Exp8 Web安全

1.本实践的具体要求有：

(1)Web前端HTML：

能正常安装、启停Apache。理解HTML，理解表单，理解GET与POST方法,编写一个含有表单的HTML。

(2)Web前端javascipt：

理解JavaScript的基本功能，理解DOM。
在（1）的基础上，编写JavaScript验证用户名、密码的规则。在用户点击登陆按钮后回显“欢迎+输入的用户名”
尝试注入攻击：利用回显用户名注入HTML及JavaScript。

(3)Web后端：

MySQL基础：正常安装、启动MySQL，建库、创建用户、修改密码、建表

(4)Web后端：

编写PHP网页，连接数据库，进行用户认证

(5)最简单的SQL注入，XSS攻击测试

(6)选做Webgoat或类似平台的SQL注入、XSS、CSRF攻击各一例。

2 报告内容：

2.1.基础问题回答

(1)什么是表单

表单在网页中主要负责数据采集功能。一个表单有三个基本组成部分：

表单标签：这里面包含了处理表单数据所用CGI程序的URL以及数据提交到服务器的方法。

表单域：包含了文本框、密码框、隐藏域、多行文本框、复选框、单选框、下拉选择框和文件上传框等。

表单按钮：包括提交按钮、复位按钮和一般按钮；用于将数据传送到服务器上的CGI脚本或者取消输入，还可以用表单按钮来控制其他定义了处理脚本的处理工作。

(2)浏览器可以解析运行什么语言。

支持HTML（超文本标记语言）

XML（可扩展标记语言）

Python

PHP

JavaScript

ASP等众多脚本语言

(3)WebServer支持哪些动态语言

最常用的三种动态网页语言有

ASP全名ActiveServerPages，是一个WEB服务器端的开发环境，利用它可以产生和执行动态的、互动的、高性能的WEB服务应用程序。ASP采用脚本语言VBScript（Javascript）作为自己的开发语言。

JSP是Sun公司推出的新一代网站开发语言，Sun公司借助自己在Java上的不凡造诣，将Java从Java应用程序和JavaApplet之外，又有新的硕果，就是JSP，JavaServerPage。JSP可以在Serverlet和JavaBean的支持下，完成功能强大的站点程序。

PHP是一种跨平台的服务器端的嵌入式脚本语言。它大量地借用C,Java和Perl语言的语法,并耦合PHP自己的特性,使WEB开发者能够快速地写出动态产生页面。

三者都提供在HTML代码中混合某种程序代码、由语言引擎解释执行程序代码的能力。但JSP代码被编译成Servlet并由Java虚拟机解释执行，这种编译操作仅在对JSP页面的第一次请求时发生。在ASP、PHP、JSP环境下，HTML代码主要负责描述信息的显示样式，而程序代码则用来描述处理逻辑。普通的HTML页面只依赖于Web服务器，而ASP、PHP、JSP页面需要附加的语言引擎分析和执行程序代码。程序代码的执行结果被重新嵌入到HTML代码中，然后一起发送给浏览器。ASP、PHP、JSP三者都是面向Web服务器的技术，客户端浏览器不需要任何附加的软件支持。

(4)防范注入攻击的方法有哪些

对特殊符号进行转义。

严格过滤用户输入。

SQL预编译。（绕过：order by + case when）

WAF防护

纵深防御：在数据库层面，严格设计用户和权限，设计视图（虚表），增加* 表名、列名的复杂度…

联合其他手段：比如一旦检测到一次注入攻击，就立即禁掉该用户的IP，防止后续注入攻击（一般都需要信息搜集，不太可能一次注入就达到目的）

2.2.实践总结与体会

我们在实验过程中，对网站的运行有了更深入的理解，这次实验也增强了我对制作网站的防范意识，想做好一个网站是很难的，不仅需要把各种安全问题考虑进去，还要定期维护。在一个正常的网站上不论是实施SQL注入攻击还是XSS攻击都十分困难，一般的安全防范措施已经可以防御大部分的攻击了，攻击重在实践，需要大量的经验才会比较得心应手。

2.3.实践过程记录

(1)Web前端HTML

能正常安装、启停Apache。理解HTML，理解表单，理解GET与POST方法,编写一个含有表单的HTML。

a.安装apache

sudo service apache2 start

在浏览器输入127.0.0.1，如果可以打开Apache的默认网页，则开启成功：

b.写html文件：

使用sudo su进入root权限模式，用cd /var/www/html进入Apache目录下
新建一个简单的含有表单的html文件20201224_form.html，内容如下：

<html>
<head>
<title>登录</title>
 
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
</head>
<body>
    <h2 align="center">Login</h2>
    <center>
        <form action="login" method="post">
            <input placeholder="E-mail" name="Name" class="user" type="email">
            <br>
            </br>
            <input  placeholder="Password" name="Password" class="pass" type="password">
            <br>
            </br>
            <input type="submit" value="Login">
        </form>
    </center>
</body>

(2)Web前端javascipt

理解JavaScript的基本功能，理解DOM。
在（1）的基础上，编写JavaScript验证用户名、密码的规则。在用户点击登陆按钮后回显“欢迎+输入的用户名”
尝试注入攻击：利用回显用户名注入HTML及JavaScript。

a.验证用户名、密码的规则

<html>
<head>
<title>登录</title>
<!-- Meta tag Keywords -->
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<!-- Meta tag Keywords -->
</head>
 
<body>
<!-- main -->
<!--//header-->
     <h2 align="center">Login</h2>
<center>
        <form action="index.php" method="post" name="form_login">
            <input placeholder="E-mail" name="Email" class="user" type="email" onfocus="if (this.value=='Your email') this.value='';" />
            <br>
            </br>
            <input  placeholder="Password" name="Password" class="pass" type="password" onfocus="if (this.value=='Your password') this.value='';"/>
            <br>
            </br>
            <input type="submit" value="Login" onClick="return validateLogin()"/>
        </form>
</center>
<!--//main-->
<script language="javascript"> 
    function validateLogin(){ 
        var sUserName = document.form_login.Email.value ; 
        var sPassword = document.form_login.Password.value ;   
        if ((sUserName =="") || (sUserName=="Your email")){ 
        alert("用户名不能为空！"); 
        return false ; 
        } 
 
        if ((sPassword =="") || (sPassword=="Your password")){ 
        alert("密码不能为空！"); 
        return false ; 
        } 
 
    }  
</script> 
</body>
</html>

使用浏览器打开制作的网页，在浏览器输入/var/www/html/20201224.html,如果不填写用户名直接登陆，会提示“用户名不能为空”。

b.在用户点击登陆按钮后回显“欢迎+输入的用户名”

index.php文件:
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Welcome!</title>
</head>
<body>
<h1 align="center">欢迎您，尊贵的VIP8超级用户<?php echo $_POST['username'];?></h1>    //将接收到的username数据打印在页面中
</body>
</html>

c.尝试注入攻击：利用回显用户名注入HTML及JavaScript

尝试注入攻击：登陆时将用户名改为<script>alert("hack!")</script>，使页面弹窗，截图如下：

(3)Web后端：

MySQL基础：正常安装、启动MySQL，建库、创建用户、修改密码、建表

a.正常安装并启用Mysql

新版kali自带mysql，输入systemctl start mysql开启MySQL服务

b.建库

CREATE DATABASE exp8;

c.创建用户、修改密码

CREATE USER 'wzh'@'localhost' IDENTIFIED BY '20201224';

'wzh'（username）：即将创建的用户名
'localhost'（host）：指定该用户在哪个主机上可以登陆，如果是本地用户可用localhost；如果想让该用户可以从任意远程主机登陆，可以使用通配符%

'20201224'（password）：该用户的登陆密码。密码可以为空，如果为空则该用户可以不需要密码登陆服务器

将数据库exp8的所有权限授予当前用户，代码为：

grant all privileges on exp8.user_info to wzh@localhost identified by "20201224";

d.建表

输入use exp8;选择使用exp8这个数据库
 
使用命令create table user_info (username VARCHAR(50),password VARCHAR(50));在exp8数据库中创建表user_info
 
插入数据：insert into user_info values('wzh','20201224');
 
查看数据：select * from user_info;

(4)Web后端：

编写PHP网页，连接数据库，进行用户认证

a.编写PHP网页：

<?php
echo "Hello World! This is 20201224's php test page!";
?>

在浏览器网址栏中输入localhost:80/phptest.php，可看到文件的内容

b.连接数据库

利用PHP和MySQL，编写login.php

<?php
$uname=$_POST["username"];
$pwd=$_POST["userpwd"];
echo $uname;
$query_str="SELECT * FROM login where username='$uname' and password='$pwd';";
$mysqli = new mysqli("127.0.0.1", "wzh", "20201224", "exp8");
$query_str1="use exp8;";
 
/* check connection */
if ($mysqli->connect_errno) {
    printf("Connect failed: %s\n", $mysqli->connect_error);
    exit();
}
echo "connection ok!";
/* Select queries return a resultset */
if ($result = $mysqli->query($query_str1))
echo"<br>Success into database!";
echo$uname;
if ($result = $mysqli->query($query_str)) {
    if ($result->num_rows > 0 ){
            echo "<br> {$uname}:Welcome!!! <br> ";
    } 
    else {
        echo "<br> login failed!!!! <br> " ; }
    /* free result set */
    $result->close();
}
$mysqli->close();
?>

注意修改之前写的那个login.html中的action为login.php

在浏览器输入127.0.0.1/login.php访问自己的登录界面

(5)最简单的SQL注入，XSS攻击测试

a.SQL注入：

在用户名输入框输入' or 1=1#，密码任意输入：

b.XSS攻击

在用户名输入<script>alert(20201224)</script>，密码随便输

(6)选做Webgoat或类似平台的SQL注入、XSS、CSRF攻击各一例。

a.安装Wdbgoat

参考博客[webgoat安装教程（windows）]
(https://article.itxueyuan.com/46nQXB)

b.打开Webgoat

输入http://127.0.0.1:8080/WebGoat

注册登录

c.sql注入

SQL Injection (intro) 第9页

d.XSS

选择课程如下

e.CSRF

选择课程如下

posted @ 2023-05-25 23:06 20201224吴卓航阅读(46) 评论(0) 收藏举报

刷新页面返回顶部

念有所想

Exp8 Web安全

1.本实践的具体要求有：

(1)Web前端HTML：

(2)Web前端javascipt：

(3)Web后端：

(4)Web后端：

(5)最简单的SQL注入，XSS攻击测试

(6)选做Webgoat或类似平台的SQL注入、XSS、CSRF攻击各一例。

2 报告内容：

2.1.基础问题回答

(1)什么是表单

(2)浏览器可以解析运行什么语言。

(3)WebServer支持哪些动态语言

(4)防范注入攻击的方法有哪些

2.2.实践总结与体会

2.3.实践过程记录

(1)Web前端HTML

a.安装apache

b.写html文件：

(2)Web前端javascipt

a.验证用户名、密码的规则

使用浏览器打开制作的网页，在浏览器输入/var/www/html/20201224.html,如果不填写用户名直接登陆，会提示“用户名不能为空”。

b.在用户点击登陆按钮后回显“欢迎+输入的用户名”

c.尝试注入攻击：利用回显用户名注入HTML及JavaScript

(3)Web后端：

a.正常安装并启用Mysql

b.建库

c.创建用户、修改密码

d.建表

(4)Web后端：

a.编写PHP网页：

b.连接数据库

(5)最简单的SQL注入，XSS攻击测试

a.SQL注入：

b.XSS攻击

(6)选做Webgoat或类似平台的SQL注入、XSS、CSRF攻击各一例。

a.安装Wdbgoat

b.打开Webgoat

注册登录

c.sql注入

d.XSS

e.CSRF

公告