神刀安全网

User Agent注入攻击及防御

User Agent注入攻击及防御

CloudFlare公司经常会收到客户询问为什么他们的一些请求会被 CloudFlare WAF 屏蔽。最近,一位客户就提出他不能理解为什么一个访问他主页简单的 GET 请求会被 WAF 屏蔽。

下面是被屏蔽的请求:

GET / HTTP/1.1 Host: www.example.com Connection: keep-alive Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8 Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (compatible; MSIE 11.0; Windows NT 6.1; Win64; x64; Trident/5.0)'+(select*from(select(sleep(20)))a)+'  Accept-Encoding: gzip, deflate, sdch Accept-Language: en-US,en;q=0.8,fr;q=0.6 

正如他说的,一个简单的请求访问 WEB 主页,乍看之下好像没什么问题。除非你仔细查看 User-Agent 部分:

Mozilla/5.0 (compatible; MSIE 11.0; Windows NT 6.1; Win64; x64; Trident/5.0)'+(select*from(select(sleep(20)))a)+ 

User-Agent 前半部分看起来挺正常的(好像是微软 IE 11),但是却以字符串 '+(select*from(select(sleep(20)))a)+ 结尾。攻击者试图对 User-Agent 值进行 SQL 注入。

普通的 SQL 注入通常是对 URL 及其参数进行的,但这里攻击者却将 SQL 查询语句 select * from (select(sleep(20))) 隐藏在了 HTTP 头部的 User-Agent 字段之中 。这种技术通常被各种扫描器所使用,例如,sqlmap 的 -p 参数会尝试对 HTTP 请求头部字段进行注入。

延时注入

许多 SQL 注入都是在尝试从网站中提取信息(例如用户名、密码或其他隐私信息)。但这条语句却不太一样,它请求数据库进程等待 20 秒。这种攻击属于 SQL 盲注,一般的 SQL 注入会将查询的结果返回到 WEB 页面中,而盲注的攻击者则看不到查询的输出,所以他们会另辟蹊径使用其他的方式来判断注入。两种常见的方法就是使 WEB 服务器产生错误或者产生延时。如上使用 sleep 会是 WEB 服务器等待 20 秒才进行响应,攻击者可以根据响应是否产生延时来判断是否存在注入漏洞。

示例

为了更好的说明,我使用 PHP 创建了一个不安全的应用,其中会将 User-Agent 保存到 MySQL 数据库中。这类代码可能会存在于真实的应用中用来分析信息,例如统计访问次数。

在这个示例中,我忽略了所有良好安全的编码习惯,因为我想阐述下 SQL 的工作原理。

再次警告:千万不要复制/粘贴以下代码!因为这些代码并不规范。

下面是 PHP 代码:

<?php  $link = new mysqli('localhost', 'insecure', '1ns3cur3p4ssw0rd', 'analytics');  $query = sprintf("INSERT INTO visits (ua, dt) VALUES ('%s', '%s')",        $_SERVER["HTTP_USER_AGENT"],        date("Y-m-d h:i:s"));  $link->query($query);  ?>  <html><head></head><body><b>Thanks for visiting</b></body></html> 

这段代码会连接到本地的 analytics 数据库,并将访客 HTTP 头部的 User-Agent 字段不加过滤的插入到数据库中。

这就是一个 SQL 注入的例子,但是因为我们的代码不会产生任何错误,所以攻击者无法通过报错来得知是否存在注入漏洞,除非他们使用类似 sleep() 之类的方法。

为了验证是否存在注入漏洞,只需要执行如下命令(其中 insecure.php 就是上述示例代码):

curl -A "Mozilla/5.0', (select*from(select(sleep(20)))a)) #" http://example.com/insecure.php 

这样就会将 HTTP 头部的 User-Agent 字段设置为 Mozilla/5.0', (select*from(select(sleep(20)))a)) # 。而我们不安全的 PHP 代码会不加过滤就直接将这些字符串插入查询语句中,此时的查询语句变成了如下样子:

INSERT INTO visits (ua, dt) VALUES ('Mozilla/5.0', (select*from(select(sleep(20)))a)) #', '2016-05-17 03:16:06') 

本来应该插入两个值,但现在只会插入一个值 Mozilla/5.0 并执行 (select*from(select(sleep(20)))a) 语句(这会使数据库休眠 20 秒)。而 # 是注释符,意味着后续的语句被注释并忽略了(就是忽略了插入日期)。

此时的数据库中会出现这样一个条目:

+---------------------+---------------+ | dt                  | ua            | +---------------------+---------------+ | 0                   | Mozilla/5.0   | +---------------------+---------------+ 

请注意,其中日期值为 0 ,这正是 (select*from(select(sleep(20)))a) 语句执行的结果,另外 ua 的值为 Mozilla/5.0 ,而这可能就是攻击者成功执行 SQL 注入后留下的唯一痕迹了。

下面是接收到上述请求后服务器的运行结果,我们使用 time 命令来看看这个过程到底需要多长时间:

$ time curl -v -A "Mozilla/5.0', (select*from(select(sleep(20)))a) #" http://example.com/insecure.php * Connected to example.com port 80 (#0) > GET /insecure.php HTTP/1.1 > Host: example.com > User-Agent: Mozilla/5.0', (select*from(select(sleep(20)))a) # > Accept: */* > < HTTP/1.1 200 OK < Date: Mon, 16 May 2016 10:45:05 GMT < Content-Type: text/html < Transfer-Encoding: chunked < Connection: keep-alive < Server: nginx  <html><head></head><body><b>Thanks for visiting</b></body></html> * Connection #0 to host example.com left intact  real   0m20.614s user   0m0.007s sys    0m0.012s 

看到 20 秒了吗,成功的执行了 SQL 注入。

漏洞利用

看到这,你也许会想“这的确很简单,但是黑客好像并没有攻击我的网站啊”。

但不幸的是,丰富的 SQL 语句使得哪怕是只有 3 行 PHP 代码的 insecure.php ,也可以使得攻击者获得远不只使数据库睡眠 20 秒的效果。虽然攻击者执行的 INSERT INTO 的查询只会向数据库中写入数据,但这样仍然可以让他们提取出敏感信息和获取访问权限。

为了一个演示的例子,我们在数据库中创建了一个名为 user 的表,其中包含两个用户分别名为 rootjohn 。下面来展示攻击者是如何发现存在 john 用户的,他们可以手工构造用户名并根据相应时间来判断是否存在这个用户。

例如:

curl -A "Mozilla/5.0', (select sleep(20) from users where substring(name,1,1)='a')) #" http://example.com/insecure.php 

这个访问会被立即响应,因为数据库中并没有以 a 打头的用户名,但是

curl -A "Mozilla/5.0', (select sleep(20) from users where substring(name,1,1)='j')) #" http://example.com/insecure.php 

这个请求却会花费 20 秒时间。这样在猜出用户名的首字母后,攻击者就可以继续猜测用户名第二个、第三个字母等等,相同的技术还可以用来从数据库中提取其他数据。

如果我们的应用比较复杂,例如是一个博客的评论系统,那么我们可以利用这个漏洞将数据库的一些信息转存到一条评论中,这样我们就可以通过访问网页直接查看到数据库信息了,这种方法通常会在需要提取大量数据时使用。

代码加固

加固代码最好的方式就是像如下这样:

<?php  $link = new mysqli('localhost', 'analytics_user', 'aSecurePassword', 'analytics_db');  $stmt = $link->prepare("INSERT INTO visits (ua, dt) VALUES (?, ?)"); $stmt->bind_param("ss", $_SERVER["HTTP_USER_AGENT"], date("Y-m-d h:i:s")); $stmt->execute();  ?>  <html> <head></head> <body><b>Thanks for visiting</b></body> 

首先将 SQL 查询语句使用 prepare 进行准备,随后使用 bind_param 绑定两个参数( User-Agent 和日期),最后才是使用 execute 执行查询。

bind_param 可以确保一些 SQL 特殊字符会先被进行转义,随后才被执行。现在让我们来看一看在收到跟之前一样的 SQL 注入后数据库中的条目是什么样子的:

+---------------------+----------------------------------------------------+ | dt                  | ua                                                 | +---------------------+----------------------------------------------------+ | 2016-05-17 04:46:02 | Mozilla/5.0',(select*from(select(sleep(20)))a)) #  | +---------------------+----------------------------------------------------+ 

此时,攻击者的 SQL 语句没有被执行而是被简单的存入了数据库当中。

总结

SQL 注入是攻击者最喜欢使用的攻击方式之一,它可能出任何由攻击者掌控输入的 WEB 应用中。最容易想象的就是出现在各种表单或 URL 之中,但即使是 HTTP 请求头部也同样可能出现。所以从安全角度来说,任何由 WEB 浏览器发送给 WEB 应用的数据都应当被假设为是恶意的。

*原文: cloudflare ,FB小编xiaix编译,转自须注明来自FreeBuf黑客与极客(FreeBuf.COM)

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » User Agent注入攻击及防御

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址