4320LC

Exp9 Web安全基础

1.实验后回答问题

(1)SQL注入攻击原理,如何防御.

原理:

  • SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序,而这些输入大都是SQL语法里的一些组合,通过执行SQL语句进而执行攻击者所要的操作,其主要原因是程序没有细致地过滤用户输入的数据,致使非法数据侵入系统。

  • 根据相关技术原理,SQL注入可以分为平台层注入和代码层注入。前者由不安全的数据库配置或数据库平台的漏洞所致;后者主要是由于程序员对输入未进行细致地过滤,从而执行了非法的数据查询。

防御:

  • 永远不要信任用户的输入。对用户的输入进行校验,可以通过正则表达式来操作。

  • 永远不要使用管理员权限的数据库连接,为每个应用使用单独的权限有限的数据库连接。

  • 不要把机密信息直接存放,加密或者hash掉密码和敏感的信息。

  • 应用的异常信息应该给出尽可能少的提示。

(2)XSS攻击的原理,如何防御.

原理:

  • XSS是一种经常出现在web应用中的计算机安全漏洞,它允许恶意web用户将代码植入到提供给其它用户使用的页面中。这些代码包括HTML代码和客户端脚本。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。对于跨站脚本攻击,黑客界共识是:跨站脚本攻击是新型的“缓冲区溢出攻击“,而JavaScript是新型的“ShellCode”。

防御:

  • 传统XSS防御多采用特征匹配方式,在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击,采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索,一旦发现提交信息中包含“javascript”,就认定为XSS攻击。

(3)CSRF攻击原理,如何防御.

原理:

  • 可以这么理解CSRF攻击:攻击者盗用了你的身份,以你的名义发送恶意请求。CSRF能够做的事情包括:以你名义发送邮件,发消息,盗取你的账号,甚至于购买商品,虚拟货币转账......造成的问题包括:个人隐私泄露以及财产安全。

  • CSRF攻击是源于WEB的隐式身份验证机制!WEB的身份验证机制虽然可以保证一个请求是来自于某个用户的浏览器,但却无法保证该请求是用户批准发送的!

防御:

  • 通过 referer、token 或者 验证码 来检测用户提交。
  • 尽量不要在页面的链接中暴露用户隐私信息。
  • 对于用户修改删除等操作最好都使用post 操作 。
  • 避免全站通用的cookie,严格设置cookie的域。

2.实验总结与体会

  • 这次实验使用webgoat来分别尝试了XSS攻击、CSRF攻击、SQL注入攻击,感触还是很深。之所以能够进行这些攻击,不止是因为我们的web设计本身就有漏洞!还有我们在使用web的时候,太大意太疏忽了,没有想到会有一些危险的情况发生。我觉得,我们应该多去学习一些关于网络攻防的知识与技术,比如,如何能够进行XSS攻击、各种类型的SQL注入攻击等,这并不是说我们要去成为一名黑客,去攻击别人的网站,去盗取别人的信息,而是去了解有哪些XSS或SQL注入的攻击场景,再发掘出产生该漏洞的原因,从而去思考为什么会产生这个 bug,如何去修复这个 bug。网络攻防是一门艺术,以一种攻与防的博弈,攻防双方互相促进,咱们的信息社会才得以更好的发展。

3.实践过程记录

关于webgoat

  • WebGoat运行在带有java虚拟机的平台之上,目前提供的训练课程有很多,包含了XSS、线程安全、SQL注入等,我们本次的实验就是在WebGoat平台上进行。根据老师给的实验指导,来进行webgoat的安装和登录。

 

 

 

XSS攻击

(1)Stored XSS Attacks

  • 该实验目的是在新建帖子的message里进行XSS攻击。
  • 即随意写任何在浏览器中可被执行的代码,创建成功后点击写好的帖子即被攻击。
  • 写入massage内容为<script>alert("It's 20145326caixinyi~");</script>

 

 

 

(2)Reflected XSS Attacks

  • 该实验同样是在输入框中输入可执行代码,提交后被攻击。
  • 使用burpsuite发现,UpdateCart Purchase均以post提交数据。
  • Enter your credit card number:以及Enter your three digit access code:处的值均被post原样返回,所以在此处构造js语言。
  • 这里是在ACCESS CODE 框里填入获取COOKIE的javascript代码<script>alert(document.cookie);</script>

 

  • 虽然这个实验的效果和上一个存储型XSS实验的效果类似,但是两者所用的原理不一样,存储型XSS是持久化的,代码是存储在服务器中的。
  • 而反射型XSS攻击是非持久化的,也就是说它的代码是不存在于服务器中的,所以一般来说存储型XSS攻击危害更大。

(3)CSRF攻击

  • 该实验为在新建邮件里写入可以更改由题目要求的attack的src、menu的transferFunds数值参数
  • 可选用html里的iframe模块,自动连接打开所标示网页
  • 这里在message里写入的内容为<iframe src="attack?Screen=284&menu=900&transferFunds=5000"></iframe>
  • 注意这里面的Screen和menu的值在每个人的电脑中可能不一样,可以在当前页面的最下边查看。
  • 提交后,会在消息列表中看到一个新的消息,点击该消息,当前页面就会下载这个消息并显示出来,转走用户的5000元,从而达到CSRF攻击的目的。

 

(4)CSRF Prompt By-Pass攻击

  • 这里在message里写入内容为:

<iframe src="attack?Screen=271&menu=900&transferFunds=5000"> </iframe>

<iframe src="attack?Screen=271&menu=900&transferFunds=CONFIRM"> </iframe>

  • 该实验与上个实验类似,同样是通过邮件的方式进行恶意请求。
  • 这里不仅是对transferFunds数值参数进行了变化,还对这个过程进行了请求确认,所以需要两个iframe模块。
  • url需要使用下面两个参数:transferfunds=5000transferfunds=CONFIRM

 

SQL注入攻击

 (1)Log Spoofing

  • 该实验为在用户名处使用%0d%0a(回车换行)以及文字内容来迷惑他人,虽然有成功登陆的文字信息,但实质上是登录失败的。
  • 这里的user name处写入的内容是%0d%0aLogin succeeded !admin

 

 

(2)Numeric SQL Injection

  • 原本的功能是选择一个地点,显示一个地点的天气状况。
  • 现在SQL注入后的功能是选择一个地点,显示所有地点的天气情况。
  • 在kail中可使用burpsuite作为网页代理,对传送的网页内容进行编辑以后再发到服务器。
  • 打开burpsuite。绑定我的学号为端口。address选择本地。

 

 

 

 

(3)String SQL Injection

  • 该实验和Numeric SQL Injection类似,原本只能查到某一个人的信息,现在通过SQL语句的注入使整张表都显示出来。
  • 这里的last name写入的内容是' or 1=1;--,构造一个永真式。因为last name是字符型的,所以需要在开始加上单引号。

 

 

(4)XPATH Injection

  • 题干的意思为你的账号及密码为Mike/test123。你的目标是尝试查看其他员工的数据。
  • 还是需要构建永真式
  • cc' or 1=1 or 'a'='a

 

(5)Database Backdoors step1

  • 该实验是要在user ID中实现多条SQL语句的注入,其中101是题目给的已存在的账户ID;
  • 将user ID输入101 or 1=1;update employee set salary=53260;
  • 把用户表的所有内容显示出来同时把工资值变化了。

 

(6)Database Backdoors step2

  • 该实验所要使用的SQL语句已经在题目中给出了。
  • 目的是使用该SQL语句,让这个表一旦添加新用户,就在用户表里将新用户的邮箱改为题目固定的邮箱。

 

(7)Blind Numeric SQL Injection

  • 该实验的目的是要找cc_number为1111222233334444的pin大小。
  • 输入正常用户ID,判断这个用户是否存在。
  • 我们首先测试下效果,101是题目给的已知用户ID。

 

  • ID为100的时候就不合法了。

 

  • 我们知道pin是个数值,要知道cc_number对应的pin,则只有一个一个尝试。

  • 使用<、>来大概确定范围,同and一起,and前为存在的用户ID,例如101,一旦and后面的语句,即判断pin的值大小成立,则下面就会显示存在用户,然后继续缩小范围进行查找,直到找到唯一确定的。

  • 在numer框中输入101 AND ((SELECT pin FROM pins WHERE cc_number='1111222233334444') = 2364 );

 

  • 之后慢慢缩小范围,最终可以确定pin的值在2000到2500之间,然后打开BurpSuite,设置好代理,抓包,然后send to intruder进行暴力破解。具体参考lxm同学的博客~关于这部分写得很清楚。
  • 找到对应pin值后,将值输入框中,该实验即通过。

 

posted on 2018-05-24 19:44  4320LC  阅读(86)  评论(0编辑  收藏

导航