第五天的信息安全实训

1、SQL注入防范
运行项目，开启sql服务，将项目的数据库导入sql server，然后用myeclipse8.5运行项目，在用户登录界面用户名处输入万能密码admin’ or 1=1 --’，密码处输入任意字符，点击登录，发现不能绕过后台登录系统。

用户登录模块所使用的关键SQL语句。

再次运行项目，使用万能密码admin’ or 1=1 --'进行登录，发现可以成功登录。

登录的是稻草人的账号。
2、跨站攻击防范
在项目中编写代码，在用户提交留言时将<和>分别替换为>和<，再次在留言板中提交JS代码：，发现提交的代码已经能够正常显示。

在项目中编写代码，在用户提交文章评论时将<和>分别替换为>和<，再次在文章评论中提交JS代码：<　script>alert(“xxx”)<　/script>，观察提交的代码能够正常显示。


3、上传攻击防范
运行项目，在网站中寻找能够上传文件的位置，尝试上传菜刀马。

发现上传失败了。通过分析项目源代码，找到了项目在某处对上传文件类型做了某种限制。它只允许上传jpg，png，gif文件。

将菜刀马的文件后缀修改为图片类型。再次上传发现上传成功。

尝试获取图片地址，并使用中国菜刀进行连接。能进去，但再进一步的点击文件夹则进不去。

注释掉文件上传限制，上传jsp后缀的菜刀马。所有功能都可以正常使用。
经过了五天的信息安全实训课的学习，我学会的不是很多，但是我了解到了很多，感谢湛老师连续一周不断地教学，希望以后有机会有幸能与湛老师系统完善的学习网络安全的知识。