教你編寫安全的ASP代碼
這篇文章將會(huì)教誨大家如何來編寫安全的ASP代碼，希望對大家能有幫助。
ASP中數(shù)據(jù)庫的安全是一個(gè)很嚴(yán)肅的問題。很多代碼的編寫者意識到了這類問題，并且小心翼翼地對他們認(rèn)為有問題的地方做了補(bǔ)救，但常見的情況是要么沒有窮盡所有的可疑地點(diǎn)，要么這種補(bǔ)救邏輯上有誤。對于一個(gè)耐心且嗅覺靈敏的攻擊者來說，這種意義上的補(bǔ)救措施和沒有任何補(bǔ)救措施沒有本質(zhì)上區(qū)別。
下面羅列的是一些可能出現(xiàn)的問題：有些是常見易犯的錯(cuò)誤，有些根本就是邏輯上有問題�？纯茨闶遣皇且策@樣寫過？對于攻擊者而言，倒著看這些東西，應(yīng)該對尋找漏洞有點(diǎn)幫助，更為完整一點(diǎn)的檢測方法，請等我的關(guān)于黑/白盒分析和自動(dòng)化測試文章。
一、令人疑惑的過濾方式
典型例子是不管不顧地對所有的輸入變量都去掉單引號，或者是把單引號替換成合法的兩個(gè)單引號，例如：
id = replace(request.querystring("id"), "'", "")
str = replace(request("someinput"), "'", "'")
現(xiàn)在很明了的是，第一個(gè)做法很有可能是錯(cuò)誤的。因?yàn)橐餝QL Injection的不總是單引號，再擴(kuò)大一點(diǎn)，引起問題的不是任何單獨(dú)的符號，這樣子的過濾，有些冤枉單引號了。正確的利用注入，重要的一點(diǎn)是閉合前面的一句SQL查詢語句——往往是得先正確地閉合前面一個(gè)條件，因?yàn)槲覀兛赡軙?huì)在同一句里面引入新的條件，補(bǔ)救措施只要破壞注入條件應(yīng)該就可以了，但是考慮到其復(fù)雜性（下面會(huì)說），最好還是較為完整的限制一下輸入的字符種類。
第二個(gè)看起來是沒有什么問題的，但潛在的會(huì)帶來一些隱患。這很容易給人造成的一個(gè)錯(cuò)覺是，我對輸入的字符串已經(jīng)很有效的做過處理了，以后使用沒有什么問題。這句話沒有錯(cuò)，對字符串來說這樣做也是很正確的，但是他扮演了一個(gè)不光彩的角色，試想一下，如果過濾后的字符串放進(jìn)了數(shù)據(jù)庫，而后續(xù)的語句有直接拿出來使用的，這種對前面過濾的依賴性，是不是正確的呢？
也許較好的做法應(yīng)該是，針對具體的情況來確定過濾的準(zhǔn)則。
常見的輸入變量有三種：數(shù)字，字符串還有集合。對于數(shù)字型的輸入變量，簡單調(diào)用一下判斷函數(shù)即可，見得到的代碼中，凡是檢查了這類變量的，幾乎都正確。對于字符串型的來說，基本上在插入到生成的SQL語句時(shí)，前后都有單引號，如果僅從破壞注入條件來看，把單引號替換成兩個(gè)單引號應(yīng)該問題不大。同理的，如果是一個(gè)字符串的集合，也可以簡單的用這種方法。而如果是數(shù)字的集合，情況可能稍微麻煩一點(diǎn)，至少你得允許數(shù)字、逗號或許還有空格之類的符號在輸入中正常出現(xiàn)，這樣子的過濾規(guī)則可能顯得復(fù)雜，不過你可以借鑒一下dvBBS6.1打過補(bǔ)丁后的版本，總的來說，對于已經(jīng)發(fā)現(xiàn)的過濾漏洞而言，他們還是補(bǔ)得比較好的。
對于第二句話，至少現(xiàn)在不能說它說錯(cuò)的，我們留待后面解決。
二、獲取的數(shù)據(jù)值得信賴嗎？
其實(shí)這樣子說范圍顯得有點(diǎn)大，一下子涉及到很多方面，一個(gè)例子一個(gè)例子地舉來看好了。
首先是關(guān)于選擇過濾數(shù)據(jù)的問題。一直以來，我們認(rèn)為凡是用戶輸入的東西，都要經(jīng)過適當(dāng)?shù)奶幚�。沒錯(cuò)，但真正的是否都做到呢？隨便找個(gè)抓包的工具，比如Ethereal，看看在你用IE提交表單或者是打開連接的時(shí)候，都提交了什么�；蛘�，簡單一些，打開NetAnt編輯一個(gè)任務(wù)，在協(xié)議標(biāo)簽中，看看那個(gè)“自定義提交者”和“用戶代理”的選項(xiàng)。
我想你已經(jīng)明白了，對方可以自己定制的東西不僅僅是GET或POST過來的數(shù)據(jù)！如果所有的用戶都規(guī)規(guī)矩矩地用瀏覽器，確實(shí)不用防備這么嚴(yán)，如果對方不這么老實(shí)，在取服務(wù)端變量或Cookie的時(shí)候可要小心了，沒有任何人能夠保證你獲得的數(shù)據(jù)是合法的。對于Cookie而言，很多程序都出過問題，所以以前強(qiáng)調(diào)得比較多，至于另外的，關(guān)注的人可能比較少一點(diǎn)，但你是否看過或者寫過這樣的代碼：
sql="ShowHOT_COM_inst_online_char 2,"&statuserid&",'"&membername&"','"&memberclass&"','"&Request.ServerVariables("REMOTE_HOST")&"',"&boardid&",'"&Request.ServerVariables("HTTP_USER_AGENT")&"','"&replace(stats,"'","")&"','"&Request.ServerVariables("HTTP_X_FORWARDED_FOR")&"',"&UserGroupID&",'"&actCome&"',"&userhidden&","&userid&""
Request.ServerVariables("HTTP_USER_AGENT")就是你在NetAnt中看到的用戶代理選項(xiàng)，也就是說你可以偽造，同樣可以偽造的還有Request.ServerVariables("HTTP_REFERER")，也就是你在NetAnt中看到的提交者選項(xiàng)等等。在做一些項(xiàng)目的時(shí)候，很有可能要將這一類的變量添加入數(shù)據(jù)庫，這時(shí)候要千萬小心，這個(gè)地方的忽略，引起的后果和其他類型變量未過濾導(dǎo)致的后果是一樣的。
在Google上搜索Referer和Request.ServerVariables兩個(gè)關(guān)鍵字，還可以看到很多有問題的寫法，或者去看看五月份左右的關(guān)于動(dòng)網(wǎng)論壇入侵的文章，也許你的理解會(huì)更加深刻一點(diǎn)。
然后是一個(gè)隱藏得稍微深一點(diǎn)的問題，不是用戶的直接輸入要不要過濾？
這就回到了我們前面留下的那個(gè)問題，單引號換成兩個(gè)單引號的潛在威脅。在第二次構(gòu)造SQL語句的時(shí)候，倘若數(shù)據(jù)是從數(shù)據(jù)庫里面直接去取出來用的，多數(shù)情況下人們會(huì)認(rèn)為前面已經(jīng)處理過的東西看起來似乎并沒有必要再處理，或者干脆就是沒有意識到應(yīng)該處理。這是極其錯(cuò)誤的！從兩個(gè)方面來看，首先你入庫的時(shí)候?qū)μ峤粩?shù)據(jù)中的單引號處理，僅僅是保證了單次SQL語句構(gòu)造的正確性，并沒有一勞永逸地解決問題；再說了，后面取出數(shù)據(jù)用的時(shí)候，對數(shù)據(jù)安全性檢查的依賴并沒有得到保證，因?yàn)檫@種依賴關(guān)系沒有傳遞下來，而且依賴關(guān)系本身還不是可傳的。
就replace(request("someinput"), "'", "'")而言，它的不安定性在于這種過濾方式只是一種妥協(xié)，換句話說只是在有限的范圍內(nèi)掩蓋了可能出現(xiàn)的問題，而沒有永久性的處理掉。它還有一個(gè)討厭的地方在于給人一種錯(cuò)覺，似乎是處理過的數(shù)據(jù)已經(jīng)安全了，容易讓后繼的代碼編寫者產(chǎn)生虛幻的安全感。對這兩個(gè)弱點(diǎn)，不是靠換一個(gè)寫法就能解決的，因?yàn)槿绻惆褑我柛纱嗳サ�，又�?huì)引來另外一個(gè)問題，輸入數(shù)據(jù)中確實(shí)有需要而且正確的單引號怎么辦？從一開始我就說，單引號本身是無罪的，過濾它只是一種解決手段而已，所以我們還是就這樣寫吧，不過要在后繼的部分加強(qiáng)一下檢查。
這一類的問題，如果依然用動(dòng)網(wǎng)論壇做例子，我建議看一下六月八號的漏洞文章。
還有就是過濾器的位置，這個(gè)摻雜了邏輯問題在內(nèi)的復(fù)雜問題。
我曾經(jīng)非常驚奇地發(fā)現(xiàn)喬客論壇對外散布的版本中一段讓人覺得不可思議的問題代碼，如果你比較感興趣的話，翻翻gallery.asp就能看到一個(gè)特定的動(dòng)作序列（action=flash_view），繞過了所有對id的檢查。
其實(shí)說起來，這一類代碼不太可能有太復(fù)雜的邏輯結(jié)構(gòu)，對代碼進(jìn)行審查的時(shí)候，進(jìn)行所有的分支覆蓋是可以手工完成的，只要稍微想想就會(huì)發(fā)現(xiàn)對變量的檢查是否能夠有效地到達(dá)你的目的地——生成SQL語句的地方。
關(guān)于過濾器的位置，如果要深入下去，馬上就會(huì)出來一些讓人眼花繚亂的東西，中間的分析很麻煩而且很形式化，雖然確實(shí)有算法可以保證位置選取的正確性，但是我想這里還是給出一些結(jié)論性的東西吧。倘若你很有興趣，我想你可以來信和我交流。
過濾的位置，取決于兩個(gè)方面：你獲得變量的來源，以及你需要保證到的生成SQL語句的位置。前面一個(gè)，不論是來自于直接還是間接輸入，先想想可能的輸入字符；對于后面一個(gè)，你要保證無論程序運(yùn)行情況怎樣，經(jīng)過了過濾語句的流程一定會(huì)經(jīng)過你需要保證到的生成SQL語句的位置（保證其是有效過濾語句的后向必經(jīng)節(jié)點(diǎn)）。如果你不很清楚流程的判斷，我的建議是if中僅僅判斷，if嵌套間不要有多余的東西，過濾語句后緊接生成SQL語句。
再回到前面提到的潛在問題，我們終于可以在這里解決了：在取出數(shù)據(jù)后依然首先進(jìn)行判斷。因?yàn)楦鶕?jù)前面說的，這一種間接輸入依然有可能出現(xiàn)危險(xiǎn)。
說到這里，插一句另類的過濾位置問題：不要把對輸入的過濾放到客戶端解決，那是可以繞過的！誰能保證你的VBScript/java script能起作用，如果別人直接用NC或者一個(gè)不支持腳本的瀏覽器呢？
上述兩個(gè)大的方面，以軟件測試的目光來認(rèn)識，顯然是沒有窮盡所有的分支所導(dǎo)致。在使用對方提交的數(shù)據(jù)之前，先做一個(gè)對方所有可能進(jìn)入字符的分析列表，然后就每一種輸入分支情況進(jìn)行類型的審核，這是每個(gè)代碼編寫者都應(yīng)該做的事情。這是一件很簡單的事情，因?yàn)橹皇穷愋蜕系膶徍诉�好，碰上語義的問題就麻煩了……
三、類型正確意味著放行？
涉及到語義的問題，要是可能的話，我選擇最好還是避開。
譬如對于一個(gè)整型數(shù)字，你輸入的確實(shí)是一個(gè)整型，通過了過濾器，潛在的問題是你的輸入內(nèi)容上合法嗎，或者根本就不應(yīng)該從你這里獲得信息？很多年前就有人提出來，有些注冊的模塊存在問題：它里面的id是通過一個(gè)type=hidden掩蓋后隱式提交的，但是我在第一步建立了用戶，第二步仍就有可能通過提交內(nèi)容不合法的id來修改他人的信息。這種異類的問題都是非常難發(fā)現(xiàn)，而且?guī)缀醵贾挥锌拷?jīng)驗(yàn)而不是某一個(gè)具體的算法來處理。我們在聯(lián)系一下前面的，連起來想想或許能夠更加清楚，對于輸入的字符串，感覺上沒有過濾也不會(huì)有錯(cuò)，因?yàn)楸容^數(shù)字之類集合來說，字符串所能容納的幾乎是全部可能輸入的集合。事實(shí)上，常見的是沒有過濾造成單引號的錯(cuò)誤匹配，進(jìn)而導(dǎo)致了SQL Injection。嚴(yán)格說起來，這也是一個(gè)語義上的問題，不過對于這樣子的特殊情況而言，可以通過處理輸入中的單引號來保證語義的某種程度上的正確。所以我也一再強(qiáng)調(diào)，單引號本身是無罪的，不過是背了語義的黑鍋而已。
