Exp9 Web安全基础
1.实验后回答问题
（1）SQL注入攻击原理，如何防御.
原理：
-
SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，其主要原因是程序没有细致地过滤用户输入的数据，致使非法数据侵入系统。
-
根据相关技术原理，SQL注入可以分为平台层注入和代码层注入。前者由不安全的数据库配置或数据库平台的漏洞所致；后者主要是由于程序员对输入未进行细致地过滤，从而执行了非法的数据查询。
防御：
-
永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式来操作。
-
永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
-
不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
-
应用的异常信息应该给出尽可能少的提示。
（2）XSS攻击的原理，如何防御.
原理：
- XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。这些代码包括HTML代码和客户端脚本。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。
防御：
- 传统XSS防御多采用特征匹配方式，在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击，采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击。
（3）CSRF攻击原理，如何防御.
原理：
-
可以这么理解CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账......造成的问题包括：个人隐私泄露以及财产安全。
-
CSRF攻击是源于WEB的隐式身份验证机制！WEB的身份验证机制虽然可以保证一个请求是来自于某个用户的浏览器，但却无法保证该请求是用户批准发送的！
防御：
- 通过 referer、token 或者 验证码 来检测用户提交。
- 尽量不要在页面的链接中暴露用户隐私信息。
- 对于用户修改删除等操作最好都使用post 操作 。
- 避免全站通用的cookie，严格设置cookie的域。
2.实验总结与体会
- 这次实验使用webgoat来分别尝试了XSS攻击、CSRF攻击、SQL注入攻击，感触还是很深。之所以能够进行这些攻击，不止是因为我们的web设计本身就有漏洞！还有我们在使用web的时候，太大意太疏忽了，没有想到会有一些危险的情况发生。我觉得，我们应该多去学习一些关于网络攻防的知识与技术，比如，如何能够进行XSS攻击、各种类型的SQL注入攻击等，这并不是说我们要去成为一名黑客，去攻击别人的网站，去盗取别人的信息，而是去了解有哪些XSS或SQL注入的攻击场景，再发掘出产生该漏洞的原因，从而去思考为什么会产生这个 bug，如何去修复这个 bug。网络攻防是一门艺术，以一种攻与防的博弈，攻防双方互相促进，咱们的信息社会才得以更好的发展。
3.实践过程记录
关于webgoat
- WebGoat运行在带有java虚拟机的平台之上，目前提供的训练课程有很多，包含了XSS、线程安全、SQL注入等，我们本次的实验就是在WebGoat平台上进行。根据老师给的实验指导，来进行webgoat的安装和登录。
XSS攻击
（1）Stored XSS Attacks
- 该实验目的是在新建帖子的message里进行XSS攻击。
- 即随意写任何在浏览器中可被执行的代码，创建成功后点击写好的帖子即被攻击。
- 写入massage内容为
<script>alert("It's 20145326caixinyi~");</script>
（2）Reflected XSS Attacks
- 该实验同样是在输入框中输入可执行代码，提交后被攻击。
- 使用burpsuite发现，
UpdateCart Purchase均以post提交数据。 - 在
Enter your credit card number:以及Enter your three digit access code:处的值均被post原样返回，所以在此处构造js语言。 - 这里是在ACCESS CODE 框里填入获取COOKIE的javascript代码
<script>alert(document.cookie);</script>
- 虽然这个实验的效果和上一个存储型XSS实验的效果类似，但是两者所用的原理不一样，存储型XSS是持久化的，代码是存储在服务器中的。
- 而反射型XSS攻击是非持久化的，也就是说它的代码是不存在于服务器中的，所以一般来说存储型XSS攻击危害更大。
（3）CSRF攻击
- 该实验为在新建邮件里写入可以更改由题目要求的attack的src、menu的transferFunds数值参数
- 可选用html里的iframe模块，自动连接打开所标示网页
- 这里在message里写入的内容为
<iframe src="attack?Screen=284&menu=900&transferFunds=5000"></iframe> - 注意这里面的Screen和menu的值在每个人的电脑中可能不一样，可以在当前页面的最下边查看。
- 提交后，会在消息列表中看到一个新的消息，点击该消息，当前页面就会下载这个消息并显示出来，转走用户的5000元，从而达到CSRF攻击的目的。
（4）CSRF Prompt By-Pass攻击
- 这里在message里写入内容为：
<iframe src="attack?Screen=271&menu=900&transferFunds=5000"> </iframe>
<iframe src="attack?Screen=271&menu=900&transferFunds=CONFIRM"> </iframe>
- 该实验与上个实验类似，同样是通过邮件的方式进行恶意请求。
- 这里不仅是对transferFunds数值参数进行了变化，还对这个过程进行了请求确认，所以需要两个iframe模块。
- url需要使用下面两个参数：
transferfunds=5000和transferfunds=CONFIRM
SQL注入攻击
(1)Log Spoofing
- 该实验为在用户名处使用%0d%0a（回车换行）以及文字内容来迷惑他人，虽然有成功登陆的文字信息，但实质上是登录失败的。
- 这里的user name处写入的内容是
%0d%0aLogin succeeded !admin
（2）Numeric SQL Injection
- 原本的功能是选择一个地点，显示一个地点的天气状况。
- 现在SQL注入后的功能是选择一个地点，显示所有地点的天气情况。
- 在kail中可使用burpsuite作为网页代理，对传送的网页内容进行编辑以后再发到服务器。
- 打开burpsuite。绑定我的学号为端口。address选择本地。
（3）String SQL Injection
- 该实验和Numeric SQL Injection类似，原本只能查到某一个人的信息，现在通过SQL语句的注入使整张表都显示出来。
- 这里的last name写入的内容是
' or 1=1;--,构造一个永真式。因为last name是字符型的，所以需要在开始加上单引号。
（4）XPATH Injection
- 题干的意思为你的账号及密码为Mike/test123。你的目标是尝试查看其他员工的数据。
- 还是需要构建永真式
- cc' or 1=1 or 'a'='a
（5）Database Backdoors step1
- 该实验是要在user ID中实现多条SQL语句的注入,其中101是题目给的已存在的账户ID；
- 将user ID输入101 or 1=1;update employee set salary=53260;
- 把用户表的所有内容显示出来同时把工资值变化了。
（6）Database Backdoors step2
- 该实验所要使用的SQL语句已经在题目中给出了。
- 目的是使用该SQL语句，让这个表一旦添加新用户，就在用户表里将新用户的邮箱改为题目固定的邮箱。
（7）Blind Numeric SQL Injection
- 该实验的目的是要找cc_number为1111222233334444的pin大小。
- 输入正常用户ID，判断这个用户是否存在。
- 我们首先测试下效果，101是题目给的已知用户ID。
- ID为100的时候就不合法了。
-
我们知道pin是个数值，要知道cc_number对应的pin，则只有一个一个尝试。
-
使用<、>来大概确定范围，同and一起，and前为存在的用户ID，例如101，一旦and后面的语句，即判断pin的值大小成立，则下面就会显示存在用户，然后继续缩小范围进行查找，直到找到唯一确定的。
-
在numer框中输入
101 AND ((SELECT pin FROM pins WHERE cc_number='1111222233334444') = 2364 );
- 之后慢慢缩小范围，最终可以确定pin的值在2000到2500之间，然后打开BurpSuite，设置好代理，抓包，然后send to intruder进行暴力破解。具体参考lxm同学的博客~关于这部分写得很清楚。
- 找到对应pin值后，将值输入框中，该实验即通过。
