I'n Blog 之萬象真藏

引言
　　隨著B/S模式應用開發的發展，使用這種模式編寫應用程序的程序員也越來越多。但是由於這個行業的入門門檻不高，程序員的水平及經驗也參差不齊，相當大一部分程序員在編寫代碼的時候，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。用戶可以提交一段數據庫查詢代碼，根據程序返回的結果，獲得某些他想得知的數據，這就是所謂的SQL Injection，即SQL注入。
　　SQL注入是從正常的WWW端口訪問，而且表面看起來跟一般的Web頁面訪問沒什麼區別，所以目前市面的防火牆都不會對SQL注入發出警報，如果管理員沒查看IIS日誌的習慣，可能被入侵很長時間都不會發覺。
　　但是，SQL注入的手法相當靈活，在注入的時候會碰到很多意外的情況。能不能根據具體情況進行分析，構造巧妙的SQL語句，從而成功獲取想要的數據，是高手與「菜鳥」的根本區別。
　　根據國情，國內的網站用ASP+Access或SQLServer的佔70%以上，PHP+MySQ佔L20%，其他的不足10%。在本文，我們從分入門、進階至高級講解一下ASP注入的方法及技巧，PHP注入的文章由NB聯盟的另一位朋友zwell撰寫，希望對安全工作者和程序員都有用處。瞭解 ASP注入的朋友也請不要跳過入門篇，因為部分人對注入的基本判斷方法還存在誤區。大家準備好了嗎？Let's Go...

    [ 目錄 ]
0x00  純屬扯淡
0x01  WML與WMLScript
0x02  WML注入攻擊
0x03  WML注入可以做什麼

發佈時間：2008.07.03 06:40     來源：賽迪網    作者：majusaka
路由器是實現內網與外網互聯的重要設備，根據網絡複雜程度可設置靜態路由和動態路由。對於簡單的網絡設置靜態路由可方便於管理，但路由列表設置不當會引發一些網絡互聯故障。
近日，我部門(下稱部門A)中有人反映不能訪問上級部門(部門B)的網絡。我從該人所用的計算機A1(IP地址為 10.20.12.11/24)上用ping命令向部門B網絡中的計算機B1(IP地址為10.20.30.110/24)和B2(IP地址為 10.20.30.111/24)發送測試數據包，丟包率達100%，ping本部門的其它計算機則顯示連接正常。檢查其計算機IP設置，發現網關設置正確(正確網關為10.20.12.1)，於是懷疑路由器不能正常工作。回來我自己辦公室，用本辦公室計算機A2、A3測試，發現以下奇怪現象:
(1) 在計算機A2(IP為10.20.12.12/24)上用ping命令分別ping部門B網絡中計算機B1和B2，發現B1有正常回應，B2的回應率在 20%~50%之間;在計算機A3(IP為10.20.12.13/24)中用ping命令分別ping計算機B1和B2，回應顯示連接正常，丟包率為 0。
(2) 將計算機A3的IP地址改為10.20.12.12/24後測試，ping得的結果同(1)中的計算機A2測試情況。

發佈時間：2008.06.26 07:15     來源：賽迪網    作者：kaduo
【賽迪網-IT技術報導】隨著 SQL INJECTION 攻擊的明顯增多，微軟近日發佈了三個免費工具，幫助網站管理員和檢測存在的風險並對可能的攻擊進行攔截。
Scrawlr
下載地址：https://download.spidynamics.com/Products/scrawlr/
這個微軟和 HP合作開發的工具，會在網站中爬行，對所有網頁的查詢字符串進行分析並發現其中的 SQL INJECTION 風險。Scrawlr 使用了部分 HP WebInspect 相同的技術，但只檢測 SQL INJECTION 風險。Scrawlr 從一個起始 URL 入口，爬遍整個網站，並對站點中所有網頁進行分析以找到可能存在的漏洞。

緩衝區溢出好比是將十磅的糖放進一個只能裝五磅的容器裡……
　堆棧溢出（又稱緩衝區溢出）攻擊是最常用的黑客技術之一。我們知道，UNIX本身以及其上的許多應用程序都是用C語言編寫的，C語言不檢查緩衝區的邊界。在某些情況下，如果用戶輸入的數據長度超過應用程序給定的緩衝區，就會覆蓋其他數據區。這稱作「堆棧溢出或緩衝溢出」。
　一般情況下，覆蓋其他數據區的數據是沒有意義的，最多造成應用程序錯誤。但是，如果輸入的數據是經過「黑客」精心設計的，覆蓋堆棧的數據恰恰是黑客的入侵程序代碼，黑客就獲取了程序的控制權。如果該程序恰好是以root運行的，黑客就獲得了root權限，然後他就可以編譯黑客程序、留下入侵後門等，實施進一步地攻擊。按照這種原理進行的黑客入侵就叫做「堆棧溢出攻擊」。
　　為了便於理解，我們不妨打個比方。緩衝區溢出好比是將十磅的糖放進一個只能裝五磅的容器裡。一旦該容器放滿了，餘下的部分就溢出在櫃檯和地板上，弄得一團糟。由於計算機程序的編寫者寫了一些編碼，但是這些編碼沒有對目的區域或緩衝區——五磅的容器——做適當的檢查，看它們是否夠大，能否完全裝入新的內容——十磅的糖，結果可能造成緩衝區溢出的產生。如果打算被放進新地方的數據不適合，溢得到處都是，該數據也會製造很多麻煩。但是，如果緩衝區僅僅溢出，這只是一個問題。到此時為止，它還沒有破壞性。當糖溢出時，櫃檯被蓋住。可以把糖擦掉或用吸塵器吸走，還櫃檯本來面貌。與之相對的是，當緩衝區溢出時，過剩的信息覆蓋的是計算機內存中以前的內容。除非這些被覆蓋的內容被保存或能夠恢復，否則就會永遠丟失。
　　在丟失的信息裡有能夠被程序調用的子程序的列表信息，直到緩衝區溢出發生。另外，給那些子程序的信息——參數——也丟失了。這意味著程序不能得到足夠的信息從子程序返回，以完成它的任務。就像一個人步行穿過沙漠。如果他依賴於他的足跡走回頭路，當沙暴來襲抹去了這些痕跡時，他將迷失在沙漠中。這個問題比程序僅僅迷失方向嚴重多了。入侵者用精心編寫的入侵代碼（一種惡意程序）使緩衝區溢出，然後告訴程序依據預設的方法處理緩衝區，並且執行。此時的程序已經完全被入侵者操縱了。

常見的木馬所有隱藏啟動方式木馬的最大的特點之一就是它一定是要和系統一起啟動而啟動，否則它就完全失去了意義!!!
　　方法一：註冊表啟動項:這個大家可能比較熟悉，請大家注意以下的註冊表鍵值：
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce  
　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows 

Published: 2008-06-09,
Last Updated: 2008-06-09 22:21:51 UTC
by Scott Fendley (Version: 1)
Last month, it was announced that there was a significant issue involving the Psuedo Random Number Generator (PRNG) on Linux distributions derived from Debian or Ubuntu.  This issue caused the keys used for secure transmissions via SSL or SSH (and other applications) to be very predictable.   If you missed out on these diary entries please see the below URLs.
One of our readers contacted the handler on duty to see if we had seen any reports since then of active attacks concerning this attack vector.  The standard SSH port (22/tcp) has been at normal levels for the past several weeks with one exception (on May 27-28) per the data at Dshield.

發佈時間：2008.06.06 05:07     來源：賽迪網    作者：BO
【賽迪網-IT技術報導】隨著計算機及網絡應用的擴展，電腦信息安全所面臨的危險和已造成的損失也在成倍地增長，特別是各種黑客的增多，一些個人用戶也時常遭到不同手段的攻擊，這不得不引起我們的重視。　　對於個人用戶來說，除了病毒和木馬，網頁中的隱形代碼也開始嚴重地威脅著我們的安全，但大多數人卻缺乏自我保護意識，對隱形代碼的危害認識不夠，甚至在自己不知情的情況下被別人竊取了重要資料。因為隱形代碼具有比較大的隱蔽性，到目前為止，還沒有什麼病毒防火牆能很好地阻止隱形代碼的攻擊，大多數甚至根本就不能發現。所以我們更應該高度警惕網頁代碼中的隱形殺手。一般來說網頁代碼中的「隱形殺手」大致分為以下幾類：
隱形殺手1 佔用CPU
通過不斷地消耗本機的系統資源，最終導致CPU佔用率高達100%，使計算機不能再處理其他用戶的進程。
「隱形殺手1」代碼的典型惡作劇是通過JavaScript產生一個死循環。這類代碼可以是在有惡意的網站中出現，也可以以郵件附件的形式發給你。現在大多數的郵件客戶端程序都可以自動調用瀏覽器來打開HTM/HTML類型的文件。這樣只要你一打開附件，屏幕上就會出現無數個新開的瀏覽器窗口。最後讓你不得不重新啟動計算機。

Published: 2008-06-07,
Last Updated: 2008-06-07 01:04:58 UTC
by Jim Clausing (Version: 1)
On 28 May, I posted a story asking for your input.  Last weekend got busy, so I didn't post the results, but since I had another shift coming up, I figured I'd do it now.  I got quite a few responses (my apologies for the length of this diary), but many of them made good points, so I'm going to share them here mostly unedited.  So, without further ado....
 

原始路徑: http://tw.youtube.com/watch?v=so9Vj0DXtck