2018-2019-2 20165331《网络对抗技术》Exp 8 Web基础
实验收获与感想
通过本次实验,我学会了简单的网页制作,还算是简单。不过通过亲自操作我也发现了其安全性的不足,不过就目前已知的攻击方式的话,简单的限制输入就可以防范了。
什么是表单
表单在网页中主要负责数据采集功能。一个表单有三个基本组成部分:
- 表单标签:这里面包含了处理表单数据所用CGI程序的URL以及数据提交到服务器的方法。
- 表单域:包含了文本框、密码框、隐藏域、多行文本框、复选框、单选框、下拉选择框和文件上传框等。
- 表单按钮:包括提交按钮、复位按钮和一般按钮;用于将数据传送到服务器上的CGI脚本或者取消输入,还可以用表单按钮来控制其他定义了处理脚本的处理工作。
浏览器可以解析运行什么语言。
HTML、XML、Python、PHP、JavaScript、ASP等众多语言。
WebServer支持哪些动态语言
目前,最常用的三种动态网页语言有ASP,JSP,PHP。
实验流程
ⅠWeb前端HTML
(1)kali默认已安装Apache,直接使用 service apache2 start
命令打开Apache服务即可。如果没有任何错误提示,即表明成功开启。
![0](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519213658571-1267680481.png)
(2)此时在浏览器输入127.0.0.1,如果可以打开Apache的默认网页,则开启成功
![1](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519213737951-2060184441.png)
![2](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519213831232-739688117.png)
![3](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519213859649-286550650.png)
ⅡWeb前端:javascipt
![4](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519214025827-360106213.png)
![5](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519214109320-472109774.png)
ⅢWeb后端:MySQL基础
(1)输入 /etc/init.d/mysql start
开启MySQL服务,并输入mysql -u root -p
使用root权限进入,默认的密码是password
![6](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519214227230-599209995.png)
![7](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519214237450-134696458.png)
(2)分别用show databases;
查看数据库基本信息,use mysql;
选择使用mysql这个数据库,select user, password, host from user;
查看当前用户信息,update user set password=PASSWORD("新密码") where user='root';
修改密码,flush privileges;
更新权限
![8](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519214545220-1843532988.png)
![9](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519214554080-691645377.png)
![10](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519214604230-670111212.png)
![11](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519214615562-497806890.png)
![12](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519214625032-1682925934.png)
(3)退出数据库,使用新的密码登录
![13](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519214705224-771322314.png)
(4)分别使用create database <数据库名称>;
建立数据库,use <数据库名称>;
使用数据库,create table <表名> (字段设定列表);
建立数据库表,并设置字段基本信息,show tables;
查看表信息,insert into <表名> values('值1','值2','值3'...);
插入数据,grant select,insert,update,delete on 数据库.* to <用户名>@<登录主机>(可以是localhost,也可以是远程登录方式的IP) identified by "密码";
增加新用户,最后退出并使用新的用户名和密码进行登录
![14](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519215425338-1700513136.png)
![15](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519215437250-945947696.png)
![16](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519215454245-1267958497.png)
![17](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519215505958-2059959939.png)
![18](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519215521656-792230672.png)
![19](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519215535407-423060203.png)
![20](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519215555731-2015186174.png)
ⅣWeb后端:编写PHP网页
(1)在/var/www/html
目录下新建一个PHP测试文件phptest.php ,简单了解一下它的一些语法
![21](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519215711578-311328095.png)
(2)在浏览器网址栏中输入 localhost:80/phptest.php 可看到文件的内容
![22](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519215741000-1166590254.png)
(3)利用PHP和MySQL,结合之前编写的登录网页进行登录身份认证,修改后的login.php如下
![23](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519215849725-226251978.png)
(4)修改login.html
![24](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519215921495-1554514067.png)
(5)在浏览器输入127.0.0.1/login.html访问自己的登录界面,登陆后即可看到结果
Ⅴ最简单的SQL注入,XSS攻击测试
(1)SQL注入,在用户名输入框输入 ' or 1=1#
密码任意输入,可登陆成功
![25](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519220236140-1595567346.png)
(2)XSS攻击测试,将一张图片放在/var/www/html
目录下,在用户名输入框输入<img src="huaji.jpg" />
,密码随意,就可以读取图片了
![26](https://img2018.cnblogs.com/blog/1296824/201905/1296824-20190519220414741-1786147130.png)