20145326蔡馨熤《网络对抗》—— Web安全基础实践

20145326蔡馨熤《网络对抗》—— Web安全基础实践

1.实验后回答问题

（1）SQL注入攻击原理，如何防护.

原理：

• SQL注入攻击指的是经过构建特殊的输入做为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，经过执行SQL语句进而执行攻击者所要的操做，其主要缘由是程序没有细致地过滤用户输入的数据，导致非法数据侵入系统。

• 根据相关技术原理，SQL注入能够分为平台层注入和代码层注入。前者由不安全的数据库配置或数据库平台的漏洞所致；后者主要是因为程序员对输入未进行细致地过滤，从而执行了非法的数据查询。

防护：

• 永远不要信任用户的输入。对用户的输入进行校验，能够经过正则表达式来操做。

• 永远不要使用管理员权限的数据库链接，为每一个应用使用单独的权限有限的数据库链接。

• 不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。

• 应用的异常信息应该给出尽量少的提示。

（2）XSS攻击的原理，如何防护.

原理：

• XSS是一种常常出如今web应用中的计算机安全漏洞，它容许恶意web用户将代码植入到提供给其它用户使用的页面中。这些代码包括HTML代码和客户端脚本。这种类型的漏洞因为被骇客用来编写危害性更大的phishing攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。

防护：

• 传统XSS防护多采用特征匹配方式，在全部提交的信息中都进行匹配检查。对于这种类型的XSS攻击，采用的模式匹配方法通常会须要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击。

（3）CSRF攻击原理，如何防护.

原理：

• 能够这么理解CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF可以作的事情包括：以你名义发送邮件，发消息，盗取你的帐号，甚至于购买商品，虚拟货币转帐......形成的问题包括：我的隐私泄露以及财产安全。

• CSRF攻击是源于WEB的隐式身份验证机制！WEB的身份验证机制虽然能够保证一个请求是来自于某个用户的浏览器，但却没法保证该请求是用户批准发送的！

防护：

• 经过 referer、token 或者 验证码 来检测用户提交。
• 尽可能不要在页面的连接中暴露用户隐私信息。
• 对于用户修改删除等操做最好都使用post 操做 。
• 避免全站通用的cookie，严格设置cookie的域。

2.实验总结与体会

• 此次实验使用webgoat来分别尝试了XSS攻击、CSRF攻击、SQL注入攻击，感触仍是很深。之因此可以进行这些攻击，不止是由于咱们的web设计自己就有漏洞！还有咱们在使用web的时候，太大意太疏忽了，没有想到会有一些危险的状况发生。我以为，咱们应该多去学习一些关于网络攻防的知识与技术，好比，如何可以进行XSS攻击、各类类型的SQL注入攻击等，这并非说咱们要去成为一名黑客，去攻击别人的网站，去盗取别人的信息，而是去了解有哪些XSS或SQL注入的攻击场景，再发掘出产生该漏洞的缘由，从而去思考为何会产生这个 bug，如何去修复这个 bug。网络攻防是一门艺术，以一种攻与防的博弈，攻防双方互相促进，我们的信息社会才得以更好的发展。

3.实践过程记录

关于webgoat

• WebGoat运行在带有java虚拟机的平台之上，目前提供的训练课程有不少，包含了XSS、线程安全、SQL注入等，咱们本次的实验就是在WebGoat平台上进行。根据老师给的实验指导，来进行webgoat的安装和登陆。

 

• 我不大清楚用webgoat登陆和用guest登陆的区别。。。。。

XSS攻击

（1）Stored XSS Attacks

• 该实验目的是在新建帖子的message里进行XSS攻击。
• 即随意写任何在浏览器中可被执行的代码，建立成功后点击写好的帖子即被攻击。
• 写入massage内容为<script>alert("It's 20145326caixinyi~");</script>

 

（2）Reflected XSS Attacks

• 该实验一样是在输入框中输入可执行代码，提交后被攻击。
• 使用burpsuite发现，UpdateCart Purchase均以post提交数据。
• 在Enter your credit card number:以及Enter your three digit access code:处的值均被post原样返回，因此在此处构造js语言。
• 这里是在ACCESS CODE 框里填入获取COOKIE的javascript代码<script>alert(document.cookie);</script>

• 虽然这个实验的效果和上一个存储型XSS实验的效果相似，可是二者所用的原理不同，存储型XSS是持久化的，代码是存储在服务器中的。
• 而反射型XSS攻击是非持久化的，也就是说它的代码是不存在于服务器中的，因此通常来讲存储型XSS攻击危害更大。

（3）CSRF攻击

• 该实验为在新建邮件里写入能够更改由题目要求的attack的src、menu的transferFunds数值参数
• 可选用html里的iframe模块，自动链接打开所标示网页
• 这里在message里写入的内容为<iframe src="attack?Screen=284&menu=900&transferFunds=5000"></iframe>
• 注意这里面的Screen和menu的值在每一个人的电脑中可能不同，能够在当前页面的最下边查看。
• 提交后，会在消息列表中看到一个新的消息，点击该消息，当前页面就会下载这个消息并显示出来，转走用户的5000元，从而达到CSRF攻击的目的。

（4）CSRF Prompt By-Pass攻击

• 这里在message里写入内容为：

<iframe src="attack?Screen=271&menu=900&transferFunds=5000"> </iframe>

<iframe src="attack?Screen=271&menu=900&transferFunds=CONFIRM"> </iframe>

• 该实验与上个实验相似，一样是经过邮件的方式进行恶意请求。
• 这里不只是对transferFunds数值参数进行了变化，还对这个过程进行了请求确认，因此须要两个iframe模块。
• url须要使用下面两个参数：transferfunds=5000和transferfunds=CONFIRM

SQL注入攻击

 (1)Log Spoofing

• 该实验为在用户名处使用%0d%0a（回车换行）以及文字内容来迷惑他人，虽然有成功登录的文字信息，但实质上是登陆失败的。
• 这里的user name处写入的内容是%0d%0aLogin succeeded !admin

（2）Numeric SQL Injection

• 本来的功能是选择一个地点，显示一个地点的天气情况。
• 如今SQL注入后的功能是选择一个地点，显示全部地点的天气状况。
• 在kail中可以使用burpsuite做为网页代理，对传送的网页内容进行编辑之后再发到服务器。
• 打开burpsuite。绑定个人学号为端口。address选择本地。

• 修改浏览器的偏好设置。

• 其实至关于将burpsuite当成中间服务器，让每一个数据包都流过它。

• 设置好以后回到题目，随便选一项，点击GO，而后回到burpsuite。发现多了捕获的包：

• 修改station的值，回到Proxy中点击Intercept is on对剩下的包不做处理，回到火狐发现已经成功。

 

 

• 在关闭了burpsuite以后，把浏览器的偏好设置恢复以前，否则浏览器上不了网。

（3）String SQL Injection

• 该实验和Numeric SQL Injection相似，本来只能查到某一我的的信息，如今经过SQL语句的注入使整张表都显示出来。
• 这里的last name写入的内容是' or 1=1;--,构造一个永真式。由于last name是字符型的，因此须要在开始加上单引号。

 

（4）Database Backdoors step1

• 该实验是要在user ID中实现多条SQL语句的注入,其中101是题目给的已存在的帐户ID；
• 将user ID输入101 or 1=1;update employee set salary=53260;
• 把用户表的全部内容显示出来同时把工资值变化了。

（5）Database Backdoors step2

• 该实验所要使用的SQL语句已经在题目中给出了。
• 目的是使用该SQL语句，让这个表一旦添加新用户，就在用户表里将新用户的邮箱改成题目固定的邮箱。

（6）Blind Numeric SQL Injection

• 该实验的目的是要找cc_number为1111222233334444的pin大小。
• 输入正经常使用户ID，判断这个用户是否存在。
• 咱们首先测试下效果，101是题目给的已知用户ID。

• ID为100的时候就不合法了。

~无非就是穷举咯~

• 咱们知道pin是个数值，要知道cc_number对应的pin，则只有一个一个尝试。

• 使用<、>来大概肯定范围，同and一块儿，and前为存在的用户ID，例如101，一旦and后面的语句，即判断pin的值大小成立，则下面就会显示存在用户，而后继续缩小范围进行查找，直到找到惟一肯定的。

• 在numer框中输入101 AND ((SELECT pin FROM pins WHERE cc_number='1111222233334444') = 2364 );

• 以后慢慢缩小范围，最终能够肯定pin的值在2000到2500之间，而后打开BurpSuite，设置好代理，抓包，而后send to intruder进行暴力破解。具体参考lxm同窗的博客~关于这部分写得很清楚。
• 找到对应pin值后，将值输入框中，该实验即经过。

（7）Command Injection

• 命令行注入攻击，尝试给操做系统注入命令行。

• 可是没有发现任何注入的地方，因此想啦，应该是使用burpsuite注入！

• 咱们对第一个包send to Repeater分析一下：

• 咱们发现可改部分是使用了命令行cat语句。

• 注入的命令是AccessControlMatrix.help"&&ifconfig"，前面是原来的正常命令。

• &&在命令行中是执行另一条语句，最后一个双引号用来封闭原来的双引号!
• 再次点击GO发现执行了ifconfig语句!