2017-2018-2 20179223《網絡攻防技術》第五週做業

第十一、12章 Web應用程序和瀏覽器安全攻防

第十一章.WEB應用程序安全攻防

1、應用程序結構及安全威脅

瀏覽器做爲"瘦"客戶端主要完成數據顯示展現內容的渲染功能，而由強大的「胖」服務器負責完成主要業務的計算處理，二者之間經過因特網或內聯網上的HTTP/HTTPS應用層協議的請求與應答進行通訊。「胖」服務器端則由WEB服務器軟件、Web應用程序及後端數據庫構成，並經過經典的三層架構，即表示層、業務邏輯和數據層，來進行組織和構建。

安全威脅以下：

針對瀏覽器和終端用戶的Web瀏覽安全威脅

針對傳輸網絡的網絡協議安全威脅

系統層安全威脅

Web服務器軟件安全威脅

Web應用程序安全威脅

Web數據安全威脅

2、Web應用安全攻防技術

與系統和網絡攻擊相似，針對Web應用的攻擊也須要首先進行信息情報的收集，對目標WEB應用服務進行發現與剖析，標識出他的基本輪廓，具體包括服務器域名、IP地址和虛擬IP地址，web服務器端口與其餘開放服務，WEB站點類型和版本，WEB應用程序類型與版本，以及WEB服務器和web應用程序中存在的安全漏洞信息等。

收集WEB信息

手工收集：靜態和動態生成的頁面、目錄結構、輔助性文件、輸入表單、查詢參數字符串

自動下載web站點頁面

使用Google Hacking（最高效的審查與探測方法）技術審查與探測WEB應用程序

GHDB--一個信息收集項目[http://www.hackersforcharity.org/ghdb/](http://www.hackersforcharity.org/ghdb/)

web應用程序安全評估與漏洞探測
安全輔助分析工具：瀏覽器插件、免費工具集、商業web應用安全評估系統和漏洞掃描器

攻擊WEB服務器軟件

web服務器軟件是web應用的承載體，也是攻擊者的首要目標之一。web服務器平臺中的安全漏洞主要有如下幾個方面（1）數據驅動的遠程代碼執行安全漏洞（2）服務器功能擴展模塊漏洞（3）樣本文件安全漏洞（4）源代碼泄露（5）資源解析攻擊

攻擊WEB應用程序

目前安全最薄弱。web應用程序安全從攻擊技術角度分爲六類：（1）針對認證機制的攻擊（2）受權機制的攻擊（3）客戶端攻擊（4）命令執行攻擊（5）信息暴露（6）邏輯攻擊

攻擊WEB數據內容

包括（1）安全敏感數據泄漏（2）網站篡改（3）不良信息內容上傳

WEB應用安全防範措施

（1）WEB站點網絡傳輸安全設防措施（2）WEB站點操做系統及服務安全（3）WEB應用程序安全設防措施（4）WEB站點數據安全設防措施

3、SQL注入

原理

利用web應用程序數據層存在的輸入驗證不完善型安全漏洞實施的一類代碼注入攻擊技術。SQL注入攻擊的原理是WEB應用程序提供的用戶輸入接口（如一個動態頁面的輸入參數、變淡的輸入框等）輸入一段精心構造的SQL查詢命令，攻擊和利用不完善的輸入驗證機制，是的注入代碼得以執行完成非預期的攻擊操做行爲。

SQL注入攻擊步驟和過程

（1）發現SQL注入點（2）判斷後臺數據庫類型（3）後臺數據庫衆管理員用戶口令字猜想（4）上傳ASP後門，獲得默認帳戶權限（5）本地權限提高（6）利用數據庫擴展存儲過程執行shell命令

SQL注入攻擊工具

http://www.cis.syr.edu/~wedu/seed/Labs/Attacks_SQL_Injection/SQL_Injection.pdf

SQL注入攻擊防範措施

（1）使用類型安全的參數編碼機制（2）凡是來自外部的用戶輸入，必須進行完備檢查（3）將動態SQL語句替換爲存儲過程、預編譯SQL或ADO命令對象（4）增強SQL數據庫服務器的配置鏈接。

4、XSS跨站腳本攻擊

XSS跨站腳本攻擊的最終目標是使用web應用程序的用戶。XSS攻擊的根源一樣是WEB應用程序對用戶輸入內容的安全驗證與過濾不夠完善。現有兩種主要的XSS漏洞類型，持久性XSS漏洞和非持久性XSS漏洞。對XSS的防範措施能夠分爲服務器端和客戶端。服務器端防範措施包括輸入驗證、輸出淨化、消除危險的輸入點。

第十二章 Web瀏覽器安全攻防

Web瀏覽器幾回戰爭及瀏覽器的技術發展及其安全威脅，Web瀏覽器的滲透攻擊威脅。

網頁木馬的機理分析和本質核心，及網頁木馬的檢測與分析技術，包括（1）基於特徵碼匹配的傳統檢測方法（2）基於統計與機器學習的靜態分析方法（3）基於動態行爲結果斷定的監測分析方法（4）基於模擬瀏覽器環境的動態分析監測方法（5）網頁木馬監測分析技術綜合對比。

瞭解了網絡釣魚的技術內幕和攻擊。

kali視頻教程

1.1 漏洞分析之數據庫評估（一）

1.1.1 BBQSql

BBQSql是一個Python編寫的盲注工具（blind SQL in jection framework），當檢測可疑的注入漏洞時會頗有用。同時BBQSql是一個半自動工具，容許客戶自定義參數。

1.1.2 DBPwAudit（數據庫用戶名密碼枚舉工具）

使用參考：

破解SQLServer數據庫
#./dbpwaudit -s IP -d master(數據庫名) -D mssql(數據庫類型) -U username(字典) -P password(字典）

破解MySql數據庫
#./dbpwaudit -s IP -d mysql(數據庫名稱) -D MySQL(數據庫類型) -U username(字典) -P password(字典）

1.1.3 HexorBase

圖形化的密碼破解與鏈接工具，開源

1.1.4 jsql

jSQL是一款輕量級安全測試工具，能夠檢測SQL注入漏洞。它跨平臺（windows，linux，Mac OS X，Solaris）、開源且免費。將存在注入漏洞的URL貼進來便可進行相應的漏洞利用。

1.1.5 MDBTools

包括MDB-Export（Export data in an MDB database table to CVS format)，以及MDB-Dump，mdb-prasecvs，mdb-sql，mdb-table等子工具，具體環境具體使用。

1.1.6 Oracle Scanner

Oscanner是一個用Java開發的oracle評估工具。它是基於插件的結構，當前由兩個插件能夠實現的功能有：

Sid列舉

口令測試

列舉Oracle版本

列舉帳號角色

列舉帳號特權

列舉帳號哈希

列舉審計信息

列舉口令策略

列舉數據庫連接

1.1.7 SIDGuess

是針對Oracle的SID進行暴力枚舉的工具。SID爲Oracle實例名，Oracle鏈接字符串，經過實例名+用戶+密碼鏈接。

1.1.8 SqlDICT：用戶名密碼枚舉工具，經過Wine運行

1.2 漏洞分析之數據庫評估（二）

1.2.1 tnscmd10g

容許咱們向Oracle數據庫中注入命令

1.2.2 Sqlsus

sqlsus是一個開放源代碼的MySQL注入和接管工具，sqlsus使用perl編寫，基於命令行界面。sqlsus能夠獲取數據庫結構，注入你本身的SQL語句，從服務器下載文件，爬行web站點可寫目錄，上傳和控制後門，克隆數據庫等等。最好用的兩點就是注射獲取數據速度很是快，另外一個最大的特色就是自動搜索可寫目錄。

生成配置文件

編輯配置文件
修改our $url_start = "":寫入地址

啓動而且測試
sqlsys test.conf
獲取數據庫數據

查看所有數據庫名字

sqlsus > get database

[+]Getting databases names

設定數據庫

sqlsus> set database
database="sql"
sqlsus> set database mysql
database="mysql"
sqlsus>

獲取表

sqlsus> get tables
[user:5]
host 
user
Password

1.2.3 Sqlninja

在sql注入方面一直尊sqlmap爲神奇，但sqlninja也有本身的特色。
Sqlninja是一款perl編寫的一個專門針對Microsoft SQL.Server的sql注入工具，它側重於得到一個shell。
sqlninja的優勢以下：

一個專門針對Microsoft SQL.Server的sql注入工具

可找到遠程SQL服務器的標誌和特徵（版本、用戶執行的查詢、用戶特權、xp-cmdshell的可用性、身份驗證模式等）

「sa」口令的強力攻擊

若是找到口令後，就將特權提高爲「sa」

若是原始的xp——cmdshell被禁用後，就建立一個定製的xp_shell

使用純粹的ASCII GET/POST請求來上載netcat.exe程序（以及其餘任何可執行的程序），所以並不須要FTP鏈接。

爲了找到目標網絡的防火牆所容許的端口，能夠實施針對目標SQL服務器的TCP/UDP端口掃描。

逃避技術，這是爲了使注入式代碼「模糊」不清，而且混淆/繞過基於簽名的IPS和應用層防火牆。

採用「盲目執行」攻擊模式，在其餘模式失效時，能夠用於發佈命令並執行診斷。

在sqlninja生成的SQL代碼上，執行的是自動化的URL編碼，這使得用戶能夠更精細地控制漏洞利用的字符串。

若是獲得權限爲sa，能夠結合msf進一步對目標主機進行滲透。

sqlninja的參數不多

-m 指定攻擊模式，有如下幾個

t/test 測試鏈接是不是注入點

f/fingerprint 指紋識別，判斷用戶，數據庫，xp_cmdshell是否能用等等

b/bruteforce 暴力破解sa密碼，能夠-w指定字典，也能夠不適用字典，這樣sqlninja就會本身窮舉

e/escalation 提權用，必須用-p指定sa的password，成功就會把當前數據庫用戶加入到sa組裏面

x/resurrectxp 嘗試恢復xp_cmdshell

u/upload 使用get和post上傳二進制文件，-p能夠指定sa的password，-g表示只生成上傳文件，但並不上傳

s/dirshell 獲取目標主機的shell

k/backscan 查看開放的目標端口

r/revshell 反彈會一個shell，和dirshell相反

d/dnstunnel 指定使用dns做爲傳輸通道，可用-p能夠指定sa的password，爲何有這個模式，由於可能服務器鏈接icmp都禁止。一樣，想要使用這個模式得先用upload模式上傳dnstun.exe

i/icmpshell 當dirshell和revshell都失敗的狀況下，能夠用這個模式把shell藏在icmp裏，可是先要上傳icmpsh.exe

-f<file> 指定配置文件，sqlninja沒有相似sqlmap的「-u」參數，注入網址是寫在配置文件裏的，默認是sqlninja.conf

1.2.4 Sqlmap

Sqlmap是一個開源的滲透測試工具，它主要用於自動化地偵測和實施SQL注入攻擊以及滲透數據庫服務器。Sqlmap配有強大的偵測引擎，適用於高級滲透測試用戶，不只能夠得到不一樣數據庫的指紋信息，哈能夠從數據庫中提取數據，此外還可以處理潛在的文件系統以及經過帶外數據鏈接執行系統命令等。

1.3 漏洞分析之Web應用代理

經過web應用代理工具分析數據包，或修改數據包重放、暴力攻擊等在WEB安全測試中常常用到。

web應用代理工具備：burpsuite、owasp-zap、paros、vega、webscarab、proxystrike

1.3.1 Burp Suite

Burp Suite是用於攻擊web應用程序的集成平臺。Burp Suite帶有一個代理，經過默認端口8080運行，使用這個代理，能夠截獲並修改從客戶端到web應用程序的數據包。

1.3.2 OwaspZAP

OWASP Zed Attack Proxy Project攻擊代理（簡稱ZAP），是一款查找網頁應用程序漏洞的綜合類滲透測試工具。它包含了攔截代理、自動處理、被動處理、暴力破解、端口掃描以及蜘蛛搜索等功能。OwaspZAP爲會話類調試工具，調試功能對網站不會發起大量請求，對服務器影響較小。

1.3.3 Paros

paros proxy，這是一個對web應用程序的漏洞進行評估的代理程序，即一個基於Java的web代理程序，能夠評估web應用程序的漏洞。它支持動態的編輯/查看HTTP/HTTPS，從而改變cookies和表單字段等項目。它包括一個web通訊記錄程序，web圈套程序（spider），hash計算機，還有一個能夠測試常見的web應用程序攻擊的掃描器。該工具檢查漏洞形式包括：SQL注入、跨站點腳本攻擊、目錄遍歷等。

1.3.4 proxystrike

1.3.5 Vega代理功能

Vega是一個開放源代碼的web應用程序安全測試平臺，Vega可以幫助你驗證SQL注入、跨站腳本（XSS）、敏感信息泄露和其餘一些安全漏洞。Vega使用Java編寫，有GUI。

1.3.6 Webscarab

Webscarab一款代理軟件，包括HTTP代理，網絡爬行、網絡蜘蛛、會話ID分析，自動腳本接口，模糊測試工具，WEB格式的編碼/解碼，WEB服
務描述語言和SOAP解析器等功能模塊。Webscarab基於GNU協議，使用Java編寫，是WebGoat中所使用的工具之一。

1.4 漏洞分析之BurpSuite

BurpSuite是一個web應用程序集成攻擊平臺，它包含了一系列burp工具，這些工具之間有大量接口能夠互相通訊，這樣設計的目的是爲了促進和提升整個攻擊的效率。平臺中全部工具共享同一robust框架，以便贊成處理HTTP請求，持久性，認證，上游代理，日誌記錄，報警和可擴展性。

BurpSuite容許攻擊者結合手工和自動技術去枚舉、分析、攻擊web應用程序。這些不一樣的burp工具經過協同工做，有效的分享信息，支持以某種工具中的信息爲基礎供另外一種工具使用的方式發起攻擊。

Porxy提供一個直觀、友好的用戶界面，他的代理服務器包含很是詳細的攔截規則，並能準確分析HTTP消息的結構與內容。

Spider爬行蜘蛛工具，能夠用來抓取目標網站，以現實網站的內容，基本結構和其餘功能。

步驟：
1）配置端口
2）爬蟲與掃描
3）測試暴力破解表單帳戶密碼

1.5 漏洞分析之Fuzz工具

Fuzz是模糊測試工具

1.5.1 Bed.pl

Bed（Bruteforce Exploit Detector）是一個純文本協議的Fuzz工具，可以哦檢查常見的漏洞，如緩衝區溢出，格式串漏洞，總體溢出等。

1.5.2 Fuzz_ipv6

THC出品的針對IPV6協議的模糊測試工具

1.5.3 Ohrwurm

1.5.4 PowerFuzzer

1.5.5 Wfuzz

針對web應用的模糊測試工具，能夠進行web應用暴力猜解，也支持對網站目錄、登陸信息、應用資源文件等的暴力猜解，還能夠進行get及post參數的猜解，sql注入，xss漏洞的測試等，該工具全部功能都依賴於字典。

1.5.6 SFuzz

1.5.7 XSSer

視頻學習遇到的問題及解決

視頻內容我主要是瞭解了WEB數據庫評估的工具和WEB應用代理。只要是實踐了視頻19中Burp Suite的應用

問題1：Burp Suite中proxy>option按視頻中介紹的方法並不起做用

解決：我修改了配置參數

這樣雖然比較亂，可是顯示出了抓取的信息。