数学建模社区-数学中国

标题: URL编码与SQL注射 [打印本页]
作者: 韩冰    时间: 2004-11-22 23:43
标题: URL编码与SQL注射
<>说到url编码，你或许会想起N年前的url编码漏洞。可惜我是"生不逢时"啊，我接触网络时，那个漏洞早就绝迹咯。0 ~4 M# z( E9 Y
+ k8 p1 b) t% U1 D& S9 w$ i
言归正传，URL 编码是什么东东呢？看看我从网上抄的定义：2 i: r1 @4 }; y+ k; G/ q

7 I) M# N! m$ A' N! C$ z  q引用: </P>
& K5 V% z) l  _. e, X& U" g1 _url编码是一种浏览器用来打包表单输入的格式。浏览器从表单中获取所有的name和其中的值 ，将它们以name/value参数编码（移去那些不能传送的字符, 将数据排行等等）作为URL的一部分或者分离地发给服务器。不管哪种情况, 在服务器端的表单输入格式样子象这样: + Q1 T; e4 ^$ O! k8 C

4 X' u. Y. C9 G7 S1 G! M& {8 F  |theName=Ichabod+Crane&amp;gender=male&amp;status=missing&amp;headless=yes
- C0 ?3 y0 x6 t. A- B6 V* x0 i2 F' T
& w! k2 M9 z( F  B8 tURL编码遵循下列规则: 每对name/value由&amp;符分开；每对来自表单的name/value由=符分开。如果用户没有输入值给这个name，那么这个name还是出现，只是无值。任何特殊的字符（就是那些不是简单的七位ASCII，如汉字）将以百分符%用十六进制编码，当然也包括象 =, &amp;, 和 % 这些特殊的字符。) s) \3 Z% w+ T+ k% @
" V7 N7 V# E  f% s% r9 {
呵呵，明白了吧，其实url编码就是一个字符ascii码的十六进制。不过稍微有些变动，需要在前面加上"%"。比如"\"，它的ascii码是92，92的十六进制是5c，所以"\"的url编码就是%5c。那么汉字的url编码呢？很简单，看例子："胡"的ascii码是-17670，十六进制是BAFA，url编码是"%BA%FA"。呵呵，知道怎么转换的了吧。- _0 c0 d9 V! i" F+ O+ |3 |

; q+ x# \2 m& `; z3 iURL编码平时我们是用不到的，因为IE会自动将你输入到地址栏的非数字字母转换为url编码。所以对于浏览器来说http://blog.csdn.net/l%61ke2与http://blog.csdn.net/lake2是等效的（注意，第一个url我用%61替换了a）。呵呵，或许你已经想起了，有人提出数据库名字里带上"#"以防止被下载，因为IE遇到#就会忽略后面的字母。破解方法很简单——用url编码%23替换掉#。我本来企图利用url编码来躲过注射检查的，不过失败了，因为服务器端会将url编码转换成字符的。
8 `' [6 x6 e4 Q: Z- x4 J3 v- U% v0 v8 ]) K
等等，好像跑题了啊，呵呵，不好意思：）$ p, b9 {" c5 e% i
9 l: d3 O# \, y
现在SQL注射非常流行，所以就有人写了一些防注射的脚本。当然啦，思路不一样，效果大不同。各位看官请看下面的××SQL通用防注入asp版部分代码。, ^0 p) Q# U: G0 \2 B

4 k" _1 u9 Z0 H3 f- p' b- tFy_Url=Request.ServerVariables("QUERY_STRING")) i! h* m+ o. L- \% j9 f/ ?2 @- {
Fy_a=split(Fy_Url,"&amp;")
% [9 X# k; C% j% s- {; bredim Fy_Cs(ubound(Fy_a))6 C' D% c) e- z: a
On Error Resume Next
4 e, q* i: l' v" l/ i$ R& pfor Fy_x=0 to ubound(Fy_a)+ I6 t$ S5 }9 _: `
Fy_Cs(Fy_x) = left(Fy_a(Fy_x),instr(Fy_a(Fy_x),"=")-1)8 W, u' f/ c4 @8 @
Next
  N) |/ z  }  l9 }# `/ ~* H0 FFor Fy_x=0 to ubound(Fy_Cs)$ o" _7 U2 k- `2 F0 r5 l4 Y/ a0 a
If Fy_Cs(Fy_x)&lt;&gt;"" Then
1 P% F, m8 _; _If Instr(LCase(Request(Fy_Cs(Fy_x))),"and")&lt;&gt;0 then
. G2 e, ?* z6 Q" Y  F5 Z  c" d' U# C) ^Response.Write "出现错误！"
' H1 K, i# L# M) t( H5 ^Response.End- K  J! T4 r0 U6 |
End If
7 ~- |+ ?6 u; a4 L1 AEnd If. ~4 ~; M0 x& _: s/ s+ r* L. [
Next
! `: {8 \9 |) N4 y1 d* z
9 U/ z2 L- a. v3 ^& A
7 X/ i2 a& Z) I- X它的思路就是先获得提交的数据，以"&amp;"为分界获得并处理name/value组，然后判断value里是否含有定义的关键字（这里为求简便，我只留下了"and"），有之，则为注射。
1 u7 q* n+ U0 }) M# Y. r2 Z" {1 l% k
乍一看去，value被检查了，似乎没有问题。呵呵，是的，value不会有问题，可是，name呢？, l8 f% T% r+ ^0 N

  R) W+ u7 {8 A$ L- j8 @2 c& C. S! C它的name/value组值来自于Request.ServerVariables("QUERY_STRING")，呵呵，不好意思，这里出问题了。Request.ServerVariables("QUERY_STRING")是得到客户端提交的字符串，这里并不会自动转换url编码，哈哈，如果我们把name进行url编码再提交的话，呵呵，那就可以绕过检查了。比如参数是ph4nt0m=lake2 and lis0，此时程序能够检测到；如果提交%50h4nt0m=lake2 and lis0（对p进行url编码），程序就会去判断%50h4nt0m的值，而%50h4nt0m会被转换为ph4nt0m，所以%50h4nt0m值为空，于是就绕过了检测。* H4 J9 [, V. ^" M+ w8 g

; q! v; e% {* v2 j等等，为什么既然name不解码可以绕过检查而value就不能绕过呢？因为value的值取自Request(Fy_Cs(Fy_x))，这个服务器就会解码的。* D1 E" m1 \' b, w  D5 q
1 T* F# r& k" J0 X0 m
程序怎么改进呢？只要能够得到客户端提交的数据是解码后的就可以了，把得到name的语句改为For Each SubmitName In Request.QueryString就可以了。
8 n4 I, B4 D+ b" v1 e4 y% x# D) o7 j$ W, y5 J! @
呵呵，谢谢阁下耐着性子看完我的文章^_^



欢迎光临 数学建模社区-数学中国 (http://www.madio.net/) Powered by Discuz! X2.5