例子。此類攻擊主要包括對URL 進行編輯以期發現一些有趣的事情。
 
例如，若是用戶chris 點擊了你的軟件中的一個連接併到達了頁面http://www.2cto.com /private.php?user=chris, 很天然地他可能會試圖改變user的值，看看會發生什麼。例如，他可能訪問http://www.2cto.com /private.php?user=rasmus 來看一下他是否能看到其餘人的信息。雖然對GET 數據的操縱只是比對POST 數據稍爲方便，但它的暴露性決定了它更爲頻繁的受攻擊，特別是對於攻擊的新手而言。
 
大多數的漏洞是因爲疏漏而產生的，而不是特別複雜的緣由引發的。雖然不少有經驗的程序員能輕易地意識到上面所述的對URL 的信任所帶來的危險，可是經常要到別人指出才恍然大悟。
 
爲了更好地演示語義URL 攻擊及漏洞是如何被疏忽的，以一個Webmail 系統爲例，該系統主要功能是用戶登陸察看他們本身的郵件。
 
任何基於用戶登陸的系統都須要一個密碼找回機制。一般的方法是詢問一個攻擊者不可能知道的問題（如你的計算機的品牌等，但若是能讓用戶本身指定問題和答案更佳），若是問題回答正確，則把新的密碼發送到註冊時指定的郵件地址。
 
對於一個Webmail 系統，可能不會在註冊時指定郵件地址，所以正確回答問題的用戶會被提示提供一個郵件地址（在向該郵件地址發送新密碼的同時，也能夠收集備用郵件地址信息）。下面的表單即用於詢問一個新的郵件地址，同時他的賬戶名稱存在表單的一個隱藏字段中：
複製代碼 代碼以下:
<input type="hidden" name="user" value="chris" />
<p>Please specify the email address where you want your new password sent:
 
<input type="text" name="email" />
 
<input type="submit" value="Send Password" />
</form>
 
能夠看出，接收腳本reset.php 會獲得全部信息，包括重置哪一個賬號的密碼、並給出將新密碼發送到哪個郵件地址。
 
若是一個用戶能看到上面的表單（在回答正確問題後），你有理由認爲他是chris 賬號的合法擁有者。若是他提供了 做爲備用郵件地址，在提交後他將進入下面的URL：
 
http://www.2cto.com /reset.php?user=chris&email=chris%40www.2cto.com
 
該URL 出如今瀏覽器欄中，因此任何一位進行到這一步的用戶都可以方便地看出其中的user和mail 變量的做用。當意思到這一點後，這位用戶就想到 是一個很是酷的地址，因而他就會訪問下面連接進行嘗試：
 
http://www.2cto.com /reset.php?user=php&email=chris%40www.2cto.com
 
若是reset.php 信任了用戶提供的這些信息，這就是一個語義URL 攻擊漏洞。在此狀況下，系統將會爲php 賬號產生一個新密碼併發送至，這樣chris 成功地竊取了php 賬號。
 
若是使用session 跟蹤，能夠很方便地避免上述狀況的發生：
複製代碼 代碼以下:
<?php
session_start();
$clean = array();
$email_pattern = '/^[^@\s<&>]+@([-a-z0-9]+\.)+[a-z]{2,}$/i';
if (preg_match($email_pattern, $_POST['email']))
{
$clean['email'] = $_POST['email'];
$user = $_SESSION['user'];
$new_password = md5(uniqid(rand(), TRUE));
if ($_SESSION['verified'])
{
/* Update Password */
mail($clean['email'], 'Your New Password', $new_password);
}
}
?>
 
儘管上例省略了一些細節（如更詳細的email 信息或一個合理的密碼），但它示範了對用戶提供的賬戶不加以信任，同時更重要的是使用session 變量爲保存用戶是否正確回答了問題($_SESSION['verified'])，以及正確回答問題的用戶($_SESSION['user'])。正是這種不信任的作法是防止你的應用產生漏洞的關鍵。
 
其實，只要記住如下的原則就好了 -- 不要相信任何用戶的輸入