1.概述
在這兩年中，安全專家應該對網路應用層的攻擊更加重視。因為無論你有多強壯的防火牆規則設定或非常勤於補漏的修補機制，如果你的網頁應用程式開發者沒有遵循安全程式碼進行開發，攻擊者將透過80埠進入你的系統。廣泛被使用的兩個主要攻擊技術是SQL注入[ref1]和CSS[ref2]攻擊。 SQL注入是指：透過網際網路的輸入區域，插入SQL meta-characters（特殊字元代表一些資料）和指令，操縱執行後端的SQL查詢的技術。這些攻擊主要針對其他組織的WEB伺服器。 CSS攻擊透過在URL裡插入script標籤，然後誘導信任它們的使用者點擊它們，確保惡意Javascript程式碼在受害者的機器上運作。這些攻擊利用了使用者和伺服器之間的信任關係，事實上伺服器並沒有對輸入、輸出進行偵測，因此未拒絕javascript程式碼。
這篇文章討論SQL注入和CSS攻擊漏洞的偵測技術。網路上已經有很多關於這兩種基於WEB攻擊的討論，例如如何實施攻擊，他們的影響，怎樣更好的編制和設計程式防止這些攻擊。 然而, 對如何檢測這些攻擊並沒有足夠的討論。我們採用流行的開源的IDS Snort[ref 3],組成根據檢測這些攻擊的規則的正規表示式。附帶，Snort預設規則設定包含偵測CSS的方法，但是這些容易被避開偵測。例如大多透過hex進位編碼,如%3C%73%63%72%69%70% 74%3E取代<script>避開偵測。
依賴level of paranoia組織的能力，我們已經編寫了多種檢測相同攻擊的規則。如果你希望偵測各種可能的SQL注入攻擊，那麼你需要簡單的留意任何現行的SQL meta-characters，如單引號，分號和雙重破折號。同樣的一個極端檢測CSS攻擊的方法，只要簡單地提防HTML標記的角括號。但這樣會檢測出很多錯誤。為了避免這些，這些規則需要修改使它檢測更精確些, 當仍然不能避免錯誤。
在Snort規則中使用pcre(Perl Compatible Regular Expressions)[ref4]關鍵字，每個規則可以帶或不帶其他規則動作。這些規則也可以被公用軟體如grep(文檔搜尋工具)使用，來審閱網頁伺服器日誌。 但是,需要警惕的是，用戶的輸入只有當以GET提交請求時，WEB伺服器才會記錄日記,如果是以POST提交的請求在日記中是不會記錄的。
2. SQL注入的正規表示式
當你為SQL注入攻擊選擇正規表示式的時候，重點要記住攻擊者可以透過提交表單進行SQL注入，也可以透過Cookie區域。你的輸入偵測邏輯應該考慮使用者組織的各類型輸入(例如表單或Cookie資訊)。而且如果你發現許多警告來自一個規則，請留意單引號或者是分號，也許些字符是你的Web應用程序創造的合法的在CookieS中的輸入。因此, 您需要根據您的特殊的WEB應用程式評估每個規則。
依前面提到，一個瑣細的偵測SQL射入攻擊的正規表示式要留意SQL特殊的meta-characters 譬如單引號(')雙重擴則號(--),為了查出這些字元和他們hex等值數, 下列正規表示式適用:
2.1 檢測SQL meta-characters的正規表示式
/(%27)|(')|(--)|(%23)|(#)/ix
解釋:
我們先檢查單引號等值的hex，單引號本身或雙重擴折號。這些是MS SQL Server或Oracle的字元, 表示後邊的為評論, 隨後的都將被忽略。 另外，如果你使用MySQL,你需要留意'#'和它等值的hex的出現。注意我們不需要檢查雙重破折號等值的hex, 因為這不是HTML meta-character, 瀏覽器不會進行編碼。 並且, 如果攻擊者設法手工修改雙重破折號為它的hex值%2D(使用代理像Achilles[ref 5]), SQL注入將失敗。
加入上述正規表示式的新的Snort規則如下:
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"SQL Injection - Paranoid"; flow:to_server,established;uricontent:".pl";pcre:"/ (%27)|(')|(--)|(%23)|(#)/i"; classtype:Web-application-attack; sid:9099; rev:5;)
在本篇討論中, uricontent關鍵字的值為".pl ", 因為在我們的測試環境裡, CGI 程式是用Perl寫的。 uricontent關鍵字的值取決於您的特殊應用程式, 這個值也許是".php ", 或" .asp ", 或" .jsp ", 等等。 從這點考慮, 我們不顯示對應的Snort 規則, 但是我們會給出創造這些規則的正則表達式。 透過這些正規表示式你可以很簡單的創造很多的Snort規則.在前面的正則表達式裡, 我們檢測雙重破折號是因為：即便沒有單引號的存在那裡也可能是SQL射入點[ref 6]。 例如, SQL查詢條目只包含數值，如下:
select value1, value2, num_value3 from database
where num_value3=some_user_supplied_number
這種情況，攻擊者可以執行額外的SQL查詢, 示範提交如下輸入:
3; insert values into some_other_table
最後, pcre的修飾符' i' 和' x ' 是用於分別匹配大小寫和忽略空白處的。 上面的規則也可以另外擴充來檢查分號的存在。然而，分號很可以是正常HTTP應答的一部分。為了減少這種錯誤，也是為了任何正常的單引號和雙重擴折號的出現，上面的規則應該被修改成先檢測＝號的存。使用者輸入會回應一個GET或POST請求，一般輸入提交如下：
username=some_user_supplied_value&password=some_user_supplied_value
因此, SQL 注入嘗試將導致使用者的輸入出現在a = 號或它等效的hex值之後。
2.2 修正檢測SQL meta-characters的正規表示式
/((%3D)|(=))[^n]*((%27)|(')|(--)|( %3B)|(:))/i
解釋:
這個規則首先留意= 號或它的hex值(%3D)，然後考慮零個或多個除換行符以外的任意字符，最後檢測單引號，雙重破折號或分號。
典型的SQL注入會嘗試圍繞單引號的用途操作原來的查詢，以便得到有用的價值。討論這個攻擊一般使用1'or'1'='1字串. 但是, 這個字串的偵查很容易被逃避，譬如用1'or2>1 --. 然而唯一恆定的部分是最初的字元的值，跟隨一單引號，再加'or'。隨後的布林邏輯可能在一定範圍上變化，可以是普通樣式也可能是非常複雜的。這些攻擊可以相當精確地被偵測，透過以下的正規表示式。 2.3章節講解。
2.3 典型的SQL 注入攻擊的正規表示式
/w*((%27)|('))((%6F)|o|(%4F))((%72)|r| (%52))/ix
解釋:
w* - 零個或多個字元或底線。
(%27)|' - 單引號或它的hex等值。
(%6 F)|o|(%4 F))((%72)|r|-(%52) －'or'的大小寫以及它的hex等值。union'SQL
查詢 在SQL注入各種資料庫中攻擊中同樣是很常見的。
字
'union'
。
((%27)|('))union/ix
(%27)|(') - 單引號和它的hex等值
union - union關鍵字
可以同樣為其他SQL查詢定製表達式，如>select, insert, update, delete, drop, 等等.
如果，到這個階段，攻擊者已經發現web應用程式存在SQL注入漏洞，他將嘗試利用它。如果他認清後端伺服器式MS SQL server，他一般會嘗試執行一些危險的儲存和擴充儲存過程。這些過程一般以'sp'或'xp'字母開頭。典型的，他可能嘗試執行'xp_cmdshell'擴充儲存程序（透過SQL Server執行Windows 指令）。 SQL伺服器的SA權限有執行這些指令的權限。同樣他們可以透過xp_regread, xp_regwrite等儲存過程修改註冊表。
2.5 偵測MS SQL Server SQL注入攻擊的正規表示式
/exec(s|+)+(s|x)pw+/ix
解釋:
exec - 請求執行儲存或擴充儲存程序的關鍵字
(s|+)+ - 一個或多個的空白或它們的http等值編碼
(s|x) p- 'sp'或'xp'字母用來辨識儲存或擴展儲存過程
w+ - 一個或多個字元或底線來匹配過程的名稱
3. 跨站腳本(CSS)的正則表達式
當發動CSS攻擊或檢測一個網站漏洞的時候, 攻擊者可能首先使簡單的HTML標籤如< b>(粗體),<i>(斜體)或<u>(底線)，或者他可能嘗試簡單的script標籤如<script>alert("OK")</script>. 因為大多數出版物和網路傳播的偵測網站是否有css漏洞都拿這個作為例子。這些嘗試都可以很簡單的被偵測出來。 然而，高明點的攻擊者可能用它的hex值替換整個字串。這樣<script>標籤會以%3C%73%63%72%69%70%74%3E出現。 另一方面，攻擊者可能使用web代理伺服器像Achilles會自動轉換一些特殊字元如<換成%3C、>換成%3E.這樣攻擊發生時，URL 中通常以hex等值代替角括號。
下列正規表示式將偵測任何文字中所包含的html的<、>。它將捉住試圖使用< b>、<u>、或<script>。這正規表示式應該忽略大小寫。我們需要同時偵測角括號和它的hex等值(% 3C|<)。偵測hex進位轉換的整個字串，我們必須偵測使用者輸入的數字和%號，也就是使用[a-z0-9%] 。這可能會導致一些錯誤出現，不是大部分會偵測到真實攻擊的。
3.1 一般CSS 攻擊的正規表示式
/((%3C)|<)((%2F)|/)*[a-z0-9%]+((%3E)|>)/ix
解釋:
((%3C)|<) －檢查<和它hex等值
((%2F)|/)*－結束標籤/或它的hex等值
[a-z0-9%]+ －檢查標籤裡的字母或它hex等值
((%3E)|>) －檢查>或它的hex等值
Snort 規則:
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"NII Cross-site scripting attempt"; flow:to_server,established; pcre:"/((%3C)|<)((%2F)| /)*[a-z0-9%]+((%3E)|>)/i"; classtype:Web-application-attack; sid:9000; rev:5;)
跨站腳本同樣可以使用< img src=>技術。現行預設的snort規則可以輕易避開。
3.2章節提供了防止這種技術的方法。
3.2 "<img src" CSS 攻擊正規表示式
/((%3C)|<)((%69)|i|(%49))((%6D)|m|(%4D) )((%67)|g|(%47))[^n]+((%3E)|>)/I
解釋:
(%3 C)|<) -<或它的hex等值
(%69)|i|(%49))((%6D)|m|(%4D))((%67)|g|(%47) -'img'字母或它的大小寫hex等值的變化組合
[^n]+ -除了換行符以外的任何跟隨<img的字符
(%3E)|>) ->或它的hex等值
3.3 CSS 攻擊的極端的正規表示式
/((%3C)|<)[^n]+((%3E)|>) /I
解釋:
這個規則簡單尋找<+除換行符號外的任何字元+>。由於你的web伺服器和web應用程式的架構，這個規則可能產生一些錯誤。但它能保證捉住任何CCS或類似CSS的攻擊。
總結:
在這篇文章中，我們提出了不同種類的正規表示式規則來偵測SQL注入和跨站腳本攻擊。有些規則簡單而極端，一個潛在的攻擊都會提高警覺。但這些極端的規則可能導致一些主動的錯誤。考慮到這一點，我們修改了這些簡單的規則，利用了另外的樣式，他們可以檢查的更準確些。在這些網路應用的攻擊偵測中，我們推薦將這些作為調試你IDS或日誌分析方法的起點。再經過幾次修改後，在你對正常網交易部分的非惡意應答進行評估以後，你應該可以準備的檢測那些攻擊了。
參考
1. SQL Injection
http://www.spidynamics.com/papers/SQLInjectionWhitePaper.pdf
2. Cross Site Scripting FAQ http://www.cgisecurity.com/articles/xss -
faq.shtml
3. The Snort IDS http://www.snort.org
4. Perl-compatible regular expressions (pcre) http://www.pcre.org
5. Web application proxy, Achilles http://achilles.mavensecurity.com
3. Advanced SQL Injection
http://www.nextgenss.com/papers/advanced_sql_injection.pdf
7. Secure Programming HOWTO, David Wheeler www.dwheeler.com
8. Threats and Countermeasures, MSDN, Microsoft