20175104 李屹哲 exp9 web安全基础实践

目录

1. 实验内容

启动webgoat

(一)SQL注入攻击

(二)XSS攻击

(三)CSRF攻击

2. 实验问题回答

3. 实验体会

启动webgoat

  • 下载webgoat:网站https://github.com/WebGoat/WebGoat/releases/tag/7.0.1,下载webgoat-container-7.0.1-war-exec.jar(这里多说一句8.0.0版本的有问题,有点头秃,看到之前的学长学姐用的都是7.0.1,那就也用这个版本吧)

  • 再有该文件的在命令行输入 java -jar webgoat-container-7.0.1-war-exec.jar 开启WebGoat

  • 运行一段时间之后命令行出现Starting ProtocolHandler证明开启成功

  • 打开浏览器访问localhost:8080/WebGoat 

  • 如果右侧未出现课程则重新下载jdk(一开始左边只有一栏,忘记截图)看了学姐的博客知道是编译后的java程序与Linux上的java Se版本不一致而产生的错误,我服了,真是啥问题都给遇上;不过直接下载个jdk1-8,然后按这篇链接做就行。

  • 现在好了,建议直接登录root用户进行实验,否则我再普通用户开启服务时会显示java接口调取权限不够

回到顶部

SQL注入攻击

1. Numeric SQL Injection

  • 目的:允许用户查看天气数据,通过注入一条SQL语句来显示全部天气信息

  • 原理:通过选择不同地点,可以选择查看相应城市的信息。每选择一个城市,就会把该城市对应的station字段填入SELECT * FROM weather_data WHERE station = ?这条语句中,在数据库后台执行,并将从数据库中得到的搜索结果打印在屏幕上

  • 然后右键选择inspter....,这里找sql语句的values加上 or 1=1 永真以显示其他城市,这里找sql语句时候要耐心

  • 然后这里再选哥伦比亚->GO就会惊喜的发现这里所有的城市都显示了

2. Log Spoofing

  • 日志欺骗就是通过添加假的日志文件以实现登录,在User Name输入 lyz%0d%0aLogin Succeeded for username: admin ,%0d表示空格,%0a表示换行;接下来点击登录会显示两行信息,第二行显示admin登陆成功,证明登陆成功

3. String SQL Injection

  • 题目中 SELECT * FROM user_data WHERE last_name = 'Your name' ,我们知道他是一个查询语句,所以真正需要修改的就是查询名字那里

  • 而我们需要显示所有用户的信息,所以这里在查询时加入用永真式语句'or 1 = 1',将查询语句变为 SELECT * FROM user_data WHERE last_name = ''or 1 = 1 ,由于有一个条件永远为真,因此会查询所有用户的信息(其实感觉这里原理和数字注入原理差不多)

  • 这里其实直接输入指令‘or 1=1 --就行,即可实现永真了

4. Database Backdoors

  • 这个就是数据库后门攻击
  • 题目要求是提高下自己的工资,这个还是比较简单的用一下update语句就行了,具体指令为 101; update employee set salary=8000 

  • 惊喜的发现还有步骤二,就是让你设置一个tigger,达到目的:只要添加了新员工,就把他邮箱设置成john@hackme.com

  • 那就设置吧,要输入的指令如下,我们尝试一下
101 or 1=1;CREATE TRIGGER myBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='john@hackme.com'WHERE userid = NEW.userid;

  • 完成

回到顶部

XSS攻击

1. Phishing with XSS

在搜索框中输入XSS攻击代码,利用XSS可以在已存在的页面中进一步添加元素的特点。我们先创建一个form,让受害人在我们创建的form中填写用户名和密码,再添加一段JS代码,读取受害人输入的用户名和密码,并且将这些信息发送给http://localhost:8080/WebGoat/catcher?PROPERTY=yes...

  • 源码可以通过solution找到
  • 可以发现下方多了一个登录页面

  • 输入登录信息之后就可以了,之后会弹出一个页面提示信息被获取了

2.Stored XSS Attacks

存储型XSS攻击,通过输入代码使用户访问时弹出非预期的内容。

  • 存储型XSS多用于贴吧等场所;如果你在留言板加入XSS代码,那么如果有人点击了你的帖子,就会调用你加入的恶意XSS
  • 我们这里加入一个警告 <script>alert("blackmailed");</script> ,如果点击发到帖子,就会显示该代码

3. Reflected XSS Attacks

 

反射型XSS是最常见的Web应用程序安全漏洞之一;
指:攻击者在网页嵌入客户端脚本,通常是JavaScript编写的危险代码,当用户使用浏览器浏览网页时,脚本就会在用户的浏览器上执行,从而达到攻击者的目的;

 

  • 在上一次的实验八中实际上做的就是反射型XSS,这里在文本框加入和上文一样的警告,发现结果一样,证明攻击成功

CSRF攻击

1. Cross Site Request Forgery

实验要求目标是发一个电子邮件给newsgroup,内容包括一个有恶意请求的图片URL。这个URL指向“attack”(包含参数“Screen”和“Menu”,还有一个参数“transferFunds”(转账))。如果收到含有CSRF页面的邮件时,就会执行transferFunds。 在框中输入代码 ,当受害者浏览这个网页时,会发送一个transferFunds的请求,浏览器认为是正常的打开图片请求,但实际执行了恶意转账请求。

  • 在文本框中提交一个含有转账恶意请求的代码,<img src="http://localhost:8080/WebGoat/attack?Screen=&menu=900&transferFunds=104"/>  

  • 成功后旁边会有对勾

2. CSRF Prompt By-Pass

网页上的手动发起的请求,通过HTML+JavaScript向服务器请求;这道题的要求我们确认用户转账,也就是说url需要使用下面两个参数:transferfunds=数额 和transferfunds=CONFIRM

  • 文本框代码为
<iframe src="attack?Screen=279&menu=533&transferFunds=5104">
</
iframe>
 <iframe src="attack?Screen=279&menu=533&transferFunds=confirm" >
</iframe>
  • 结果显示攻击成功(有绿勾),底下文本框有转账confirme信息

回到顶部

问题回答

SQL注入攻击原理,如何防御

sql注入原理:就是通过把SQL命令插入到“Web表单递交”或“输入域名”或“页面请求”的查询字符串,最终达到欺骗服务器执行恶意的SQL命令,来获取一些隐私信息甚至越权登录。

防御手段:

1、使用参数化筛选语句,为了防止SQL注入,用户输入不能直接嵌入到SQL语句中。

2、避免使用解释程序,这是黑客用来执行非法命令的手段。

3、防止SQL注入,但也避免一些详细的错误消息,因为黑客可以使用这些消息。标准的输入验证机制用于验证所有输入数据的长度、类型、语句和企业规则。

4、使用专业的漏洞扫描工具。

5、最后,企业在Web应用程序开发过程的所有阶段执行代码安全检查。首先,安全测试应该在部署Web应用程序之前实现,这比以前更重要、更深远。企业还应在部署后使用漏洞扫描工具和站点监控工具测试网站。

(二)XSS攻击的原理,如何防御

XSS攻击原理:利用网页开发时留下的漏洞,将恶意代码植入网页,使用户加载并执行攻击者恶意制造的网页程序。攻击成功后,可以进行越权操作、获取私密网页内容、会话和cookie等各种内容

防御手段:

1.对输入和URL参数进行过滤(白名单和黑名单)

2.对输出内容进行编码

(三)CSRF攻击原理,如何防御

CSRF攻击原理:利用你关闭网站但未结束的会话,盗取你的身份以你名义发送邮件,发消息,盗取你的账号,甚至于购买商品,虚拟货币转账......

防御手段:

1.客户端页面增加伪随机数(验证码)

2.定期清理cookie

回到顶部

实验感想

  本次实验实际上本质是利用教学软件webgoat进行了一系列的的sql、xss、crsf攻击以用来达到更加了解网络安全的目的,在平时也能更好的防范这几种攻击;感觉实验八和实验九弥补了上学期的很多欠缺的知识点;这次试验是本学期的最后一次是实验,虽然很多实验做起来很艰辛;但整体来说还是受益匪浅的

回到顶部

posted @ 2020-05-18 23:07  20175104李屹哲  阅读(268)  评论(0编辑  收藏  举报