20155328 《网络对抗》 实验九 Web安全

基础

实验过程记录

在实验开始之前先把webgoat的jar包放到home目录下。打开终端，用命令java -jar webgoat-container-7.0.1-war-exec.jar开启WebGoat.

输入默认的用户名和密码，登陆webgoat。

XSS攻击

1.Pinishing with XSS跨站脚本钓鱼攻击

在webgoat中打开Pishing with XSS，将写好的前端代码粘贴到输入框中，点击search:

在登陆框输入用户名和密码，登陆后跳出来的框中就显示出来了：

2.Stored XSS Attacks存储型XSS攻击

在WebGoat中打开Stored XSS Attacks，Message框中输入<script>alert("I am zhangyuqing");</script>，点击submit提交：

3.Reflected XSS Attacks反射型XSS攻击

打开XSS第三个攻击，在code框中输入<script>alert("I am groot20155328");</script>，点击purchase出现对话框：

CSRF攻击

4.Cross Site Request Forgery(CSRF)

查看网页右边Parameters中的src和menu值，在title框中输入学号，message框中输入代码<img src='attack?Screen=src值&menu=menu值&transferFunds=转账数额' width='1' height='1'>，提交后
生成链接20155328：

点开链接，可以看到用户操作信息：

5.CSRF Prompt By-Pass

在title框中输入学号，message框中输入代码：

<iframe src="attack?Screen=src值&menu=menu值&transferFunds=转账数额"> </iframe>
<iframe src="attack?Screen=src值&menu=menu值&transferFunds=CONFIRM"> </iframe>

提交后点开生成的名为20155328的链接：

SQL注入攻击

6.命令注入（Command Injection）

调试网页源代码需要用到Firebug，我的浏览器没有，所以就去工具栏的Add-on中下载：

下载并安装好以后，工具栏多出一个小虫子图标，点开就可以开始用firebug进行网页源代码调试啦：

点开虫子图标，在view那一行的复选框中代码后添加"& netstat -an & ipconfig"：

点击view按钮，就可以看见刚才输入的命令执行结果了：

7.Log Spoofing日志欺骗

在username中输入5328%0d%0aLogin Succeeded for username: admin，点击Login：

8.String SQL Injection字符串型注入

选择String SQL Injection，输入查询的用户名Zhang' or 1=1--（Zhang之后的引号与之前的引号形成闭合，而1=1是永真式，--之后的内容被注释掉了，即可查询表中所有数据）：

9.LAB:SQL Injection

在密码框中输入' or 1=1 --，登陆失败；使用Firebug查看网页源码，发现密码有长度限制，就将maxlength改为100，再次尝试；成功：

10.Database Backdoors

输入实例101尝试，获得了用户号为101的用户信息：

输入语句101; update employee set salary=99999，将用户工资变为99999：

输入语句101 or 1=1;CREATE TRIGGER myBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='20155328@hackme.com' WHERE userid = NEW.userid，则表中一旦添加新用户，该用户的邮箱即为我设置的邮箱。

实验后问题回答

  • SQL注入攻击原理是啥？如何防御？

原理是将SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。防御方法就是尽量替换单引号，并删除用户输入内容中的所有连字符。

  • XSS攻击原理是啥？如何防范？

原理是往Web网页中插入恶意HTML代码，当用户浏览该页时，恶意代码就会被执行。防范方法：在表单提交或者url参数传递前，对需要的参数进行过滤。

  • CSRF攻击原理是啥？如何防范？

钓鱼，让用户在不知情的情况下攻击自己登陆的一个系统。防御：尽量不要在页面的链接中暴露用户隐私信息；避免全站通用的cookie，严格设置cookie的域。

实践总结与体会

哇，最后一次实验敲到这里也就要说拜拜了。9次实验里面感觉学了很多很厉害的东西（虽然对于专业人士而言只是一点皮毛），但也感觉超绝快乐！！学而不思则罔，希望自己接下来的学习路也能一边思考一边学吧。ヾ(◍°∇°◍)ﾉﾞ加油！