web安全加固
任务一:SQL注入防范
1、部署并运行Blog项目,在用户登录界面用户名处输入万能密码admin’ or 1=1 --‘,密码处输入任意字符,点击登录,观察是否能绕过后台登录系统。
原因:项目使用PreparedStatement方法完成SQL语句的执行,该方法要求在执行SQL语句之前,必须告诉JDBC哪些值作为输入参数,解决了普通Statement方法的注入问题,极大的提高了SQL语句执行的安全性。
2、在项目中找到用户登录模块所使用的关键SQL语句。
3、修改登录模块的SQL查询相关语句如下所示:
4、再次运行项目,使用万能密码admin’ or 1=1 --'进行登录,登陆成功
任务二:XSS跨站防范
1、运行项目,在网站中寻找能够提交信息的文本框。
2、提交JS代码:,观察代码是否生效。
3、在项目中编写代码,在用户提交留言和评论信息时将<和>分别替换为>和<。
4.再次在留言板中提交JS代码:< script>alert(“xxx”)< /script>,观察提交的代码是否能够正常显示。
原因:在HTML中,某些字符是预留的。例如小于号 < 和大于号 > ,浏览器在解析他们时会误认为它们是标签。如果希望正确地显示预留字符,我们必须在HTML源代码中使用字符实体(character entities)。
任务三:上传攻击防范
1、运行项目,在网站中寻找能够上传文件的位置,尝试上传菜刀马。
2、分析项目源代码,找到项目在哪里对上传文件类型做了何种限制。
3、将菜刀马的文件后缀修改为图片类型,观察是否能够上传。
4、注释掉文件上传限制,上传jsp后缀的菜刀马,观察是否能够正常使用
特别感谢:亲爱的小明老师