2018-2019-2 20165312《网络攻防技术》Exp 8 Web基础

实验内容

Web前端HTML
- 能正常安装、启停Apache。理解HTML，理解表单，理解GET与POST方法,编写一个含有表单的HTML
Web前端javascipt
- 理解JavaScript的基本功能，理解DOM。编写JavaScript验证用户名、密码的规则
Web后端_MySQL基础
- 正常安装、启动MySQL，建库、创建用户、修改密码、建表
Web后端
- 编写PHP网页，连接数据库，进行用户认证
最简单的SQL注入，XSS攻击测试
- 功能描述：用户能登陆，登陆用户名密码保存在数据库中，登陆成功显示欢迎页面

实验步骤

Exp6_1 Web前端HTML

kali默认已安装Apache，service apache2 start打开Apache服务
浏览器访问127.0.0.1，如果可以打开Apache的默认网页，则开启成功
使用service apache2 stop可以关闭Apache服务
编写一个含有表单的html
- 进入cd /var/www/html进入Apache目录下，新建form.html

a simple example for form ``` ![](https://img2018.cnblogs.com/blog/1047583/201905/1047583-20190512145512324-34822452.png)

Exp6_2 Web前端javascipt

在form.html的基础上编写form_javascript.html实现对学号、姓名、籍贯、日期输入内容的检查

<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<title>a simple example for form</title>
<script language="javascript">  
function check(){
  if(document.myform.number.value == ""){
    alert("Please check your numberID");
         return false ;  
 }
    
  if(document.myform.name.value == ""){
    alert("Please check your name");
         return false ;  
 }
    
 if(document.myform.homeplace.value == ""){
    alert("Please check your homeplace");
         return false ;  
 }
    
 if(document.myform.dateofschool.value == ""){
    alert("Please check your date");
         return false ;  
 }    
}
</script>
</head>
<body>
  <center>
   <form name = "myform" method="post">
     <p >学生信息采集系统</p>
     学号:  <input type = "text" name = "number" ></tr><br><br>
     姓名:  <input type = "text" name  = "name" ></tr><br><br>
     籍贯:  <input type = "text" name  = "homeplace" ></tr><br><br>
     日期:  <input type = "text" name  = "dateofschool" ></tr><br><br>
     <input type = "submit" value="submit" onClick="return check()"></tr>
    </table>
  </form>
 </center>
</body>
</html>

测试没有输入学号
测试没有输入姓名
测试没有输入籍贯
测试没有输入入学日期

Exp6_3 Web后端_MySQL基础

开启MySQL服务/etc/init.d/mysql start
使用root权限进入mysql -u root -p，默认密码为password
查看基本信息show databases; //注意一定不要忘记输入分号！！后面同理！
修改密码
- use mysql;
- 查看mysql数据库中的用户、密码与权限select user, password, host from user;
- 更新root这一用户的密码UPDATE user SET password=PASSWORD("root") WHERE user='root';
- 更新权限flush privileges;
- 重新查看mysql数据库中的用户、密码与权限select user, password, host from user;
- 退出quit;
建立数据库create database 数据库名称;
使用上面新创建的数据库use caoge;
建立数据库表create table stu(number VARCHAR(20),name VARCHAR(20),homeplace VARCHAR(20),date VARCHAR(20)) ;
查看表信息show tables;
插入数据

insert into stu values('0001','Anna','FuJian','2016');
insert into stu values('0002','Bob','Beijing','2018');

查询表中的数据select * from stu;
增加新用户，将数据库caoge的root权限（包括select,insert,update,delete）授权给当前用户

grant select,insert,update,delete on caoge.* to cg@localhost identified by "20165312";

使用新用户登录mysql -u cg -p

Exp6_4 Web后端

在/var/www/html目录下新建一个PHP测试文件vim phptest.php

<?php
echo ($_GET["a"]);
include($_GET["a"]);
echo "This is my php test page!<br>";
?>

在浏览器网址栏中输入localhost:80/phptest.php?a=/etc/passwd可看到/etc/passwd文件的内容
利用PHP和MySQL，结合前面编写的登录网页进行登录身份认证form.php如下所示

<?php
$num=$_POST["number"];
$nam=$_POST["name"];
$home=$_POST["homeplace"];
$date=$_POST["dateofschool"];
echo $nam;
$query_str="SELECT * FROM stu where number='$num' and name='$nam' and homeplace = '$home' and date = '$date';";
$mysqli = new mysqli("127.0.0.1", "cg", "20165312", "caoge");

/* check connection */
if ($mysqli->connect_errno) {
  printf("Connect failed: %s\n", $mysqli->connect_error);
  exit();
}
echo " connection ok!";
/* Select queries return a resultset */
if ($result = $mysqli->query($query_str)) {
  if ($result->num_rows > 0 ){
          echo "<br> {$nam},Welcome login! <br> ";
  } 
  else {
      echo "<br> login failed!!!! <br> " ; }
  /* free result set */
  $result->close();
}
$mysqli->close();
?>