20145233《网络对抗》Exp8 Web基础

实验问题思考

  • 什么是表单？

    • 表单在网页中主要负责数据采集功能
    • 一个表单有三个基本组成部分： 表单标签
    • 表单域：包含了文本框、密码框、隐藏域、多行文本框、复选框、单选框、下拉选择框和文件上传框等
    • 表单按钮：包括提交按钮、复位按钮和一般按钮.表单按钮可以用于将数据传送到服务器上的CGI脚本或者取消输入，还可以用表单按钮来控制其他定义了处理脚本的处理工作

  • 浏览器可以解析运行什么语言？

    • 超文本标记语言：HTML
    • 可扩展标记语言：XML
    • 脚本语言：ASP、PHP、Script、JavaScript、VBScript、Perl、Python、ColdFusion、Java、JSP等

  • WebServer支持哪些动态语言？

    • php、asp、net、java、ruby等多种动态开发语言

实验内容

  • Web前端HTML

    • 能正常安装、启停Apache。理解HTML，理解表单，理解GET与POST方法,编写一个含有表单的HTML。

  • Web前端javascipt

    • 理解JavaScript的基本功能，理解DOM。编写JavaScript验证用户名、密码的规则。

  • Web后端：MySQL基础：正常安装、启动MySQL，建库、创建用户、修改密码、建表

  • Web后端：编写PHP网页，连接数据库，进行用户认证

  • 最简单的SQL注入，XSS攻击测试

    • 功能描述：用户能登陆，登陆用户名密码保存在数据库中，登陆成功显示欢迎页面

实验过程

  • （我做完了才发现怎么名字又变回老师的名字了，我以为上次改过之后会保存的，但是实验中的所有都是我自己做的，绝无虚假！）

Apache

  • 先通过apachectl start命令开启Apach,使用netstat -aptn命令查看端口占用的情况

  • 因为端口号80已经被占用（上次DNS实验设置的），所以先修改/etc/apache2/ports.conf里的端口为5233后重新开启

  • 可以在浏览器中输入localhost：5233来检查是否正常开启，这里可以看到打开了上次实验的网页，启动正常

简单的表单网页

  • 重新生成一个5233.html文件，做成一个有表单功能的网页：

  • 在浏览器中打开localhost:5233/5233.html(颜色我使用了一个很有意思的颜色):

  • （当然是选择原谅她啊）

  • 点击提交会把表单提交到指定页面，因为还没有编写php文件，所以提交后找不到页面（notfound）：

javascript

  • JavaScript是一种广泛用于客户端Web开发的脚本语言，常用来给HTML网页添加动态功能，比如响应用户的各种操作。
  • 文档对象模型(Document Object Model，简称DOM，是W3C组织推荐的处理可扩展标志语言的标准编程接口。
  • 编写验证用户名和密码的规则：（例如用户名和密码不能为空）
function nameText(){

var name= document.getElementByIdx_x ("username");

    var divID= document.getElementByIdx_x ("divName");

    divID.innerHTML="";

    if(name.value==""){

         divID.innerHTML="用户名不能为空";

         return false;

}

}

function passText(){

var pass= document.getElementByIdx_x ("password");

    var divIP= document.getElementByIdx_x ("divPass");

    divIP.innerHTML="";

    if(pass.value==""){

         divIP.innerHTML="密码不能为空";

         return false;

}

}

}

＜/script＞

PHP测试

  • PHP，一个嵌套的缩写名称，是英文超级文本预处理语言（PHP:Hypertext Preprocessor）的缩写。PHP 是一种 HTML 内嵌式的语言，PHP与微软的ASP颇有几分相似，都是一种在服务器端执行的嵌入HTML文档的脚本语言，语言的风格有类似于C语言，现在被很多的网站编程人员广泛的运用。

  • 简单的php测试代码：

<?php

  echo ($_GET["A"]);

  include($_GET["A"]);

  echo "php page test!hahahahahaha<br>";

?>

20145233
  • 打开localhost:5208/20145208test.php:

MySQL

  • 使用命令/etc/init.d/mysql start打开mysql服务

  • 输入mysql -u root -p，并根据提示输入密码，默认密码为p@ssw0rd，进入MySQL:

  • 可以使用命令show databases；查看信息(注意：分号不能漏掉，因为分号表示命令结束)

  • 修改密码可以进行下列指令：

    • 输入use mysql;，选择mysql数据库
    • 输入select user, password, host from user;，mysql库中的user表中存储着用户名、密码与权限
    • 输入UPDATE user SET password=PASSWORD("新密码") WHERE user='root';
    • 输入flush privileges;，更新权限
    • 输入quit退出

  • 重新登录就可以发现密码修改成功

创建新表

  • 使用如下两条命令可以建立新表（开始的符号出错了导致有一个error）

CREATE SCHEMA `库表的名称`;

CREATE TABLE `库表的名称`.`users` (

 `userid` INT NOT NULL COMMENT '',

 `username` VARCHAR(45) NULL COMMENT '',

 `password` VARCHAR(256) NULL COMMENT '',

 `enabled` VARCHAR(5) NULL COMMENT '',

 PRIMARY KEY (`userid`) COMMENT '');

  • 向表中添加内容:

  • use 刚刚建立的库表的表名

  • insert into users(userid,username,password,enabled) values(1,'用户id',password("用户密码"),"TRUE");

  • 再次show查看信息就可以看到新建表：

php+mysql编写网页

  • 网页的登录页面：
<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>login</title>

    <script type="text/javascript">

         $("#login-button").click(function(event){

                 event.preventDefault();

             $('form').fadeOut(500);

             $('.wrapper').addClass('form-success');

        });

        function check(){

        {

          if(form.username.value == "")//如果用户名为空

          {

            alert("您还没有填写用户名！");

            form.username.focus();

            return false;

          }

          if(form.pass.value == "")//如果密码为空

          {

            alert("您还没有填写密码！");

            myform.pass.focus();

            return false;

          }

        }

    </script>

</head>

<body>

    <div class="wrapper">

        <div class="container">

            <h1>Welcome</h1>

            <form name='form' class="form" method='get' action='login.php' onSubmit="return check()">

                <input type="text" placeholder="Username" name='username'>

                <input type="password" placeholder="Password" name='password'>

                <button type="submit" id="login-button" name='submit' value='submit'>Login</button>

                <button type="submit" id="register-button"><a href="register.html" class="cc">register</a></button>

            </form>

        </div>

    </div>

</body>

</html>

  • 实现与数据库链接的php页面：
<?php

$uname=($_GET["username"]);

$pwd=($_GET["password"]);

echo $uname;

$query_str="SELECT * FROM users where username='{$uname}' and password=password('{$pwd}');";

echo "<br> {$query_str} <br>";

$mysqli = new mysqli("127.0.0.1", "root", "20145233", "hhc_5233");

/* check connection */

if ($mysqli->connect_errno) {

    printf("Connect failed: %s\n", $mysqli->connect_error);

}

else echo "aishiyidaoguang,rucimeimiao<br>";

if ($result1= $mysqli->multi_query($query_str))

        echo "dangranshixuanzeyuanliangtaa <br> ";

$mysqli->close();

$mysqli = new mysqli("127.0.0.1", "root", "20145233", "hhc_5233");

/* check connection */

if ($mysqli->connect_errno) {

    printf("Connect failed: %s\n", $mysqli->connect_error);

    exit();

}

echo "connection ok!";

/* Select queries return a resultset */

if ($result = $mysqli->query($query_str)) {

    if ($result->num_rows > 0 ){

        echo "<br> Wellcome login Mr/Mrs:{$uname} <br> ";

    } else {

        echo "<br> login failed!!!! <br> " ;

    }

    /* free result set */

    $result->close();

}

$mysqli->close();

?>

  • 输入登录信息，登录成功：

  • 输入登录信息，登录失败：

SQL注入

  • 老师上课所讲的永真式注入：' or 1=1#，密码随便输入

  • 开始注入的时候我出现了问题，是因为我没有将库的信息输入正确，我自己前面设置的密码与其他搞混了，出现以下状况，修改后成功：

  • 注入成功

  • 接下来我看到了蔡野同学通过sql注入保存用户名密码到数据库，我也同样试用了一下他的方法，利用这个判断将结果引导其他地方：

    ';insert into users(userid,username,password,enabled) values(5233,'hhc',password("20145233"),"TRUE");#

  • 注入成功（爱是一道光如此美妙）：

XSS攻击

  • XSS攻击：跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆。故将跨站脚本攻击缩写为XSS。XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。
  • 在html文件下放置一个图片：
  • 输入<img src="5233.jpg" />20145233</a>来读取网页目录下的图片(可爱的2b小姐姐)：

会话管理

  • 实验代码参照罗天晨同学的代码git托管

  • 进入http://localhost:5233/logIn.php并登录发贴：

  • 我的这里有些问题，无法跳转很奇怪，我会在之后继续研究

实验总结

  • 本次实验涉及到的只是还是比较多的，其中关于javaweb的知识还是比较多的，这又让我想起了Java，曾经被Java博客支配的恐惧，不过刘老师的博客写的还是让人很舒服的，觉得有所收获，不像java一样难懂，虽然Java也有所学。
  • 其中关于网页编写的地方，很多地方都有些遗忘了，只记得比较简单的地方，在后面的实验中，我看到有的同学还是可以凭借自己的实力写出代码，我还是觉得他们很厉害，学的知识不容易忘。我觉得自己在这方面还是需要加强，知识需要不停地复习。
  • 在最后一部分的会话管理中，我的出现了问题，就是输入库里的账号密码信息，居然没有跳转，不清楚是为什么，在咨询了蔡野同学之后，依旧没有解答，所以我先将这个问题放在这里，就在这两天对其进行更详细的解答。

20145233《网络对抗》Exp8 Web基础的更多相关文章

  1. 20145326蔡馨熤《网络对抗》—— Web基础

    20145326蔡馨熤<网络对抗>—— Web基础 1.实验后回答问题 (1)什么是表单. 表单是一个包含表单元素的区域,表单元素是允许用户在表单中输入信息的元素,表单在网页中主要负责数据 ...

  2. 20155305《网络对抗》Web基础

    20155305<网络对抗>Web基础 实验过程 Web前端:HTML 使用netstat -aptn查看80端口是否被占用(上次实验设置为Apache使用80端口),如果被占用了就kil ...

  3. 20155307实验八 《网络对抗》 Web基础

    20155307实验八 <网络对抗> Web基础 实验过程 Web前端:HTML 使用netstat -aptn查看80端口是否被占用(上次实验设置为Apache使用80端口),如果被占用 ...

  4. 20155311《网络对抗》Web基础

    20155311<网络对抗>Web基础 实验过程 Web前端:HTML 使用netstat -aptn查看80端口是否被占用(上次实验设置为Apache使用80端口),如果被占用了就kil ...

  5. 20145216史婧瑶《网络对抗》Web基础

    20145216史婧瑶<网络对抗>Web基础 实验问题回答 (1)什么是表单 表单在网页中主要负责数据采集功能.一个表单有三个基本组成部分: 表单标签.表单域.表单按钮. (2)浏览器可以 ...

  6. 20145227鄢曼君《网络对抗》Web基础

    20145227鄢曼君<网络对抗>Web基础 实验内容 (1)Web前端HTML (2)Web前端javascipt (3)Web后端:MySQL基础:正常安装.启动MySQL,建库.创建 ...

  7. 20145312袁心《网络对抗》Web基础实践

    20145312袁心<网络对抗>Web基础实践 问题回答 1.什么是表单: 表单在网页中主要负责数据采集功能. 一个表单有三个基本组成部分: 表单标签:这里面包含了处理表单数据所用CGI程 ...

  8. 20145321 《网络对抗》 Web基础

    20145321 <网络对抗> Web基础 基础问题回答 (1)什么是表单 表单在网页中主要负责数据采集功能,一个表单有三个基本组成部分:表单标签——这里面包含了处理表单数据所用CGI程序 ...

  9. 20145330 《网络对抗》 Web基础

    20145330 <网络对抗> Web基础 1.实践内容 (1)Web前端HTML (2)Web前端javascipt (3)Web后端:MySQL基础:正常安装.启动MySQL,建库.创 ...

  10. 20144303石宇森 《网络对抗》 WEB基础实践

    20144303石宇森 <网络对抗> WEB基础实践 实验后回答问题 一.什么是表单 表单是一个包含表单元素的区域.用form来定义. HTML是静态显示网页的,无法跟服务器进行交互,所以 ...

随机推荐

  1. django之部署

    布署 从uwsgi.nginx.静态文件三个方面处理 服务器介绍 服务器:私有服务器.公有服务器 私有服务器:公司自己购买.自己维护,只布署自己的应用,可供公司内部或外网访问 公有服务器:集成好运营环 ...

  2. Eclipse注释配置

    新的文件/** * @ClassName: ${type_name}  * @Description: ${todo} * @author ${user} * @date ${date} ${time ...

  3. delphi三层架构

    我们的delphi程序很多是以前开发的,采用典型的CS架构,由程序直接连接数据库.现在需要改成在外网可以直接操作软件.先把数据库搬到了阿里云上,测试发现直接连数据库和VPN连接测试速度很慢,直连还容易 ...

  4. 安装mongodb时报错 configure: error: Cannot find OpenSSL's libraries

    请安装这些包以便继续: apt-get install build-essential libexpat1-dev libgeoip-dev libpng-dev libpcre3-dev libss ...

  5. Android开发实战之补间动画和属性动画

    说起动画,其实一点也不陌生,在使用一款app的时候为了优化用户体验,多多少少的,都会加入动画. 安卓中的动画,分为两大类:补间动画和属性动画.本篇博文会详细介绍总结这两大动画,希望本篇博文对你的学习和 ...

  6. 【UVA1515 算法竞赛入门指南】 水塘【最小割】

    题意: 输入一个h行w列的字符矩阵,草地用“#”表示,洞用"."表示.你可以把草改成洞,每格花费为d,也可以把洞填上草,每格花费为f.最后还需要在草和洞之间修围栏,每条边花费为b. ...

  7. 109. Convert Sorted List to Binary Search Tree (List; Divide-and-Conquer, dfs)

    Given a singly linked list where elements are sorted in ascending order, convert it to a height bala ...

  8. 689. Maximum Sum of 3 Non-Overlapping Subarrays三个不重合数组的求和最大值

    ［抄题］: In a given array nums of positive integers, find three non-overlapping subarrays with maximum ...

  9. solr 搭建 （基于solr-5.0.0）

    1)去官网下载solr 2)去官网下载Tomcat 3)在D盘建一个文件夹(我在此建立了一个文件夹(命名为:sorl_lf)) 4)解压Tomcat(如果已经安装了Tomcat,请配置支持多个Tomc ...

  10. ORACLE修改表空间方法

    一.使用imp/exp.先导出源库,再创建新库把表空间创建好,然后再导入.(据说这样可以,前提是新的库里面不能有与源库相同名字的表空间.有待验证!) 二.使用脚本进行修改.据目前所了解,正长情况下需要 ...