20189315《網絡攻防實踐》第五週做業

a.教材學習總結

一.Web應用程序安全攻防

1.Web應用程序體系結構及其安全威脅
Web應用體系結構包括瀏覽器，Web服務器，Web應用程序，數據庫。
瀏覽器和由Web服務器、Web應用程序和數據庫所構成的Web站點之間的通訊傳輸協議是HTTP/HTTPS協議。
Web應用安全威脅：針對瀏覽器和終端用戶的Web瀏覽安全威脅，針對傳輸網絡的網絡協議安全威脅，系統層安全威脅，Web服務器軟件安全威脅，Web應用程序安全威脅，Web數據安全威脅。
2.Web應用安全攻防技術
Web應用的信息收集，針對Web應用程序的探測和漏洞發現的技術方法：手工審查Web應用程序結構與源代碼、自動下載與鏡像Web站點頁面、使用Google Hacking技術審查與探測Web應用程序、Web應用程序安全評估與漏洞探測。
攻擊Web服務器軟件，Web服務器平臺中的安全漏洞主要有：數據驅動的遠程代碼執行安全漏洞、服務器功能擴展模塊漏洞、樣本文件安全漏洞、源代碼泄露、資源解析攻擊。
攻擊web應用程序（6類）：針對認證機制的攻擊、受權機制的攻擊、客戶端攻擊、命令執行攻擊、信息暴露、邏輯攻擊。
攻擊Web數據內容，具體包括安全敏感數據泄露、網站內容遭受篡改和不良信息內容上傳。
針對上述各類類型Web應用安全威脅、信息收集和攻擊技術手段，應設計、部署和實施安全防禦措施：Web站點網絡傳輸安全設防措施、Web站點操做系統及服務安全設防措施、web應用安全設防措施、web站點數據安全設防措施。
3.SQL注入
SOL注入是利用Web應用程序數據層存在的輸入驗證不完善型安全漏洞試試的一類代碼注入攻擊技術。其攻擊原理是向Web應用程序提供的用戶輸入接口輸入一段精心構造的SQL查詢命令，攻擊和利用不完善的輸入驗證機制，使得注入代碼得以執行完成非預期的攻擊操做行爲。
SQL注入攻擊步驟：發現SQL注入點；判斷後臺數據庫類型；後臺數據庫中管理員用戶口令字猜解；上傳ASP後門，獲得默認帳戶權限；本地權限提高；利用數據庫擴展存儲過程執行Shell命令。
SQL注入攻擊防範措施：使用類型安全的參數編碼機制；凡是來自外部的用戶輸入，必須進行完備檢查；將動態SQL語句替換爲存儲過程、預編譯SQL或ADO命令對象；增強SQL數據庫服務器的配置與鏈接。
4.XSS跨站腳本攻擊
XSS跨站腳本攻擊的最終目標是使用Web應用程序的用戶。XSS跨站腳本漏洞有兩種類型：持久性XSS漏洞和非持久性XSS漏洞。前者是危害最爲嚴重的XSS漏洞。
XSS攻擊防範措施：(1)服務器端防範措施：輸入驗證、輸出淨化、消除危險的輸入點。（2）客戶端防範措施：提升瀏覽器訪問非受信網站時的安全等級、關閉cookie功能等。

二.WEB瀏覽器安全攻防

Web瀏覽器是目前互聯網用戶最經常使用的客戶端軟件，能夠幫助用戶瀏覽Web服務器上的文件，並讓用戶與這些文件進行交互，在Web瀏覽器的幫助下，互聯網用戶可以迅速及輕易地瀏覽萬維網上文字、圖像、視頻等各類形態的信息內容，以及訪問各類形式與用途的Web應用程序。
Web瀏覽器軟件的安全困境三要素：複雜性、可擴展性、連通性。
Web瀏覽端的滲透攻擊威脅———網頁木馬
網頁木馬存在的技術基礎——Web瀏覽端安全漏洞

網頁木馬的本質核心——瀏覽器滲透攻擊
網頁掛馬機制，最主要的是有如下四類策略：內嵌HTML標籤；惡意Script腳本；內嵌對象連接；ARP欺騙掛馬。
網頁木馬的檢測與分析技術：基於特徵碼匹配的傳統檢測方法；基於統計與機器學習的靜態分析方法；基於動態行爲結果斷定的檢測分析方法；基於模擬瀏覽器環境的動態分析檢測方法。

b.Kali視頻學習

Kali漏洞分析之數據庫評估(一)

1.BBQSql是一個Python編寫的盲注工具，當檢測可疑的注入漏洞時會頗有用。同時BBQSQL是一個半自動工具，容許客戶自定義參數。
2.DBPwAudit(數據庫用戶名密碼枚舉工具)使用參考：

#./dbpwaudit -s IP -d master(數據庫名) -D mssql(數據庫類型) -U username(字典) -P password(字典)

#./dbpwaudit.sh -s IP -d mysql(數據庫名) -D MySQL(數據庫類型) -U username(字典) -P password(字典)

3.HexorBase：圖形化的密碼破解與鏈接工具，開源。

4.Jsql Injection：是一款輕量級安全測試工具，能夠檢測SQL注入漏洞。它跨平臺(Windows,Linux,MAC,),開源且免費。將存在注入漏洞的URL貼進來便可進行相應的漏洞利用。圖形化界面比較親民。

5.MDBTools包括MDB-Export，以及MDB-Dump，MDB-parsecsv等子工具，具體環境具體使用。
6.Oracle Scanner：是一個用Java開發的Oracle評估工具。它是基於插件的結構。

7.SIDGusser：針對Oracle的SID進行暴力枚舉的工具。

8.SqlDICT：一個用戶名密碼枚舉工具，經過Wine運行。

Kali漏洞分析之數據庫評估(二)

1.tnscmd10g

2.Sqlsus：一個開放源代碼的MySQL注入和接管工具，sqlsus使用perl編寫，基於命令行界面。Sqlsus能夠獲取數據庫結構，注入本身的SQL語句，從服務器下載文件，爬行web站點可寫目錄，上傳和控制後門，克隆數據庫等。最好用的兩點就是注射獲取數據速度很是快，另一個最大的特色就是自動搜索可寫目錄。
!

3.SQL ninja：一款Perl編寫的一個專門針對microsoft SQL server的SQL注入工具，和市面上其餘的注入工具不一樣，sqlninja沒有將精力用在跑數據庫上，而是側重於得到一個shell。

4.Sqlmap：是一個開源的滲透測試工具，它主要用於自動化的偵測和實施SQL注入以及滲透數據庫服務器，SQLMAP配有強大的偵測引擎，適用於高級滲透測試用戶，不只能夠得到不一樣數據庫的指紋信息，還能夠從數據庫中提取數據，此外還可以處理潛在的文件系統以及經過帶外數據鏈接執行系統命令等。

Kali漏洞分析之Web應用代理

1.Burp Suite：用於攻擊web應用程序集成平臺。Burp Suite 經過默認端口8080上運行，使用這個代理，能夠截獲並修改從客戶端到web應用程序的數據包。
Proxy代理模塊做爲BurpSuite的核心功能，攔截HTTP/S的代理服務器，做爲一個在瀏覽器和目標應用程序之間的中間人，容許你攔截，查看，修改在兩個方向上的原始數據流。

2.OwaspZAP：攻擊代理，是一款查找網頁的應用程序漏洞綜合滲透測試工具。包含攔截代理，被動處理，暴力破解，端口掃描，以及蜘蛛搜索等功能。OwaspZAP爲會話類調試工具，調試功能對網站不會發起大量請求，對服務器影響較小。
3.paros：一個對Web應用程序的漏洞進行評估的代理程序，即一個基於Java的web代理程序，能夠評估Web應用程序的漏洞。它支持動態地編輯/查看 HTTP/HTTPS,從而改變cookies和表單字段等項目。它包括一個Web通訊記錄程序，Web圈套程序(spider)，hash 計算器，還有一個能夠測試常見的Web應用程序攻擊(如SQL注入式攻擊和跨站腳本攻擊)的掃描器。該工具檢查漏洞形式包括：SQL注入、跨站點腳本攻擊、目錄遍歷等。

Kali漏洞分析之Burp Suite

Burp Suite用於攻擊web應用程序的集成平臺，它帶有一個代理，經過默認端口8080運行，使用這個代理，能夠截獲並修改從客戶端到web應用程序的數據包。它包含了一系列burp工具，這些工具之間有大量接口能夠互相通訊。平臺中全部工具 共享一robust框架，以便統一處理HTTP請求。它容許工具者結合手工和自動技術去枚舉、分析、攻擊web應用程序。

Proxy提供一個直觀、友好的用戶界面，它的代理服務器包含很是詳細的攔截規則，並能準確分析HTTP消息的結構與內容。
Spide爬行蜘蛛工具能夠用來抓取目標網站，以顯示網站的內容，基本結構和其餘功能。
Scanner Web應用程序的安全漏洞進行自動發現工具。它被設計用於滲透測試，並密切與現有的技術和方法，以適應執行手動和半自動化的Web應用程序滲透測試
Repeater 可手動從新發送單個HTTP請求。
Intruder 是burp套件的優點，提供一組特別有用的功能。它能夠自動實施各類定製攻擊，包括資源枚舉、數據提収、模糊測試等常見漏洞等。在各類有效的掃描工具中，它能 夠以最細化、最簡單的方式訪問它生產的請求與響應，容許組合利用我的智能與該工具的控制優勢。
Sequencer 對會話令牌，會話標識符或其餘出於安全緣由須要隨機產生的鍵值的可預測性進行分析。
Decoder 轉化成規範的形式編碼數據，或轉化成各類形式編碼和散列的原始數據。它可以智能識別多種編碼格式，使用啓發式技術。
Comparer 執行比較數據之間的任何兩個項目。在攻擊一個Web應用程序的狀況下，這一要求一般會出現當你想快速識別兩個應用
程序的響應之間的差別（例如，入侵者攻擊的過程當中收到的兩種反應之間之間，或登陸失敗的反應使用有效的和無效的用戶名）之間，或兩個應用程序詰求（例如，肯定不一樣的行爲引 起不一樣的請求參數）。

Kali漏洞分析之Fuzz工具

Fuzz工具是一個模糊測試工具。模糊測試是一種介於徹底的手工滲透測試與徹底的自動化測試之間的安全性測試類型，是一種經過向目標系統提供非預期的輸入並監視異常結果來發現軟件漏洞的方法。測試的基本思想就是經過向程序中輸入大量的隨機數據，而後觀察輸入這些數據以後程序的狀況，記錄下使程序發生異常的數據，從而判斷程序是在那些地方發生了異常。 簡言之，就是發送一連串可能畸形的數據包，嘗試使程序報錯，從而進行判斷。
1.Bed是一個純文本協議的Fuzz工具，可以檢查常見的漏洞，如緩衝區溢出，格式串漏洞，整數溢出等。BED經過加載插件，向目標主機發送攻擊數據。若是發現目標沒法響應，說明目標可能存在溢出區漏洞。通過屢次測試驗證，就能夠判斷漏洞出現的位置。而後經過手工執行驗證，代碼審覈、反編譯等方式，就能夠找出漏洞具體觸發機制，從而加以利用。

2.ohrwurm：迷你的對RTP的fuzz工具，主要針對SIP通訊的fuzz。

3.PowerFuzzer

4.Wfuzz：針對WEB應用的模糊測試工具，能夠進行web應用暴力猜解，也支持對網站目錄、登陸信息、應用資源文件等的暴力猜解，還能夠進行get及post參數的猜解，sql注入、xss漏洞的測試等。全部功能依賴於字典。
5.Sfuzz

6.XSSer命令行界面

圖形化界面xsser --gtk