20164322 韓玉婷-----Exp8 Web基礎

時間 2019-11-26

標籤 exp8 exp web 基礎欄目 HTML 简体版

原文原文鏈接

報告內容：

1.基礎問題回答

（1）什麼是表單javascript

表單在網頁中主要負責數據採集功能。HTML 表單用於蒐集不一樣類型的用戶輸入,包含一些表單元素，表單元素指的是不一樣類型的 input 元素、複選框、單選按鈕、提交按鈕等等。php

（2）瀏覽器能夠解析運行什麼語言css

html（超文本標記語言），css，javascript，XML（可擴展標記語言），Python，PHP，JavaScript、ASP等等。html

（3）WebServer支持哪些動態語言前端

php,jsp,asp等等。java

2.實踐總結與體會mysql

由於以前沒有接觸過數據庫的課程，因此對於MYSQL數據庫這部分的實驗理解不是特別透徹，經過老師上課講的內容、參考學姐的博客以及在網上查找了一些資料進行了簡單的瞭解。對於一個網站前端和後端的工做原理也有了必定的瞭解，感受這門課特別實用，每次完成實驗都有一種「這也太神奇了「的感受，對網絡課這方面本身的基礎很弱，可是很喜歡，因此會努力學習。web

3.實踐過程記錄sql

3.1.Web前端：HTML

啓動Apache
service apache2 start 數據庫

查看端口占用狀況
netstat -aptn

能夠看到apache2佔用80

測試1:apache可正常工做,瀏覽器打開 127.0.0.1:80可正常打開Apache介紹網頁

使用 cd /var/www/html 進入Apache目錄下，新建一個簡單的含有表單的html文件 simple_form.html

simple_form.html 的內容以下：

在瀏覽器嘗試打開：

3.2.Web前端：javascipt

在原有 simple_form.html 基礎上，能夠添加一段JavaScript代碼，以完成對用戶是否填寫郵箱和密碼的判斷。修改後的 login_test.html 以下所示：

<html>
<head>
<title>CryptoTeam</title>
<!-- Meta tag Keywords -->
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<!-- Meta tag Keywords -->
</head>

<body>
<!-- main -->
<!--//header-->
<h2>Login Quick</h2>
<form action="login.php" method="post" name="form_login">
<input placeholder="E-mail" name="Email" class="user" type="email" onfocus="if (this.value=='Your email') this.value='';" />
<br>
</br>
<input placeholder="Password" name="Password" class="pass" type="password" onfocus="if (this.value=='Your password') this.value='';"/>
<br>
</br>
<input type="submit" value="Login" onClick="return validateLogin()"/>
</form>
<!--//main-->
<script language="javascript"> 
function validateLogin(){ 
var sUserName = document.form_login.Email.value ; 
var sPassword = document.form_login.Password.value ; 
if ((sUserName =="") || (sUserName=="Your email")){ 
alert("user email!"); 
return false ; 
}

if ((sPassword =="") || (sPassword=="Your password")){ 
alert("password!"); 
return false ; 
}

} 
</script>

</body>
</html>

在瀏覽器訪問 file:///var/www/html/login_test.html ，若是用戶郵箱或密碼未填寫就提交，網頁會報提示：

3.3.Web後端：MySQL基礎

輸入 /etc/init.d/mysql start 開啓MySQL服務

輸入 mysql -u root -p 使用root權限進入，默認的密碼是：password

輸入 update user set password=PASSWORD("新密碼") where user='root'；修改密碼；

輸入 flush privileges; ，更新權限：

輸入 exit 退出數據庫，使用新的密碼登陸：

使用 create database hyt; 數據庫名稱;創建數據庫

使用 show databases; 查看存在的數據庫：

使用 use hyt; 數據庫名稱;使用咱們建立的數據庫：

使用 create table 表名 (字段設定列表); 創建數據庫表，並設置字段基本信息：

使用 show tables; 查看錶信息：

使用 insert into 表名 values('123456@qq.com','20154322',...); 插入數據：

使用 select * from 表名; 查詢表中的數據：

在MySQL中增長新用戶，使用 grant select,insert,update,delete on 數據庫.* to 用戶名@登陸主機(能夠是localhost,也能夠是遠程登陸方式的IP) identified by "密碼"; 指令，這句話的意思是將對某數據庫的全部表的select,insert,update,delete權限授予某ip登陸的某用戶：

增長新用戶後，使用新的用戶名和密碼進行登陸：

登陸成功，說明成功增長新用戶。

3.4.Web後端：編寫PHP網頁

1.在 /var/www/html 目錄下新建一個PHP測試文件 phptest.php ，簡單瞭解一下它的一些語法:

<?php
echo ($_GET["a"]);
include($_GET["a"]);
echo "This is my php test page!<br>";
?>

.在瀏覽器網址欄中輸入 localhost:80/phptest.php?a=/etc/passwd ，可看到 /etc/passwd 文件的內容

利用PHP和MySQL，結合以前編寫的登陸網頁進行登陸身份認證，修改後的 login.php 代碼以下：

<?php
$uname=$_POST["Email"];
$pwd=$_POST["Password"];
echo $uname;
$query_str="SELECT * FROM login_table where username='$uname' and password='$pwd';";
$mysqli = new mysqli("127.0.0.1", "hanyuting", "123456", "hyt");

/* check connection */
if ($mysqli->connect_errno) {
printf("Connect failed: %s\n", $mysqli->connect_error);
exit();
}
echo "connection ok!";
/* Select queries return a resultset */
if ($result = $mysqli->query($query_str)) {
if ($result->num_rows > 0 ){
echo "<br> {$uname}:Welcome!!! <br> ";
} 
else {
echo "<br> login failed!!!! <br> " ; }
/* free result set */
$result->close();
}
$mysqli->close();
?>

在瀏覽器輸入 127.0.0.1/login.html 訪問本身的登陸界面。

輸入用戶名和密碼進行認證，成功登陸以下圖所示：

3.5.最簡單的SQL注入，XSS攻擊測試

SQL注入：

SQL注入，就是經過把SQL命令插入到Web表單提交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務器執行惡意的SQL命令。具體來講，它是利用現有應用程序，將（惡意的）SQL命令注入到後臺數據庫引擎執行的能力，它能夠經過在Web表單中輸入（惡意）SQL語句獲得一個存在安全漏洞的網站上的數據庫，而不是按照設計者意圖去執行SQL語句。

在用戶名輸入框輸入 ' or 1=1# ，密碼任意輸入，可登錄成功：

這是由於，輸入的用戶名和咱們的代碼中select語句組合起來變成了 select * from users where username='' or 1=1#' and password='' ,#至關於註釋符，會把後面的內容都註釋掉，or至關於或語句，因此只要有一個條件成立，則成功登錄，而1=1是永真式，因此這個條件永遠成立，因此無論密碼是否輸入正確，都可以成功登錄。

XSS攻擊：

跨站腳本攻擊(Cross Site Scripting)，爲不和層疊樣式表(Cascading Style Sheets, CSS)的縮寫混淆。故將跨站腳本攻擊縮寫爲XSS。XSS是一種常常出如今web應用中的計算機安全漏洞，它容許惡意web用戶將代碼植入到提供給其它用戶使用的頁面中。好比這些代碼包括HTML代碼和客戶端腳本。攻擊者利用XSS漏洞旁路掉訪問控制——例如同源策略(same origin policy)。這種類型的漏洞因爲被駭客用來編寫危害性更大的phishing攻擊而變得廣爲人知。

將一張圖片放在 /var/www/html 目錄下，在用戶名輸入框輸入 <img src="2.jpg" /> ，密碼隨意，就能夠讀取圖片啦：

相關標籤/搜索

每日一句

每一个你不满意的现在，都有一个你没有努力的曾经。