20145337马月

  博客园  :: 首页  :: 新随笔  :: 联系 :: 订阅 订阅  :: 管理

20145337《网络对抗技术》Web安全基础实践

一、实验后回答问题

  • 1.SQL注入攻击原理,如何防御

    • SQL注入攻击的本质是利用SQL语法,针对应用程序开发过程中的漏洞,从一个数据库获得未经授权的访问和直接检索

    • 防御:采用sql语句预编译和绑定变量;严格检查参数的数据类型,使用安全函数;给用户信息加密

  • 2.XSS攻击的原理,如何防御

    - 是一种网站应用程序的安全漏洞攻击,是代码注入的一种。它允许恶意用户将代码注入到网页上,其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚  本语言。XSS攻击的主要目的则是,想办法获取目标攻击网站的cookie,因为有了cookie相当于有了seesion,有了这些信息就可以在任意能接进互联网的pc登陆该网站,并以其他人的生份登陆,做一些破坏。
    
    • 防御:当恶意代码值被作为某一标签的内容显示:在不需要html输入的地方对html 标签及一些特殊字符( ” < > & 等等 )做过滤,将其转化为不被浏览器解释执行的字符;当恶意代码被作为某一标签的属性显示,通过用 “将属性截断来开辟新的属性或恶意方法:属性本身存在的 单引号和双引号都需要进行转码;对用户输入的html 标签及标签属性做白名单过滤,也可以对一些存在漏洞的标签和属性进行专门过滤。
  • 3.CSRF攻击原理,如何防御

    • 原理:

  • 防御:通过 referer、token 或者 验证码 来检测用户提交;尽量不要在页面的链接中暴露用户隐私信息;对于用户修改删除等操作最好都使用post 操作 ;避免全站通用的cookie,严格设置cookie的域。

二、实验总结与体会

  • 学会了使用burpsuite,不过只是部分功能
  • 这次的实践,sql部分比较容易弄懂,XSS和CSRF就有一丢丢难,总的来说,完成了最后一次实验,real开心。因为不用再做实验了呀~

三、实践过程记录

  • 1.SQL字符串注入

    • 通过观察题目中SQL语句,注入 ' or 1=1 --构成永真式
    • SELECT * FROM user_data WHERE last_name = '' or 1=1 --'
    • 注入成功
  • 2.数字型SQL注入

    • 数字型的题目比较简单,也无需封闭引号,通过设置代理,修改Params选项下的参数101 为 101 or 1=1
    • SELECT * FROM weather_data WHERE station = 101 or 1=1
    • 注入成功
  • 3.命令注入

    • 题目要求:理解基于身份的认证,回答问题

    • 不是很明白要干什么,查看提示:使用系统命令,返回文件目录

    • 通过注入一条指令,更改显示内容

    • 使用burpsuite查看捕到的包的内容,

    • type='SUBMIT' value='View'><br><br><hr width='90%'>ExecResults for '[/bin/sh, -c, cat "/root/.extract/webapps/WebGoat/plugin_extracted/plugin/CommandInjection/resources/AccessControlMatrix.html"]'<br>Output...<br>

    • type属性为submit,为“View”按钮,动态执行cat命令——显示整个文件并输出

    • 注入AccessControlMatrix.help"&&cal"

    • 点击GO之后,显示成功

  • 4.登陆电子欺骗

    • 题目要求:添加用户名,使其登陆的时候失败,但以为自己登陆成功
    • 在username中添加:20145337%0d%0aLogin Succeeded
    • 注入成功
  • 5.LAB:Stage 1

    • 和字符串注入一样,在password那里注入' or 1=1 --'
    • 注入成功
  • 6.盲数字注入

    • 允许用户输入帐号并确定其有效与否
    • 构造AND XXXX 语句来进行注入,判断其范围
    • 注入101 AND ((SELECT pin FROM pins WHERE cc_number='1111222233334444') > 100 );判断其上限
    • 101 AND ((SELECT pin FROM pins WHERE cc_number='1111222233334444') > 1000 );判断其下限
    • 多次尝试得到正确结果为:2364
  • 7.跨站脚本钓鱼攻击

    • 编写钓鱼网站的页面(我并不会)

    • 在用户点击Search时出现另一个登陆界面,待用户输入用户名及密码后,攻击成功

  • 8.存储型XSS攻击

    • 提示:放一个HTML标签在message中
    • 在title里输入标题,在message中注入脚本语言
    • 攻击成功
  • 9.反射型XSS

    • A simple script is <SCRIPT>alert('bang!');</SCRIPT>.

    • 好吧,就用这句提示<SCRIPT>alert('bang!');</SCRIPT>

    • 攻击成功

  • 10.CSRF

    - 你的目标是发一个email给newsgroup,内容包括一个有恶意URL请求的图片。URL要指向“attack”(包含参数“Screen”和“Menu”,还有一个额外参数“transferFunds”)。当收到含有CSRF页面的邮件时,就会执行transferFunds
    - 在message中输入:`<img src='attack?Screen=277&menu=900&transferFunds=5000' width='1' height='1'>`
    - 当受害者浏览这个网页时,会在当前界面发送一个transferFunds的请求,浏览器认为得到图片,但实际上是一个资金转移。
    
  • WebGoat截图

posted on 2017-05-19 21:03  20145337马月  阅读(122)  评论(0编辑  收藏  举报