黑客安全与JAVA WEB

[qiaoruijie123]

其实自己也一直上论坛，不过也没怎么发过贴。今天写些东西，献丑一下，和大家交流一下，不正确的地方还望高手指点。
从去年七月份，自己开始从事J2EE方面的开发。在此之前自己在做黑客方面的研究，所以接触到JAVA WEB方面的东西后，对WEB方面的项目开发的安全方面有点心得体会。本来这篇文章，最初是准备分成几篇来写的，免得麻烦，所以下面以小标题列出简单介绍一下。
言归正传，黑客在互联网中无处不在。所涉及到的面也非常广，今天我们就把范围缩小到“黑客与WEB”。虽然现在一些小型网站都是用asp做的，但入侵原理还是一样的。首先我们要搞清楚的是，黑客在是怎样入侵的，怎样才算入侵了一个站点、才算入侵了WEB项目？

1、木马——永恒的魅力
首先我们要明白的是，WEB项目只是我们入侵的一个跳板。我们要通过这个WEB项目设计的时候存在的bug，拿到最终运行这个WEB项目的服务器的最高权限。这才是黑客最终要达到的效果。而通过什么来达到这个效果呢，那就是木马。（其实也可以通过系统安全漏洞来达到攻击的效果，由于自己对那方面不是很在行，在这里只是介绍一下自己比较熟悉的）。木马就是我们在别人电脑或者服务器上打开的一个后门，通过这个后门可以使我们达到控制别人的效果。
为了让大家理解，这里简单介绍一下，木马在WEB中的分类。木马的控制原理很简单，就是利用工具，大家比较常听说的灰鸽子，生成一个EXE文件，只要别人运行这个文件，就可以达到控制的效果。但是由于杀毒软件的存在，我们的马儿就无处藏身，躲不过悲惨的命运。这涉及到另外一方面的东西，那就是木马的免杀，这儿就不再介绍。灰鸽子之类的木马都是exe文件，但木马到了WEB方面就有了分支。我总结出了WEB三木马——“网马、小马、大马”，供大家参考。

网马：通常所说的挂马，就是挂的网马，实质还是运行的exe文件。当进入一个页面的时候，通过该页面自动下载并运行exe文件，从而达到批量的控制。比如上次瑞星的卡卡网被挂马，进入页面自动下载并运行一种“机器狗”的木马，也就属于这种方式。再比如让我们男性比较郁闷的是，“妹妹五月天”被封。这个站点每天有十万次的点击率，就是通过大量的访问率，在上面放这儿所说的网马来达到赚钱的效果。

小马、大马：上面所说的网马只是运用的一方面，另外一方面小马和大马在WEB攻击方面运用的也非常广泛，大多数黑客攻击也都是这种方式，通常小马和大马是结合起来使用的。虽然网马、小马、大马最终的目的都是达到控制的效果，但大小马和上面的网马本质有所区别。网马实际上最终还是运行的exe文件，但大小马并不是exe文件。实际上他们是一个asp、或者jsp文件。比如我们在我们的Eclipse中的web项目中，加入一个jsp文件（jsp木马），运行tomcat，在地址栏中输入这个jsp的路径。我们可以惊奇的发现，通过这个jsp文件，我们可以操作本地磁盘上所有的文件，进程、注册表也可以操作。这就是我们最终要到达的目的与效果。那个jsp文件也是非常人能写出来的，大多数只会用就行了。最终我们的大马实现控制功能，也就是这个了不起的jsp文件。而大马由于文件较大，在实战中，不容易上传。我们的小马容易隐藏，不容易被发现，唯一的功能就是通过小马上传大马。最终达到控制作用的还是我们的大马，小马只是起个辅助作用，这里也是我为什么说小马和大马要结合起来使用了。

我们知道黑客在WEB攻击中通常用木马，明白这个后，其他的就好理解了。如果有上传漏洞的话，我们可以直接上传图片木马或者通过先传小马再传大马，最终达到控制的效果。“只要有上传，就可以拿webshell”这是以前流行的一句话，不过现在还存在上传漏洞的站点的话，相信也是老掉牙的站点了。
另外，我们可以通过破解一个项目的后台管理员账号和密码，最终达到控制的效果。怎样破解密码，我也不再介绍。sql注入曾经火爆了一段时间，不过知道的人多了，防范的人也就多了。个人比较喜欢用暴力破解，这里就不在过多繁琐的介绍。下面在“post提交密码存在暴力破解的风险”这一标题中简单的为大家介绍一下。
做过后台的人我相信都知道，在后台一般都可以上传图片，以及备份数据库等这些基本重要功能。这也为我们上传jsp木马提供了条件。如果能改上传文件的类型的话，我们改成支持jsp文件的类型。如果不行的话，我们上传一个图片木马（jpg或者其他图片格式），然后差异备份成jsp文件，这样也可以达到最终的效果。当然如果最终控制的权限不够的话，我们可以再利用工具来提权。这里就不再繁琐的介绍。

2、只要存在JavaScript验证，就可能入侵
在这里我们简单的举个例子，就明白我说的意思了。曾经在实战中，我遇到这么个有趣的事情。一个站点有个上传，也加了限制，只准上传图片格式的文件。于是我看了一下那个jsp页面的源码，让我意外的是，这个上传限制竟然是在jsp页面中做的。这让我不自主的想，服务端是不是没加验证呀。我很快验证了自己这个想法，我通过sniffer抓包工具截取了提交地址。然后自己手动构造了一个提交表单，结果能随意上传其他文件。所以这样的设计存在着很大的安全风险。因为我们可以得到提交页面，如果一些重要的限制放在客户端的话，我们可以直接绕过这些限制，直接向提交地址提交自己的数据，到达入侵的效果。
再比如自己在做项目的时候，遇到这么个问题。通常我们修改密码的时候，通常是不能修改用户名的。有些人就在页面input中加入了个readonly来限制用户不能修改文本框中的用户名，看似这样的就可以实习需求了。但大家仔细想想，这种情况不是和我前面举的上传文件的那个例子是同一样的性质吗？如果这样设计的话，我们可以直接向我们的服务器提交数据，这样不是还有可能修改其他用户的密码信息吗？虽然我们在开发中为了减少服务端的负担，可能会把有些验证放在客户端。但在用到客户端验证的时候，我们要掂量好了。

3、post提交密码存在暴力破解的风险
接触过JAVAWEB方面的人，相信大家对get和post提交数据方式都有所了解。post提交数据安全些，相信大家都会这么说。现在一些项目中，大多都是用的post提交密码以及其他一些信息。但相信大多数人都没考虑一个问题，那就是数据的加密。我们打开WEB QQ或者登录QQ邮箱的时候，我们输入密码，然后通过抓包工具，发现这些密码都是加密了的。但现在绝大多数项目以及一些大型的网站中，我都发现了post提交的密码并没有加密。所以这样就为我们破解提供了条件。向大家推荐一款工具，小榕的嗍雪。这款工具可以达到破解的效果，有兴趣的大家可以尝试一下。这里就不再过多的繁琐的介绍。我们知道在实际的项目中，客户就是我们的上帝。而实际的项目中，客户的资料以及一些信息也是整个项目中的核心部分。所以信息的安全也是非常重要，账号和密码就是这个项目让用户管理这些信息的一座桥梁。所以在项目设计中，我们有必要进一步考虑这些安全方面的需求。
简单的写了这些与大家分享一下。一口气写完的，所以存在错别字之类的，大家别见怪。
作者——乔锐杰

[huagong_adu]

一直想学黑客方面的东西，曾经试过玩灰鸽子，但是不成功，能传授一下经验吗？

[扁鵲東南飛]

[Quote=引用 18 楼 zh919919 的回复:]
看了这篇文章让我感觉抱憾终身的是那“妹妹五月天”我竟然没访问过。。。
[/Quote]

我也没上过。。。

楼主，加你qq的时候，我就注明是csdn 来的，行不？

我也是做jsp开发1年多点，想向你求取点真经。呵呵，希望你能不惜赐教。

最后再，弱弱的问下，您是男人吧？

[lxwyyyz]

[Quote qiaoruijie123 :]
不知道你学习黑客是为了干啥。我从初中开始接触到了图片木马，那时候腾讯qq出道也没多久，“只要发送一个图片，就可以盗取QQ密码”，这种神秘感让我开始追求这种技术。01年那时候也正是中美黑客大战的时候，网上一些激动人心的报道以及描述，让我开始追求黑客那种技术的潇洒。到了高中，那时候sql……
[/Quote]

您从初中便开始接触编程，而我在刚进入大学时候，每分钟打不超过5个字，至于当时学的C语言对于笨笨的我来说简直是噩梦，后来在学习编程过程中，老师有意无意说编

程很难，不是每一个人想学就能学的，于是在好胜心的驱使下，心底便想尝试好好学下。
今年大三了，马上也就要实习，回想下两年多的学习中确实给我带来了很多乐趣，由最开始因为找出小BUG的兴奋，到后来做出小作品带来的快乐，再到现在做出N个web小项

目而让我自信。尽管学习编程时间很短，但是带给我的确很多，我自己也懂，做再多的项目都像是在玩积木，而其中的很多原理都不懂，充其量只是会用而已。因此此时我想做的

是给自己充电！
您接下来质疑的想要黑客的目的是什么？？
原因一：真正的黑客会对不满足现有的技术，这是我所向往学习的。
原因二：因为我在学习编程的同时也很关注军事方面的动态，觉得如果国家真需要我们的时候，我们即便不能拿着枪，上刺刀和敌人拼，但是我们可以用自己的特长来为

国家做一点贡献。而我能做的也就是努力去当一名真正意义上的黑客。
本来打算在工作5年以后再接触黑客方面的东西，但是很庆幸碰见您，希望您能够收下我，哪怕您今年比我小，我也心甘情愿喊您老师。

[狂想者]

学习中，都是高手啊！..........

[qinchun36]

脚本运行和下载不是都有提示么，网马怎么活下来的？

[curacfyh]

挂马还现实，但前提你得有挂马的能力，难不成挂自己站上？
2,3两点那是靠运气的。服务端不做验证的，见过？太少了！
暴力破解，也算是靠运气的。像我的密码就没规律，生日什么的一概不是，我自己写程序随机生成的。社会工程学在我这一概无效。一个个算的话，得多少年。。。

[z2008g]

高人啊。。。。。。。学习

[z2008g]

貌似那样的木马技术现在都难实现啊

[xiaobluesky]

跳出黑客看JAVA WEB 安全。。。不顶不行！

[lxwyyyz]

求联络方式..

[lxwyyyz]

真诚拜师
为了完成我未来5年的梦想
QQ：570441718

[qiaoruijie123]

[Quote=引用 22 楼 lxwyyyz 的回复:]
真诚拜师
为了完成我未来5年的梦想
QQ：570441718
[/Quote]
不知道你学习黑客是为了干啥。我从初中开始接触到了图片木马，那时候腾讯qq出道也没多久，“只要发送一个图片，就可以盗取QQ密码”，这种神秘感让我开始追求这种技术。01年那时候也正是中美黑客大战的时候，网上一些激动人心的报道以及描述，让我开始追求黑客那种技术的潇洒。到了高中，那时候sql注入热火热天，掌握了这项技术可以说是独当一面。那时候疯狂的拿站、疯狂的盗取QQ，甚至卖号码也可以赚不少收入。进入了大学，我选择了软件专业。也曾举行过很多讲座，也带过很多学生，我发现太多人学习黑客都是一种炫耀，为了达到自己的欲望，能盗取、能破解、能入侵，觉得这就是黑客，所以想去学，所以想让自己牛逼。

在这条路上走了这么多年，有时候就不由自主的想起，什么是黑客？到底什么是自己追求的。如今想起，高中时候的那种疯狂，换来更多的是自己对这条路不真实的认识。经历多了，才会真真明白许多。比如中美黑客大战中，在中国第一代黑客万涛那些大虾们，我们才能真真明白黑客的实质与精神含义。现在网上很多菜鸟，拿着一些工具，入侵了一些网站、破解了一些密码，就认为自己很牛逼。其实真真黑客在网络上是不会轻易出现的，也不会炫耀的。当然我不是黑客，因为我现在现身了，在这里“胡说八道”了，呵呵。

其实很多东西，你看起来很神秘，觉得很牛逼，但其实没什么技术含量的。学计算机的，要想真真成为高手，一个真真的黑客的话，学好编程才是王道。那时候回过头再看看那些所谓的破解，蓦然回头，才发现，是那么的简单。

[海会圣贤]

mark

[蒙面客]

膜拜中。。。。。

[影像Diordna]

受教了 学习了

[风起于默]

黑客给我的感觉就是神秘，膜拜

[assertme_163_com]

写的 不错 java方面相关的安全知识比较少，希望楼主可以写一点java相关的，web方面的话，jsp、asp什么的都大同小异，佩服楼主并学习中。

[itinfm]

[Quote=引用 6 楼 qiaoruijie123 的回复:]
引用 4 楼 justdoit_notlast 的回复:
顶上！先悄悄问声，收徒不？？


以前开过相关培训，不过现在做java方面的开发后，天天项目来天天项目去，没什么时间了。4楼如果对这这方面感兴趣的话，我们可以再交流一下。
[/Quote]

干嘛不朝这个方面（其实也可以通过系统安全漏洞来达到攻击的效果）继续搞下去，学什么javaweb开发？
学javaweb开发能拿多少钱？

[itinfm]

[Quote=引用 24 楼 qiaoruijie123 的回复:]
引用 22 楼 lxwyyyz 的回复:
真诚拜师
为了完成我未来5年的梦想
QQ：570441718

不知道你学习黑客是为了干啥。我从初中开始接触到了图片木马，那时候腾讯qq出道也没多久，“只要发送一个图片，就可以盗取QQ密码”，这种神秘感让我开始追求这种技术。01年那时候也正是中美黑客大战的时候，网上一些激动人心的报道以及描述，让我开始追求黑客那种技术的潇洒。到了高中，那时候sql……
[/Quote]

你为什么不研究软件逆向技术，也就是你所说的可以通过系统安全漏洞来达到攻击的效果，汇编，计算机底层又不是很难学！

[陈子昭]

受教了。。。