理解应用安全中的注入攻击：类型、工具与实例

注入攻击如何利用Web应用漏洞

注入攻击发生在恶意输入被插入到Web应用程序中时，利用未验证用户输入中的漏洞来执行意外命令。攻击者精心构造有效载荷，操纵应用程序处理数据的方式，通常导致未经授权的访问、数据泄露或系统受损。

本文探讨了针对Web应用程序和API的最普遍注入攻击类型，分析了支持这些攻击的根本安全弱点，并提供了有效的检测和预防策略来降低风险。

了解更多： 如何预防SQL注入

理解注入攻击

注入攻击是一类利用注入漏洞的网络威胁，允许攻击者通过未验证的用户输入将恶意有效载荷插入应用程序代码中。这些攻击属于最严重的应用安全风险，正如OWASP Top 10（2021）中所强调的，注入漏洞在Web应用整体安全风险中排名第3。

尽管注入攻击有多种形式，但它们都有一个共同特征：攻击者操纵应用程序处理数据的方式，可能改变数据库查询、执行JavaScript、运行系统命令，甚至注入本机应用程序代码。根据漏洞和攻击向量的不同，后果可能从轻微的数据泄露到严重的安全漏洞，包括拒绝服务（DoS）、身份验证绕过、权限提升、远程代码执行（RCE）或完全系统受损。理解和减轻这些风险对于加强应用安全和保护敏感数据至关重要。

SQL注入（SQLi）：最常见的注入攻击

许多Web应用程序依赖使用SQL（结构化查询语言）存储和检索数据的关系数据库。SQL注入（SQLi）是一种关键漏洞，当恶意SQL语句嵌入到用户输入字段（如Web表单、查询参数、评论部分或其他用户可访问的输入通道）时发生。如果应用程序未能正确验证或清理用户输入，攻击者可以操纵SQL查询来提取敏感数据、更改数据库记录，甚至删除整个表。

最常见的SQLi攻击策略之一是注入授予特权访问权限的SQL查询，允许攻击者在数据库内创建、修改或提升用户权限。在易受攻击的应用程序不直接返回数据的情况下，可以使用盲SQL注入技术通过间接响应推断数据库信息。

SQL注入漏洞属于CWE-89：SQL命令中使用的特殊元素的不当中和，并在2023年CWE Top 25中排名第3，突显了其在应用安全中的严重性。Invicti的DAST工具可以自动检测各种形式的SQL注入，包括带内SQL注入（如基于UNION的攻击）、盲SQL注入（基于布尔的查询）和带外SQLi技术，帮助组织在漏洞被利用之前识别和修复SQL漏洞。

跨站脚本（XSS）：关键的脚本注入攻击

尽管其名称中不包含"注入"，但跨站脚本（XSS）本质上是一种利用脚本执行漏洞的注入攻击。当Web应用程序未能正确清理用户提供的输入，允许恶意JavaScript（或其他脚本）注入应用程序输出时，就会发生XSS。如果易受攻击的应用程序处理此未过滤的输入，它可能在受害者的浏览器中执行攻击者的脚本，导致会话劫持、凭据盗窃或进一步利用。

为了发起XSS攻击，攻击者将恶意脚本嵌入请求参数、表单输入或URL查询字符串中。应用程序不是将输入视为标准用户数据，而是在用户浏览器中呈现和执行注入的脚本。虽然XSS有时被认为是低风险的，但其影响可能远远超出单个用户会话，特别是当它作为更大攻击链的一部分使用时。此外，随着像Node.js这样的全栈JavaScript环境的兴起，XSS漏洞也可能对服务器端应用程序构成风险。

简单的输入过滤不足以防止XSS，因为攻击者可以使用各种技术来规避过滤器。为了减轻XSS风险，开发人员应遵循安全编码实践，强制执行适当的输入验证和输出编码，并实施内容安全策略（CSP）来限制未经授权脚本的执行。

在CWE分类中，XSS被标识为CWE-79：网页生成期间输入的不当中和，并在2023年CWE Top 25中排名第2。Invicti的DAST工具可以自动检测和验证各种类型的XSS漏洞，包括反射型XSS、存储型（持久性）XSS和基于DOM的XSS，帮助组织保护其应用程序免受这种广泛威胁。

OS命令注入：高风险系统攻击

OS命令注入，也称为shell注入，发生在Web应用程序未能正确清理用户输入，允许攻击者在底层服务器上执行任意系统命令时。一些Web应用程序合法地执行操作系统命令——例如，读取或写入文件、运行系统实用程序或管理服务器进程。但是，如果用户控制的输入在这些命令中处理不当，攻击者可以注入恶意系统级指令，导致数据暴露、权限提升或完全系统受损。

成功的命令注入攻击可能具有高度破坏性，使攻击者能够：

• 检索服务器和系统配置详细信息，帮助他们找出漏洞
• 提升用户权限，获得未经授权的管理访问
• 执行任意系统命令，可能导致文件操作、恶意软件部署甚至完全服务器接管

如何减轻OS命令注入

由于与OS命令注入相关的严重风险，最好尽可能避免执行包含用户可控数据的系统命令。如果执行系统命令不可避免，开发人员应：

• 严格验证输入，确保只处理预期值
• 使用参数化执行，而不是直接将用户输入连接到命令中
• 将命令执行限制在预定义函数中，限制潜在的误用

OS命令注入被分类为CWE-78：OS命令中使用的特殊元素的不当中和，并在2023年CWE Top 25中排名第5，突显了其高风险性质。Invicti的DAST工具可以检测各种命令注入漏洞，包括盲命令注入和带外命令注入，帮助组织在漏洞被利用之前识别和减轻这些关键安全威胁。

代码注入（远程代码执行 - RCE）：终极安全威胁

代码注入，也称为远程代码执行（RCE），是Web应用程序中最严重的漏洞之一。当攻击者成功将恶意应用程序代码注入用户输入，并使易受攻击的应用程序执行它时，就会发生这种情况。与操纵系统命令的OS命令注入不同，代码注入直接针对应用程序的执行环境，使其成为极其强大的攻击。

代码注入的工作原理

注入的代码必须与应用程序的编程语言匹配。例如：

• 具有代码注入缺陷的基于PHP的应用程序容易受到恶意PHP代码执行的影响
• 基于Java的Web应用程序可以使用基于Java的注入有效载荷进行利用
• 如果应用程序缺陷允许代码注入和OS命令执行，攻击者可以从应用程序级受损升级到完全系统控制

为什么RCE被认为是关键的

远程代码执行（RCE）是最危险的安全漏洞之一，因为它通常导致完全系统受损。具有RCE能力的攻击者可以：

• 在服务器上执行任意代码
• 修改、删除或从应用程序中窃取数据
• 部署恶意软件或后门以保持持久访问
• 提升权限并获得对系统的管理控制

尽管一些代码注入漏洞需要额外步骤才能利用，但RCE几乎总是被分类为关键，因为它为攻击者提供了对受损系统的无限制访问。

如何预防代码注入攻击

• 绝不允许用户控制的输入作为代码执行——始终严格验证和清理输入
• 使用参数化函数或沙盒执行环境来限制代码执行的范围
• 应用适当的输入过滤和编码，防止执行不受信任的代码

检测和分类

代码注入被分类为CWE-94：代码生成的不当控制，并且仍然是应用安全测试中最受追捧的漏洞之一。Invicti的漏洞扫描器能够检测并通常自动确认跨多种编程语言和框架的数十种代码执行和评估漏洞，帮助组织在漏洞被利用之前识别和修复关键安全风险。

XXE注入：利用XML解析器漏洞

排名前五的注入攻击中的最后一个是XML外部实体（XXE）注入，这是一种针对处理XML输入的Web应用程序的漏洞。如果应用程序支持传统文档类型定义（DTD）并配置了弱XML解析器安全性，攻击者可以操纵格式错误的XML文档来执行XXE攻击。这些攻击可能导致目录遍历、服务器端请求伪造（SSRF），甚至在严重情况下导致远程代码执行（RCE）。

XXE注入的工作原理

与其他源于用户输入验证失败的注入攻击不同，XXE漏洞源于不安全的XML解析器配置。通过将外部实体引用注入XML文档，攻击者可以诱骗解析器加载外部文件、发出未经授权的请求或暴露敏感系统数据。

为什么XXE是危险的

• 可用于目录遍历，允许攻击者访问受限文件
• 启用SSRF攻击，诱骗服务器发出意外的外部请求
• 在某些情况下，XXE可能导致远程代码执行，允许完全系统受损
• 难以检测，因为它利用不安全的配置而不是传统的编码缺陷

预防XXE攻击

如果您的应用程序处理XML数据，预防XXE漏洞的最佳方法是：

• 在XML解析器中完全禁用DTD支持
• 如果需要DTD，禁止外部实体以防止未经授权的访问
• 使用遵循现代安全最佳实践的安全XML解析器

XXE检测和分类

XXE漏洞属于CWE-611：XML外部实体引用限制不当。虽然XXE在OWASP Top 10（2017）中排名第4，但后来在2021年OWASP Top 10中合并到安全配置错误类别中，反映了其作为基于配置的漏洞的性质。

Invicti的Web漏洞扫描器可以检测和确认多种形式的XXE注入，包括带外（OOB）XXE攻击，帮助组织保护其XML处理工作流并消除危险的解析器配置错误。

其他值得注意的注入攻击

虽然前五种注入漏洞对Web应用程序和API构成最显著的风险，但几种较少见但仍然危险的注入攻击也值得注意。这些攻击类型利用不同的输入通道，并针对各种后端系统，包括数据库、API、模板引擎和HTTP头。

NoSQL注入

与SQL注入（SQLi）类似，NoSQL注入操纵数据库查询——但不是针对基于SQL的关系数据库，而是利用NoSQL数据库，如MongoDB、Cassandra或Elasticsearch。由于NoSQL数据库不使用标准查询语言，注入有效载荷必须为每种数据库类型量身定制，通常利用未验证的JSON输入或基于JavaScript的查询来提取或操纵数据。

JSON注入

与跨站脚本（XSS）密切相关，JSON注入允许攻击者操纵Web应用程序发送或接收的JSON数据。这对于REST API特别相关，其中JSON是主导数据格式。通过注入或修改JSON有效载荷，攻击者可以改变API行为、窃取敏感数据或执行未经授权的操作。

服务器端模板注入（SSTI）

SSTI攻击利用动态生成HTML或代码的服务器端模板引擎。如果应用程序在模板系统内不当处理用户输入，攻击者可以注入恶意表达式，导致服务器执行任意代码。表达式语言（EL）注入是一种相关攻击，针对Web框架内的表达式解析器而不是模板引擎，通常导致代码执行或未经授权的数据访问。

HTTP头注入（CRLF注入）

HTTP头注入，也称为CRLF（回车换行）注入，发生在应用程序在将用户输入插入HTTP响应头之前未能清理换行字符（\r\n）时。由于HTTP使用换行字符将头与正文分开，攻击者可以注入自己的头或修改响应，可能用恶意XSS有效载荷替换页面内容或更改安全策略。

最后思考

虽然这些注入攻击不如SQL注入、XSS、OS命令注入、代码注入和XXE常见，但当应用程序未能正确验证和清理用户输入时，它们仍然构成严重风险。现代安全最佳实践，包括输入验证、输出编码、参数化查询和严格的API安全控制，对于减轻这些威胁至关重要。

组织应采用自动化安全测试解决方案，如Invicti的DAST扫描器，在注入漏洞被利用之前检测和修复它们。