2017-2018-2 20155224『网络对抗技术』Exp8：Web基础

实践具体要求

• Web前端HTML(0.5分)

  • 能正常安装、启停Apache。理解HTML，理解表单，理解GET与POST方法,编写一个含有表单的HTML。

• Web前端javascipt(0.5分)

  • 理解JavaScript的基本功能，理解DOM。编写JavaScript验证用户名、密码的规则。

• Web后端：MySQL基础：正常安装、启动MySQL，建库、创建用户、修改密码、建表(0.5分)

• Web后端：编写PHP网页，连接数据库，进行用户认证(1分)

• 最简单的SQL注入，XSS攻击测试(1分)

  • 功能描述：用户能登陆，登陆用户名密码保存在数据库中，登陆成功显示欢迎页面。

基础问题回答

• 什么是表单？

  • 表单在网页中主要负责数据采集功能。一个表单有三个基本组成部分：
  • 表单标签：这里面包含了处理表单数据所用CGI程序的URL以及数据提交到服务器的方法。
  • 表单域：包含了文本框、密码框、隐藏域、多行文本框、复选框、单选框、下拉选择框和文件上传框等。
  • 表单按钮：包括提交按钮、复位按钮和一般按钮；用于将数据传送到服务器上的CGI脚本或者取消输入，还可以用表单按钮来控制其他定义了处理脚本的处理工作。

• 浏览器可以解析运行什么语言？

  • 支持HTML（超文本标记语言）、XML（可扩展标记语言）以及Python、PHP、JavaScript、ASP等众多脚本语言。

• WebServer支持哪些动态语言？

  • 最常用的三种动态网页语言有ASP(ActiveServerPages),JSP(JavaServerPages),PHP(HypertextPreprocessor)。
  • ASP全名ActiveServerPages，是一个WEB服务器端的开发环境，利用它可以产生和执行动态的、互动的、高性能的WEB服务应用程序。ASP采用脚本语言VBScript（Javascript）作为自己的开发语言。
  • JSP是Sun公司推出的新一代网站开发语言，Sun公司借助自己在Java上的不凡造诣，将Java从Java应用程序和JavaApplet之外，又有新的硕果，就是JSP，JavaServerPage。JSP可以在Serverlet和JavaBean的支持下，完成功能强大的站点程序。
  • PHP是一种跨平台的服务器端的嵌入式脚本语言。它大量地借用C,Java和Perl语言的语法,并耦合PHP自己的特性,使WEB开发者能够快速地写出动态产生页面。

实践过程记录

1. Web前端：HTML

1.使用service apache2 start命令打开Apache服务。

2.使用cd /var/www/html进入Apache目录下，新建一个简单的含有表单的html文件simple_form.html，包含用户名输入、密码输入、确认键功能：

2. Web前端：javascipt

1.在原有simple_form.html基础上添加JavaScript代码，判断用户是否输入为空：

3. Web后端：MySQL基础

1.输入/etc/init.d/mysql start开启MySQL服务：

2.输入mysql -u root -p使用root权限进入，密码p@ssw0rd：

【真的要时刻注意输入分号！忘了好多次】

3.先输入use mysql。输入update user set password=PASSWORD("123456【即新密码】") where user='root';，修改密码；输入flush privileges;，更新权限：

4.输入exit退出数据库，使用新的密码登录：

5.输入create database 【数据库名称】;建立数据库。输入show databases;查看存在的数据库，输入use 【数据库名称】使用数据库：

6.输入create table 表名 (字段设定列表1,字段设定列表2…);建立数据库表，并设置字段基本信息。输入show tables;查看表信息：

7.使用insert into 表名 values('值1','值2','值3'...);插入数据。使用select * from 表名;查询表中的数据：

8.在MySQL中增加新用户，使用grant select,insert,update,delete on 数据库名称.* to 用户名@localhost identified by "密码";指令。退出后使用mysql -u 【新用户名】 -p登陆。

这句话的意思是将对某数据库的所有表的select,insert,update,delete权限授予某ip登录的某用户

4. Web后端：编写PHP网页

1.在/var/www/html目录下新建一个PHP测试文件phptest.php

<?php
echo ($_GET["a"]);
include($_GET["a"]);
echo "This is my php test page!<br>";
?>

2.在浏览器网址栏中输入localhost:80/phptest.php?a=/etc/passwd，但是并没有看到应该出现的内容，但是跳转到了实验六中用到的界面：

找了几篇学长的博客，说是因为之前设置的端口号80已经被占用。

3.输入vi /etc/apache2/ports.conf，将端口号设置为5224。

4.在浏览器输入localhost:5224/phptest.php，测试成功。

5.利用PHP和MySQL，结合之前编写的登录网页进行登录身份认证。

6.在浏览器输入localhost:5224/simple_form.html访问自己的登录界面。

在这里一直出不来认证界面，非常捉急。反复检查代码数次后发现自己打错了一个引号【。

真是被坑死了

7.最终成功登录如下图所示：

8.若用户名密码失败则如下：

5. 最简单的SQL注入，XSS攻击测试

1.SQL注入：在用户名输入框输入' or 1=1#，密码任意输入，可登陆成功：

2.XSS攻击：将一张图片放在/var/www/html目录下，在用户名输入框输入<img src="图片名.jpg" />，可以读取图片：