Exp8 Web安全
20201331黄文刚《网络对抗技术》Exp8 Web综合
目录
前导知识
SQL注入
命令注入（Command Injection）
字符串型注入（String SQL Injection）
XSS攻击
XSS 钓鱼（Phishing with XSS）
绕过 CSRF 确认（ CSRF Prompt By‐Pass）
实践基础问题回答
什么是表单？
浏览器可以解析运行什么语言？
WebServer支持哪些动态语言？
防范注入攻击的方法有哪些？
实践过程
任务一：Web前端HTML
任务二：Web前端——javascipt
任务三：Web后端——MySQL基础
任务四：Web后端——编写PHP网页，连接数据库，进行用户认证
任务五：最简单的SQL注入，XSS攻击测试
（一）SQL注入
（二）XSS攻击
任务六：选做Webgoat或类似平台的SQL注入、XSS、CSRF攻击各一例
（一）安装Webgoat
（二）SQL注入攻击（Injection Flaws）
命令注入（Command Injection）
字符串型注入（String SQL Injection）
（三）XSS攻击
（四）CSRF攻击——跨站请求伪造
实验中遇到的问题
实验体会
前导知识
SQL注入
SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。
命令注入（Command Injection）
概念：命令注入攻击对任何一个以参数驱动的站点来说都是一个严重威胁。这种攻击技术背后的技术方法，简单易学，能造成大范围的损害，危及系统安全。尽管这类风险数目令人难以置信，互联网中的系统很容易受到这种形式的攻击。
原理：在正常的参数提交过程中添加恶意代码以执行某条指令。
目标：可以在目标主机上执行任何系统命令
字符串型注入（String SQL Injection）
概念：通过注入字符串绕过认证
原理：基于以下查询语句构造自己的 SQL 注入字符串
目的：尝试通过 SQL 注入将所有信用卡信息显示出来
XSS攻击
跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆。故将跨站脚本攻击缩写为XSS。XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。
XSS 钓鱼（Phishing with XSS）
原理：当用户输入非法HTTP响应时容易受到XSS攻击。在XSS的帮助下，可以实现钓鱼工具或向某些官方页面中增加内容。对于受害者来说很难发现该内容是否存在威胁
目标：创建一个 form，要求填写用户名和密码。将数据提交到http://localhost/WebGoat/catche r?PROPERTY=yes&user=catchedUserName&password=catchedPasswordNam
绕过 CSRF 确认（ CSRF Prompt By‐Pass）
原理：跨站点请求伪造(CSRF/XSRF)是一种攻击，它欺骗受害者加载包含“伪造请求”的页面，以便使用受害者的凭据执行命令。提示用户确认或取消命令可能听起来像一个解决方案，但如果提示符是可编写脚本的，则可以忽略它。本课展示如何通过发出另一个伪造的请求来绕过这样的提示符。这也适用于一系列提示，例如向导或发出多个不相关的伪造请求。
目标：与上一个题目类似，向包含多个恶意请求的新闻组发送电子邮件:第一个请求用于转移资金，第二个请求用于确认第一个请求触发的提示符。url应该指向攻击servlet，其中包含这个CSRF-prompt-by-pass课程的屏幕、菜单参数和一个额外的参数“transferFunds”，其中包含一个数值“5000”来启动传输，一个字符串值“CONFIRM”来完成传输。您可以从右边的插图中复制课程的参数，创建格式为attack?Screen=XXX&menu=YYY&transferFunds=ZZZ的url。无论谁收到这封电子邮件，并且碰巧在那个时候通过了身份验证，他的资金就会被转移。
实践基础问题回答
什么是表单？
表单在网页中主要负责数据采集功能。一个表单有三个基本组成部分：
表单标签：这里面包含了处理表单数据所用CGI程序的URL以及数据提交到服务器的方法。
表单域：包含了文本框、密码框、隐藏域、多行文本框、复选框、单选框、下拉选择框和文件上传框等。
表单按钮：包括提交按钮、复位按钮和一般按钮；用于将数据传送到服务器上的CGI脚本或者取消输入，还可以用表单按钮来控制其他定义了处理脚本的处理工作。
浏览器可以解析运行什么语言？
支持HTML（超文本标记语言）、XML（可扩展标记语言）以及Python、PHP、JavaScript、ASP等众多脚本语言。
WebServer支持哪些动态语言？
比较常用的三种动态网页语言有PHP(HypertextPreprocessor)、ASP(ActiveServerPages)、JSP(JavaServerPages)。
ASP全名ActiveServerPages，是一个WEB服务器端的开发环境，利用它可以产生和执行动态的、互动的、高性能的WEB服务应用程序。ASP采用脚本语言VBScript（Javascript）作为自己的开发语言
JSP是Sun公司推出的新一代网站开发语言，Sun公司借助自己在Java上的不凡造诣，将Java从Java应用程序和JavaApplet之外，又有新的硕果，就是JSP，JavaServerPage。JSP可以在Serverlet和JavaBean的支持下，完成功能强大的站点程序。
PHP是一种跨平台的服务器端的嵌入式脚本语言。它大量地借用C,Java和Perl语言的语法,并耦合PHP自己的特性,使WEB开发者能够快速地写出动态产生页面。
防范注入攻击的方法有哪些？
SQL注入攻击
使用正则表达式过滤传入的参数。
关闭或删除不必要的交互式提交表单页面。
jsp中调用函数检查是否包函非法字符，做好规范的校验工作，比如搜索框不能输入非法字符、限制输入的长度等。
使用prepared statements语句绑定变量来执行SQL字符串。没有使用prepared statements语句绑定变量可能很容易受到攻击。
XSS攻击
特征匹配方式，在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击，采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击；
对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤；
实现Session标记(session tokens)、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行。HTTP-only Cookie: 禁止 JavaScript 读取某些敏感 Cookie，攻击者完成 XSS 注入后也无法窃取此 Cookie；
使用验证码：防止脚本冒充用户提交危险操作。
CSRF攻击
验证请求中的Token，每一个网页包含一个web server产生的token, 提交时，也将该token提交到服务器，服务器进行判断，如果token不对，就判定位CSRF攻击。将敏感操作又get改为post,然后在表单中使用token. 尽量使用post也有利于防御CSRF攻击。
验证 Referer，因为伪造的请求一般是从第三方网站发起的，所以第一个防御方法就是判断 referer 头，如果不是来自本网站的请求，就判定为CSRF攻击。但是该方法只能防御跨站的csrf攻击，不能防御同站的csrf攻击(虽然同站的csrf更难)。
添加加随机验证，每一个重要的post提交页面，使用一个验证码，因为第三方网站是无法获得验证码的。还有使用手机验证码，比如转账是使用的手机验证码。
实践过程
任务一：Web前端HTML
kali默认已安装Apache，直接使用sudo service apache2 start命令打开Apache服务即可。如图所示，如果没有任何错误提示，即表明成功开启。
此时在浏览器输入127.0.0.1，如果可以打开Apache的默认网页，则开启成功：
使用sudo su进入root权限模式，用cd /var/www/html进入Apache目录下，新建一个简单的含有表单的html文件20201331_form.html，内容如下：
<html>
<head>
<title>Login</title>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
</head>
<body>
<h2 align="center">Login</h2>
<center>
<form action="login" method="post">
<input placeholder="E-mail" name="Name" class="user" type="email">
<br>
</br>
<input placeholder="Password" name="Password" class="pass" type="password">
<br>
</br>
<input type="submit" value="Login">
</form>
</center>
</body>
</html>
保存好后退出编辑模式，然后使用浏览器打开制作的网页，在浏览器输入/var/www/html/20201331_form.html
任务二：Web前端——javascipt
在原有20201331_form.html基础上，可以添加一段JavaScript代码，以完成对用户是否填写邮箱和密码的判断。修改后的20201331_from.html如下所示：
<html>
<head>
<title>exp8-login</title>
<!-- Meta tag Keywords -->
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<!-- Meta tag Keywords -->
</head>
<body>
<!-- main -->
<!--//header-->
<h2 align="center">Login</h2>
<center>
<form action="login" method="post" name="form_login">
<input placeholder="E-mail" name="Email" class="user" type="email" onfocus="if (this.value=='Your email') this.value='';" />
<br>
</br>
<input placeholder="Password" name="Password" class="pass" type="password" onfocus="if (this.value=='Your password') this.value='';"/>
<br>
</br>
<input type="submit" value="Login" onClick="return validateLogin()"/>
</form>
</center>
<!--//main-->
<script language="javascript">
function validateLogin(){
var sUserName = document.form_login.Email.value ;
var sPassword = document.form_login.Password.value ;
if ((sUserName =="") || (sUserName=="Your email")){
alert("用户名不能为空！");
return false ;
}
if ((sPassword =="") || (sPassword=="Your password")){
alert("密码不能为空！");
return false ;
}
}
</script>
</body>
</html>
保存好后退出编辑模式，然后使用浏览器打开制作的网页，在浏览器访问/var/www/html/20201331_form.html，如果用户邮箱或密码未填写就提交，网页会出现以下提示：
用户名和密码均未填写：
密码未填写：
修改html文件，新的login.html文件如下，并编写一个用于接收用户登陆数据的index.php文件，使得在用户点击登陆按钮后回显“欢迎+输入的用户名”
login.html
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>judy-exp8</title>
</head>
<style type="text/css">
.divForm{
position: absolute;/*绝对定位*/
width: 300px;
height: 200px;
text-align: center;/*(让div中的内容居中)*/
top: 50%;
left: 50%;
margin-top: -200px;
margin-left: -150px;
}
</style>
<body>
<div class="divForm">
<h1 align="center">exp8-登陆界面</h1>
<form name="form1" onsubmit="return checkForm();" method="post" action="index.php">
<table border = "0">
<tr>
<td>用户名：</td>
<td><input type="text" name="username" value="" /></td>
<td><br><br></td>
</tr>
<tr>
<td>密 码：</td>
<td><input type="password" name="userpwd" value="" /></td>
<td><br><br></td>
</tr>
<tr>
<td></td>
<td><input type="submit" value="提交" /> <input type="reset" value="重填" /></td>
</tr>
</table>
</form>
</div>
</body>
</html>
<script type="text/javascript">
function checkForm(){
if (form1.username.value == null || form1.username.value==""){
alert("请输入用户名");
return false;
}
if (form1.userpwd.value == null || form1.userpwd.value==""){
alert("请输入密码");
return false;
}
return true;
}
</script>
index.php
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Welcome!</title>
</head>
<body>
<h1 align="center">欢迎!<?php echo $_POST['username'];?></h1> //将接收到的username数据打印在页面中
</body>
</html>
保存好后退出编辑模式，然后使用浏览器打开制作的网页，在地址栏输入localhost/login.html，输入用户名、密码后，点击“提交”，页面便跳转至localhost/login.php界面，截图如下：
尝试注入攻击：登陆时将用户名改为<script>alert("hack!")</script>，使页面弹窗，截图如下：
任务三：Web后端——MySQL基础
新版kali自带mysql，输入systemctl start mysql开启MySQL服务
输入mysql -u root -p使用root权限进入，默认的密码是password ，有的则会是你的管理员密码（比如我的是123456）
输入建库指令CREATE DATABASE exp8;
通过show databases;指令查看已有数据库基本信息如下：
输入use exp8;选择使用exp8这个数据库
使用命令create table user_info (username VARCHAR(50),password VARCHAR(50));在exp8数据库中创建表user_info
插入数据：insert into user_info values('changren','20201331');
查看数据：select * from user_info;
输入创建用户指令：CREATE USER 'changren'@'localhost' IDENTIFIED BY '20201331';
'student'（username）：即将创建的用户名
'localhost'（host）：指定该用户在哪个主机上可以登陆，如果是本地用户可用localhost；如果想让该用户可以从任意远程主机登陆，可以使用通配符%
'20201331'（password）：该用户的登陆密码。密码可以为空，如果为空则该用户可以不需要密码登陆服务器
将数据库exp8的所有权限授予当前用户，代码为：grant all privileges on exp8.user_info to changren@localhost identified by "20201331";
这句话的意思是将对exp8数据库的user_info表的所有操作权限授予某ip登录的某用户
此处的localhost也可以是远程登录方式的IP
增加新用户后，通过exit退出，然后使用新的用户名和密码进行登录，代码为：mysql -u changren -p，登录成功！截图如下：
任务四：Web后端——编写PHP网页，连接数据库，进行用户认证
在/var/www/html目录下新建一个PHP测试文件phptest.php
在浏览器网址栏中输入localhost:80/phptest.php，可看到文件的内容
还可以在浏览器网址栏中输入localhost:80/phptest.php?a=/etc/passwd，可看到/etc/passwd文件的内容
利用PHP和MySQL，编写login.php
<?php
$uname=$_POST["username"];
$pwd=$_POST["userpwd"];
echo $uname;
$query_str="SELECT * FROM login where username='$uname' and password='$pwd';";
$mysqli = new mysqli("127.0.0.1", "changren", "20201331", "exp8");
$query_str1="use exp8;";
/* check connection */
if ($mysqli->connect_errno) {
printf("Connect failed: %s\n", $mysqli->connect_error);
exit();
}
echo "connection ok!";
/* Select queries return a resultset */
if ($result = $mysqli->query($query_str1))
echo"<br>Success into database!";
echo$uname;
if ($result = $mysqli->query($query_str)) {
if ($result->num_rows > 0 ){
echo "<br> {$uname}:Welcome!!! <br> ";
}
else {
echo "<br> login failed!!!! <br> " ; }
/* free result set */
$result->close();
}
$mysqli->close();
?>
注意修改之前写的那个login.html中的action为login.php
在浏览器输入127.0.0.1/login.php访问自己的登录界面
在浏览器中输入127.0.0.1/login.html 进入登录界面，输入正确的用户名和密码登陆，登陆成功
任务五：最简单的SQL注入，XSS攻击测试
（一）SQL注入
在用户名输入框输入' or 1=1#，密码任意输入：
登陆成功！这是因为，输入的用户名和我们的代码中select语句组合起来变成了select * from users where username='' or 1=1#' and password=''，#相当于注释符，会把后面的内容都注释掉，而1=1是永真式，所以这个条件永远成立。不管密码是否输入正确，都能够成功登陆。
（二）XSS攻击
将一张图片放在/var/www/html目录下，我选择的是帅气的Linda少 帅气的Linda少.jpg。由于在主机找到的，我直接在主机上复制，粘贴到kali的桌面，再移动到/var/www/html目录下。
在用户名输入框输入<img src = "jojo.jpg">，密码随意
成功登录,但不知道为什么图片没显示，可能是图片太大了（反正登进去就行了嘛是不是）
任务六：选做Webgoat或类似平台的SQL注入、XSS、CSRF攻击各一例
（1）安装 Wdbgoat
参考博客[webgoat 安装教程（windows）] (https://article.itxueyuan.com/46nQXB)
(这个其实不需要windows+R那步,直接去浏览器打开http://127.0.0.1:8080/WebGoat就行)
（2）打开 Webgoat
（3）注册用户
(4)登录
（忘截图了）
(5)sql 注入
SQL Injection (intro) 第 10 页
顺利过关！
(6)XSS
选择课程如下
由于 XSS 最终是要浏览器渲染的，因此，可以先按下 Purchase，看看哪个输入是会回显的
从上图可知，电话号码那个输入框的输入参数是会回显的在这个输入框中尝试输入
告警弹出，顺利过关
(7)CSRF
选择课程如下
这个任务是在保持当前页面（页面 1）打开的情况下，在新页面（页面 2）上创建以 csrf-为前缀的新用户，并以该新用户登录。然后在页面 1 上点击下图这个solved 按钮。但是在页面 2 上点击这个按钮也能通关，并且在页面 1 如果不重新登录根本点不了这个按钮，因为使用 csrf 用户登录需要先让原本的用户退出登录，而页面 2 上原本的用户退出了登录，页面 1 也会自动跳转到登录页面了。
成功通关！
实验中遇到的问题
未启动apache，导致无法访问php文件
未启动mysql，导致无法连接数据库
登陆时，不显示welcome语句
原因：php语句并没有执行查询数据库的语句，具体的更改方式请见上文
webgoat无法正常使用，原因没有先行运行java -jar webgoat-container-7.1-exec.jar，同时端口被占用（如果无法查询到占用端口的进程号，重启可以最直接解决问题）
实验体会
本次实验是一个庞大的工程，涉及到许多Web的基础应用：前端的HTML和JavaScript、后端的MySQL和PHP、前端和后端的结合，以及SQL注入攻击、XSS攻击、CSRF攻击等等，让我大开眼界。遗憾的点在于时间紧迫，对于每一种攻击的原理并没有吃透，这也是我今后努力的方向。
浙公网安备 33010602011771号