测试身份验证和会话管理

当今互联网时代,Web渗透测试是非常重要的一项任务,能够帮助企业和个人发现网站漏洞,防止黑客攻击和数据泄露。在Web渗透测试中,身份验证和会话管理是非常关键的环节,本文将介绍如何在渗透测试中进行身份验证和会话管理。
 

身份验证
在Web渗透测试中,身份验证是指验证用户身份的过程。通常,会使用用户名和密码进行身份验证,但是这种方法很容易被黑客破解。因此,在渗透测试中,需要采用更加安全的身份验证方法。
以下是一些常见的身份验证方法:
1.    多因素身份验证:采用多种身份验证因素,如用户名、密码、短信验证码、生物识别等,提高身份验证的强度。
2.    单点登录 (SSO):单点登录是一种常见的身份验证方法,它允许用户使用一个账户登录多个应用程序。在Web渗透测试中,可以使用单点登录来验证用户的身份。
3.    密钥管理:在Web渗透测试中,可以使用密钥来管理用户的身份验证信息,从而提高安全性。
会话管理
在Web渗透测试中,会话管理是指在用户登录后,建立和管理用户会话的过程。在会话管理中,需要确保用户的数据安全,防止数据泄露和黑客攻击。
以下是一些常见的会话管理方法:
1.    会话超时:会话超时是一种常见的会话管理方法,它允许服务器在一定时间内自动关闭用户的会话。这样可以防止黑客攻击和数据泄露。
2.    会话ID跟踪:会话ID跟踪是一种常见的会话管理方法,它允许服务器跟踪用户的会话ID,从而确保用户的数据安全。
3.    会话加密:会话加密是一种常见的会话管理方法,它允许服务器在会话期间对用户的数据进行加密,从而提高用户数据的安全性。

一、相关知识与技能

如果正在测试一个需要用户名和密码才能执行操作的 web 应用程序，需要寻找攻击者发现有效的用户名和密码的方法。在登录、注册和密码恢复页面中，对有效和无效用户的响应稍有不同，就会让找到一个有效信息。

二、实验内容：

1.从 Kali Linux 的浏览器打开 WebGoat ，如果弹出登录对话框，则使用 webgoat作为用户名和密码。

2.进入 WebGoat 后，转到 AuthenticationFlaws | Forgot Password。

3.将请求发送 Intruder 模块。

4.进入 Intruder 模块，设置用户名作为唯一要破解的位置。

5.然后，转到 Payloads 来设置将在攻击中使用的用户字典列表。

6.现在知道了用户不存在时的响应，可以使用 Burp 告诉该消息何时出现在结果中。

7.添加一个新的字符串来匹配 Not a validusername。

8.开始攻击。

 使用 Burp Suite 对登录页面进行字典攻击

一、相关知识与技能

KaliLinux 在/usr/share/wordlists中包含一组非常有用的密码字典和单词列表。所有失败的登录尝试得到相同的响应，但是一个状态为 200（OK），在这种情况下长度为 813 个字节，因此假设成功的一个必须是不同的，在最小的长度（因为它必须重定向或将用户发送到他们的主页）。

二、实验内容：

1.首先，将 Burp Suite 设置为浏览器的代理。

2.浏览到http://192.168.56.11/WackoPicko/admin/index.php?page=login

3.将看到一个登录表单。尝试测试用户名和密码。

4.现在，在 Proxy 的历史记录里查找刚刚通过登录尝试发出的 POST 请求，并将其发送给 Intruder。

5.单击【Clear§】按钮，清除预先选择的插入位置。

6.现在，通过突出显示参数的值并单击【Add§】按钮，将位置置于两个 POST参数（adminname 和 password）的值上。

7.由于密码列表针对所有用户，因此选择Cluster bomb 作为攻击类型。

8.下一步是在 Intruder 中选择输入测试值。转到 Payloads 选项卡。

9.在 Payloads Options[Simple list]（选项[简单列表]）部分的文本框中。

10.从 Payload Set 框中选择列表 2。

11.开始攻击。

使用 Hydra 对基本身份验证进行暴力破解攻击

一、相关知识与技能

与其他身份验证方法（例如基于表单的身份验证方法）不同，基本身份验证在发送到服务器的内容、如何发送以及期望从服务器得到的响应方面是标准的。这允许攻击者和渗透测试人员节省宝贵的分析时间，这些工作涉及的参数包含用户名和密码、如何处理，发送这些参数以及如何区分成功响应和不成功响应。

二、实验内容：

1.打开终端运行 hydra，或者使用 Kali Linux 应用程序|05 中的 Applications 菜单—密码攻击|在线攻击|hydra。

2.不输入任何参数。

3.在终端中：写入以下命令发动攻击：

hydra-L user_list.txt -P top25_passwords.txt -u -e nshttp-get://192.168.137.133/WebGoat/

 用 Metasploit 爆破 Tomcat 密码

一、相关知识与技能

默认情况下，tomcat 服务会开启在 8080 端口，管理界面目录在/manager/html。

使用的 tomcat_mgr_login 模块有一些参数：

 BLANK_PASSWORDS: 为每一个账号提供一个空密码测试

 PASSWORD: 设置这个可以一密码多用户的方式进行测试

 PASS_FILE: 输入你想使用的密码字典路径

 Proxies: 为了避免被检测到源地址，可以使用这个代理功能

 RHOSTS：填写要测试的主机（可以是多个，以空格分隔。也可以是一个清单文件）

 RPORT：设置目标 tomcat 运行端口

 STOP_ON_SUCCESS：当破解成功后停止攻击

 TARGERURI：管理界面的目录路径

 USERNAME：定义要测试的用户名（可以使单个，也可以是一个字典文件）

 USER_PASS_FILE：使用用户名/密码格式的字典文件

 USER_AS_PASS：尝试使用测试中的用户名作为密码

二、实验内容：

1.靶机 VM_1 有一个 tomcat 服务跑在 8080 端口，浏览器访问

http://192.168.127.133:8080/manager/html：

2.可以看到弹出了一个认证界面要求输入账号密码。

3.打开终端，输入 msfconsole 启动 msf

4.启动后需要加载 tomcat 爆破模块，在 msf>后输入

use auxiliary/scanner/http/tomcat_mgr_login

5.可以用这个命令看看需要什么参数：

showoptions

6.现在可以设置目标主机 ip 了！输入以下内容：

setrhosts 192.168.56.11

7.为了使运行速度快一点（不能太快！），可以用这个命令设置线程：

setthreads 5

8.为了不使服务器因为太大量请求而奔溃，破解速度降低一点：

setbruteforce_speed 3

9.其余参数使用默认值，设置完成后，输入 run 来启动攻击！

10.在一些失败结果后，发现了一个有效的密码！

 手动识别 Cookie 中的漏洞

一、相关知识与技能

在这个小节中，仅仅检查了 Cookie 的配置，但是在真实的渗透测试中 Cookie 的安全配置检查是必要的。

二、实验内容：

1. 在浏览器中：http://192.168.137.133/Wack/oPicko。

2. 可以使用 Cookies Manager 来查看 cookie 中的值，只需要在浏览器右上角点击它的图标即可打开 CookieManager。

3. 任选一个 cookie，例如来自 192.168.137.133 的 PHPSESSID，双击它或者是选中后单击 Edit 按钮，便可打开一个新的窗口用来编辑它内部存储的值。

4. 也可以使用浏览器的默认开发者工具来查看的修改 cookie的值。

Web渗透测试中，身份验证和会话管理是非常重要的一部分。身份验证是指验证用户的身份，确保只有授权用户才能访问敏感信息。会话管理是指在用户登录后，服务器为用户创建一个会话，并在用户与服务器交互时跟踪该会话。以下是一些身份验证和会话管理的最佳实践：

1. 密码策略：密码应该足够复杂，包括大小写字母、数字和特殊字符，并且应该定期更改。密码应该在客户端和服务器端进行加密传输，并且不应该以明文形式存储在数据库中。

2. 多因素身份验证：使用多种身份验证方法，例如密码和短信验证码，可以提高身份验证的安全性。

3. 防止暴力破解：实施防止暴力破解的措施，例如限制登录尝试次数、增加验证码效验机制等。

4. 会话管理：确保会话ID是随机生成的，并且在每次请求中都进行验证。会话ID应该在客户端和服务器端进行加密传输，并且不应该以明文形式存储在cookie中。

5. 会话超时：设置会话超时时间，确保用户在一段时间内没有活动时会话自动终止。

6. HTTPS：使用HTTPS协议加密通信，确保用户的身份和数据在传输过程中不被窃取或篡改。

7. 安全编码实践：在编写代码时，应该遵循安全编码实践，例如输入验证、输出编码、错误处理等。

8. 安全审计：定期进行安全审计，发现和修复潜在的安全漏洞。

总结：在Web渗透测试中,身份验证和会话管理是非常关键的环节。为了确保Web应用程序的安全性,需要采用多种身份验证方法,并建立会话管理机制,确保用户数据的安全性。