20145303刘俊谦 《网络对抗》Exp9 Web安全基础实践

基础问题回答

1、SQL注入原理&＃xff0c;如何防御

• SQL注入

• 就是通过把SQL命令插入到“Web表单递交”或“输入域名”或“页面请求”的查询字符串&＃xff0c;最终达到欺骗服务器执行恶意的SQL命令。设计程序中忽略对可能构成攻击的特殊字符串的检查。后台数据库将其认作正常SQL指令后正常执行&＃xff0c;可能实现对后台数据库进行各种操作&＃xff0c;甚至造成破坏后台数据库等严重后果。

• 防御

• 通过正则表达式&＃xff0c;或限制长度&＃xff0c;对用户的输入进行校验等。

• 不要使用管理员权限的数据库连接&＃xff0c;为每个应用使用单独的权限有限的数据库连接。

• 不把机密信息明文存放&＃xff0c;请加密或者hash掉密码和敏感的信息。

• 应用的异常信息应该给出尽可能少的提示&＃xff0c;最好使用自定义的错误信息对原始错误信息进行包装&＃xff0c;把异常信息存放在独立的表中。

2、XSS攻击的原理&＃xff0c;如何防御

• 原理&＃xff1a;在Web页面里插入恶意Script代码&＃xff0c;当用户浏览网页时&＃xff0c;嵌入其中Web里面的Script代码会被执行&＃xff0c;一个看似安全的网页却有可能盗取用户的COOKIEs&＃xff0c;或者登录名密码等信息。

• 防御

• 在输入方面对用户提交的的内容进行可靠的输入验证。

• 可以对输入的地方进行输入字数控制

• 脚本执行区&＃xff0c;禁止输入。

3、CSRF攻击原理&＃xff0c;如何防御

• 我们知道XSS是跨站脚本攻击&＃xff0c;就是在用户的浏览器中执行攻击者的脚本&＃xff0c;来获得其COOKIE等信息。而CSRF是借用用户的身份&＃xff0c;向web server发送请求&＃xff0c;因为该请求不是用户本意&＃xff0c;所以称为“跨站请求伪造”。

• 对于CSRF的防御也可以从以下几个方面入手&＃xff1a;

• 通过referer、token或者验证码来检测用户提交&＃xff1b;

• 尽量不要在页面的链接中暴露用户隐私信息&＃xff0c;对于用户修改删除等操作最好都使用post操作&＃xff1b;

• 避免全站通用的COOKIE&＃xff0c;严格设置COOKIE的域。

WebGoat

• WebGoat是OWASP组织研制出的用于进行web漏洞实验的应用平台&＃xff0c;用来说明web应用中存在的安全漏洞。WebGoat运行在带有java虚拟机的平台之上&＃xff0c;目前提供的训练课程有很多&＃xff0c;包含了XSS、线程安全、SQL注入等&＃xff0c;我们本次的实验就是在WebGoat平台上进行。

• WebGoat分为简单版和开发板&＃xff0c;简单版是个Java的Jar包&＃xff0c;只需要有Java环境即可&＃xff0c;我们在命令行里执行&＃xff1a;java -jar webgoat-container-7.0.1-war-exec.jar运行WebGoat

• WebGoat使用8080端口&＃xff0c;所以在浏览器上访问localhost:8080/WebGoat&＃xff0c;进入WebGoat之后&＃xff0c;可以看到有很多题目来让我们进行练习。

Cross-Site Scripting&＃xff08;XSS&＃xff09;练习

Phishing with XSS

• 这个题目我们要在搜索框中输入XSS攻击代码&＃xff0c;利用XSS可以在已存在的页面中进一步添加元素的特点。我们先创建一个form&＃xff0c;让受害人在我们创建的form中填写用户名和密码&＃xff0c;再添加一段Javascript代码&＃xff0c;读取受害人输入的用户名和密码&＃xff0c;并且将这些信息发送给http://localhost:8080/WebGoat/catcher?PROPERTY&＃61;yes...&＃xff0c;完整的XSS攻击代码如下&＃xff1a;

  



  ---

  This feature requires account login:

  
  
  Enter Username:
  
  Enter Password:
  
  
  
  

  ---

• 在搜索框中输入攻击代码后点击搜索&＃xff0c;会看到一个要求输入用户名密码的表单

• 输入用户名密码&＃xff0c;点击登录&＃xff0c;WebGoat会将你输入的信息捕获并反馈给你&＃xff1a;
  

• 攻击成功&＃xff01;
  

Stored XSS Attacks

• 我们的目标是要创建非法的消息内容&＃xff0c;可以导致其他用户访问时载入非预期的页面或内容&＃xff0c;在上个实验中我们也做过&＃xff0c;在message中输入一串代码&＃96;&＃96;
  

• 提交后&＃xff0c;再次点击刚刚创建的帖子&＃xff0c;成功弹出窗口&＃xff0c;说明攻击成功&＃xff1a;
  

Reflected XSS Attacks

• 当我们输入错误用户信息后&＃xff0c;服务器校验输入有误&＃xff0c;返回错误页面并将错误内容展示给我们看&＃xff1a;
  

• 这时如果我们将带有攻击性的URL作为输入源&＃xff0c;例如依旧输入&＃96;&＃96;&＃xff0c;就会弹出对话框&＃xff1a;
  

• 虽然这个效果和上一个存储型XSS实验的效果类似&＃xff0c;但是两者所用的原理不一样&＃xff0c;存储型XSS是持久化的&＃xff0c;代码是存储在服务器中&＃xff0c;比较典型的例子就是上面所用的留言板&＃xff0c;而这个实验中用的是反射型XSS攻击是非持久化的&＃xff0c;应用的场景比如欺骗用户自己去点击链接才能触发XSS代码&＃xff0c;也就是说它的代码是不存在服务器中的&＃xff0c;所以一般来说存储型XSS攻击危害更大。

Cross Site Request Forgery(CSRF)

• 我们的目的是要写一个URL诱使其他用户点击&＃xff0c;从而触发CSRF攻击&＃xff0c;我们可以以图片的的形式将URL放进Message框&＃xff0c;这时的URL对其他用户是不可见的&＃xff0c;用户一旦点击图片&＃xff0c;就会触发一个CSRF事件。

• 我们在message框中输入这样一串代码&＃xff1a;&＃xff0c;注意这里面的Screen和menu的值每个人的电脑可能不一样&＃xff0c;可以在Parameters进行查看

• 提交后&＃xff0c;会在消息列表中看到一个新的消息&＃xff0c;点击该消息&＃xff0c;当前页面就会下载这个消息并显示出来&＃xff0c;转走用户的4000元&＃xff0c;从而达到CSRF攻击的目的。

CSRF Prompt By-Pass

• 我们依旧和上一个一样要构造CSRF攻击&＃xff0c;不过这次其包括了两个请求&＃xff0c;一是转账请求&＃xff0c;二是确认转账成功请求&＃xff0c;即需要额外传递两个参数给服务器&＃xff08;transferFunds&＃61;4000&＃xff0c;transferFunds&＃61;CONFIRM&＃xff09;

• 一开始我是直接在message中写入了攻击代码&＃xff0c;但是没有成功&＃xff0c;于是我换了一种方法&＃xff0c;先在浏览器中手动输入URL&＃xff1a;localhost:8080/WebGoat/attack?Screen&＃61;269&menu&＃61;900&transferFunds&＃61;5000进入确认转账请求页面&＃xff1a;
  

• 点击CONFIRM按钮之后&＃xff0c;再在浏览器中输入URL&＃xff1a;localhost:8080/WebGoat/attack?Screen&＃61;268&menu&＃61;900&transferFunds&＃61;CONFIRM&＃xff0c;成功转走了5000元&＃xff1a;
  

Injection Flaws练习

Command Injection

• 这个题是要求能够在目标主机上执行系统命令&＃xff0c;我们可以通过火狐浏览器下的一个扩展Firebug对源代码进行修改&＃xff0c;例如在BackDoors.help旁边加上"& netstat -an & ipconfig"&＃xff1a;
  

• 之后在下拉菜单中能看到我们修改后的值&＃xff1a;
  

• 选中修改后的值再点view&＃xff0c;可以看到命令被执行&＃xff0c;出现系统网络连接情况&＃xff1a;
  

Numeric SQL Injection

• 我们要通过注入SQL字符串的方式查看所有的天气数据&＃xff0c;我们上次实验做过类似的&＃xff0c;只要加上一个1&＃61;1这种永真式即可达到我们的目的&＃xff0c;依旧利用firebug&＃xff0c;在任意一个值比如101旁边加上or 1&＃61;1&＃xff1a;
  

• 选中Columbia&＃xff0c;点Go&＃xff0c;可以看到所有天气数据&＃xff1a;
  

Log Spoofing

• 我们输入的用户名会被追加到日志文件中&＃xff0c;所以我们可以使用障眼法来使用户名为“admin”的用户在日志中显示“成功登录”&＃xff0c;在User Name文本框中输入rx%0d%0aLogin Succeeded for username: admin&＃xff0c;其中%0d是回车&＃xff0c;%0a是换行符&＃xff1a;
  

• 如图所示&＃xff0c;攻击成功&＃xff1a;
  

String SQL Injection

• 还是和之前一样&＃xff0c;基于select语句构造SQL注入字符串&＃xff0c;在文本框中输入&＃39; or 1&＃61;1 --&＃xff1a;

• 点Go&＃xff0c;攻击成功&＃xff0c;所有用户信息都被显示出来&＃xff1a;
  

LAB:SQL Injection(Stage 1:String SQL Injection)

• 以用户Neville登录&＃xff0c;在密码栏中输入&＃39; or 1&＃61;1 --进行SQL注入&＃xff0c;但是登录失败&＃xff1a;
  

• 后面查看了一下网页源码&＃xff0c;发现输入框对输入的字符长度进行了限制&＃xff0c;最多只允许输入8个字符&＃xff1a;
  

• 对字符长度进行修改&＃xff0c;然后重新登录&＃xff0c;登录成功&＃xff1a;
  

LAB:SQL Injection(Stage 3:Numeric SQL Injection)

• 我们还是用上一题的办法先以用户名Larry登录&＃xff0c;登录之后看到浏览员工信息的按钮是ViewProfile&＃xff1a;
  

• 在网页代码中分析一下这个按钮&＃xff0c;发现这个地方是以员工ID作为索引传递参数的&＃xff0c;我们要达到通过Larry来浏览老板账户信息的目的&＃xff0c;一般来说老板的工资都应该是最高的&＃xff0c;所以把其中的value值改为101 or 1&＃61;1 order by salary desc --&＃xff0c;这样老板的信息就会被排到第一个&＃xff1a;
  

• 之后就可以查看到老板的信息&＃xff1a;
  

Database Backdoors

• 先输一个101&＃xff0c;得到了该用户的信息&＃xff1a;
  

• 可以发现输入的语句没有验证&＃xff0c;很容易进行SQL注入&＃xff0c;输入注入语句&＃xff1a;101; update employee set salary&＃61;10000&＃xff0c;成功把该用户的工资更改到了10000&＃xff1a;
  

• 接下来使用语句101;CREATE TRIGGER lxmBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email&＃61;&＃39;20145303&＃64;163.com&＃39; WHERE userid &＃61; NEW.userid创建一个后门&＃xff0c;把表中所有的邮箱和用户ID都设为我的&＃xff1a;