第05讲作业
题量: 7 满分: 100
作答时间:03-27 08:46至04-06 00:00
94分
- 批阅人
- ***
- ***
- 打分
- 88
- 100
一. 填空题（共1题，2分）
1. (填空题, 2分)
打开两台虚拟机，Metasploitable作为目标机，Kali机作为攻击机，并参照下图所示的网络拓扑环境，分别对两台虚拟机的ip地址进行配置。
注：此处的学号=本人学号的最后两位数字，1学号=100+本人学号的最后两位数字
请输入本人的学号最后两位数字：________________。
我的答案：
2分
(1) 20
正确答案：
(1) 01-99
答案解析：
二. 简答题（共6题，98分）
2. (简答题, 3分)在Kali的火狐浏览器中访问Metasploitable服务器，打开DVWA。将DVWA的首页截图，必须清晰包含浏览器的访问网址，且与kali的ifconfig同屏截图。
我的答案：
0分
正确答案：
***： 3分
***： 3分
3. (简答题, 15分)将Metasploitable中DVWA的安全级别设置为low，然后完成“SQL Injection”中的注入，文字+截图简述注入的基本思路，不需要完整的解题过程，只要能描述清楚注入方法即可，要求与kali的ifconfig同屏截图。
我的答案：
0分
正确答案：
答案解析：
***： 15分
***： 15分
4. (简答题, 15分)将Metasploitable中DVWA的安全级别设置为Medium，然后完成“SQL Injection”中的注入，文字+截图简述注入的基本思路，不需要完整的解题过程，只要能描述清楚注入方法即可，要求与kali的ifconfig同屏截图。
我的答案：
0分
正确答案：
答案解析：
***： 9分
无解题思路
***： 15分
5. (简答题, 15分)将Metasploitable中DVWA的安全级别设置为low，然后完成“SQL Injection(Blind)”中的注入，文字+截图简述注入的基本思路，不需要完整的解题过程，只要能描述清楚注入方法即可，要求与kali的ifconfig同屏截图。
我的答案：
0分
正确答案：
答案解析：
***： 15分
***： 15分
6. (简答题, 15分)将Metasploitable中DVWA的安全级别设置为medium，然后完成“SQL Injection(Blind)”中的注入，文字+截图简述注入的基本思路，不需要完整的解题过程，只要能描述清楚注入方法即可，要求与kali的ifconfig同屏截图。
我的答案：
0分
正确答案：
答案解析：
***： 9分
无解题过程
***： 15分
7. (简答题, 35分)针对所完成的SQL注入练习，以及你参考的其它相关资料，整理一份SQL注入常用攻击方法的笔记，越详细越好
我的答案：
0分
1、SQL注入的原理
Sql注入攻击指的是通过构建特殊的输入作为参数传入web应用程序，而这些输入大都是sql语法里的一些组合，通过执行sql语句进而执行攻击者所要的操作，其中主要原因是程序没有细致的过滤用户输入的数据，致使非法数据侵入系统。
2、SQL注入的危害
(1)数据库信息泄露
(2)网页篡改：通过操作数据库对特定网页进行篡改，嵌入网马链接，进行挂马攻击。
(3)数据库被恶意操作：数据库服务器被攻击，数据库的系统管理员帐户被更改。
(4)服务器被远程控制：黑客可以修改或控制操作系统。
(5)种植木马：瘫痪全系统。
3、SQL注入常见的攻击手段
(1) 判断应用程序是否存在注入漏洞
(2) 收集信息、并判断数据库类型
(3) 根据注入参数类型，重构SQL语句的原貌
(4)猜解表名、字段名
(5) 获取账户信息、攻击web或者下一步攻击做准备
5、SQL注入的分类
(1)按照注入点类型分类
数字型注入、字符型注入、搜索型注入
(2)按照数据提交方式分类
GET注入：提交数据的方式是GET，注入点的位置在GET参数部分。
POST注入：使用POST方式提交数据，注入点位置在POST数据部分，常发生在表单中
Cookie注入：http请求的时候会带上客户端的cookie，注入点存在cookie当中的某个字段中
(3)按照执行效果分类
基于布尔类型的盲注，即可以根据返回页面判断条件真假的注入
基于时间的盲注，即不能根据页面返回的内容判断任何信息，要用条件语句查看时间延迟语句是否已经执行(即页面返回时间是否增加)来判断
基于报错注入，即页面会返回错误信息，或者把注入的语句的结果直接返回到页面中
联合查询注入，在可以使用Union的情况下注入
堆查询注入，可以同时执行多条语句时的注入
正确答案：
1003
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
