信息安全实训6 Web安全加固

最新推荐文章于 2024-05-03 18:20:20 发布

漂亮的小姨妈

最新推荐文章于 2024-05-03 18:20:20 发布

阅读量98

点赞数

文章标签： web安全 sql 安全

本文链接：https://blog.csdn.net/weixin_52692029/article/details/124499757

版权

本文介绍了如何防范Web安全中的常见威胁。针对SQL注入，通过预编译语句增强了SQL安全性；XSS防护通过转义特殊字符避免了脚本执行；在上传攻击防范中，对文件类型进行了限制，防止恶意文件上传。

摘要由CSDN通过智能技术生成

1、部署并运行Blog项目，在用户登录界面用户名处输入万能密码admin' or 1=1 --'，密码处输入任意字符，点击登录，观察是否能绕过后台登录系统。

原因：项目使用PreparedStatement方法完成SQL语句的执行，该方法要求在执行SQL语句之前，必须告诉JDBC哪些值作为输入参数，解决了普通Statement方法的注入问题，极大的提高了SQL语句执行的安全性。

2、在项目中找到用户登录模块所使用的关键SQL语句。

3、修改登录模块的SQL查询相关语句如下所示：

4、再次运行项目，使用万能密码admin' or 1=1 --'进行登录，观察是否能够成功登录，登录的是谁的账号，思考原因。

1、运行项目，在网站中寻找能够提交信息的文本框。

2、提交JS代码：<script>alert("xxx")</script>，观察代码是否生效。

3、在项目中编写代码，在用户提交留言和评论信息时将<和>分别替换为>和<。

原因：在HTML中，某些字符是预留的。例如小于号 < 和大于号 > ，浏览器在解析他们时会误认为它们是标签。如果希望正确地显示预留字符，我们必须在HTML源代码中使用字符实体（character entities）。

4、再次在留言板和文章评论中提交JS代码：<script>alert("xxx")</script>，观察提交的代码是否能够正常显示。

1、运行项目，在网站中寻找能够上传文件的位置，尝试上传菜刀马。

2、分析项目源代码，找到项目在哪里对上传文件类型做了何种限制。

3、将菜刀马的文件后缀修改为图片类型，观察是否能够上传。

4、尝试获取图片地址，并使用中国菜刀进行连接，观察是否能够正常使用。

5、注释掉文件上传限制，上传jsp后缀的菜刀马，观察是否能够正常使用。

关注