20145330 《网络对抗》 Web安全基础实践

时间:2023-03-10 03:35:50
20145330 《网络对抗》 Web安全基础实践

20145330 《网络对抗》 Web安全基础实践

1.实验后回答问题

(1)SQL注入攻击原理,如何防御

  • SQL注入,就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。

  • SQL注入攻击是黑客对数据库进行攻击的常用手段之一。

  • SQL注入攻击指的是就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。

  • 防御:

    • 1.永远不要信任用户的输入。对用户的输入进行校验,可以通过正则表达式,双"-"进行转换等。

    • 2.永远不要使用动态拼装sql,可以使用参数化的sql或者直接使用存储过程进行数据查询存取。

    • 3.永远不要使用管理员权限的数据库连接,为每个应用使用单独的权限有限的数据库连接。

    • 4.不要把机密信息直接存放,加密或者hash掉密码和敏感的信息。

(2)XSS攻击的原理,如何防御

  • XSS攻击:跨站脚本攻击。
  • XSS是一种经常出现在web应用中的计算机安全漏洞,它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略。
  • 防御:
    • 基于特征的防御 :
      • 传统XSS防御多采用特征匹配方式,在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击,采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索,一旦发现提交信息中包含“javascript”,就认定为XSS攻击。
    • 基于代码修改的防御:
      • 步骤1、对所有用户提交内容进行可靠的输入验证,包括对URL、查询关键字、HTTP头、POST数据等,仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交,对其他的一律过滤。

      • 步骤2、实现Session标记(session tokens)、CAPTCHA系统或者HTTP引用头检查,以防功能被第三方网站所执行。

      • 步骤3、确认接收的的内容被妥善的规范化,仅包含最小的、安全的Tag(没有javascript),去掉任何对远程内容的引用(尤其是样式表和javascript),使用HTTP only的cookie。

(3)CSRF攻击原理,如何防御

  • CSRF即跨站请求伪造。借用用户的身份,向web server发送请求,因为该请求不是用户本意,所以称为“跨站请求伪造”。

  • CSRF一般的攻击过程是,攻击者向目标网站注入一个恶意的CSRF攻击URL地址(跨站url),当(登录)用户访问某特定网页时,如果用户点击了该URL,那么攻击就触发了。

  • 防御

    • referer

      • 因为伪造的请求一般是从第三方网站发起的,所以第一个防御方法就是判断 referer 头,如果不是来自本网站的请求,就判定为CSRF攻击。但是该方法只能防御跨站的csrf攻击,不能防御同站的csrf攻击(虽然同站的csrf更难)。
    • 使用验证码

      • 每一个重要的post提交页面,使用一个验证码,因为第三方网站是无法获得验证码的。还有使用手机验证码,比如转账是使用的手机验证码。
    • 使用token

      • 每一个网页包含一个web server产生的token, 提交时,也将该token提交到服务器,服务器进行判断,如果token不对,就判定位CSRF攻击。

      • 将敏感操作又get改为post,然后在表单中使用token. 尽量使用post也有利于防御CSRF攻击。

2.实验总结与体会

通过每个具体的练习来体会各个攻击的作用,我觉得还是很有意思的。但是英文页面确实对我来说不算很友好啊。。。

3.实践过程记录

1、webgoat开启:

20145330 《网络对抗》 Web安全基础实践

页面会停在最后一行(INFO:)

20145330 《网络对抗》 Web安全基础实践

2、SQL注入攻击:

SQL字符串注入(String SQL Injection)

20145330 《网络对抗》 Web安全基础实践

题目要求尝试使用SQL注入,使得所有银行卡都可以被展现。

首先按题目尝试输入Smith,发现查询出来都是last_name是Smith的表单,分析后知道是需要WHERE这个条件语句失效,构造语句'or 1='1

第一个分号用来闭合last_name的第一个分号,而第二个分号用来闭合last_name的第二个分号。将一条语句被强行拆分成为两条语句。

20145330 《网络对抗》 Web安全基础实践

Log Spoofing

题目要求伪造一个username使成功登陆。

在用户名处通过使用%0d%0a(回车换行)以及文字内容输入来迷惑。

20145330 《网络对抗》 Web安全基础实践

  • LAB SQL Injection

Stage 1 String SQL Injection

字符串型注入,要求使用SQL注入绕过认证,实现无密码登陆。

在密码栏输入' or 1 = 1 --,发现根本输不了这么长,查看源代码,原来最长只能输入8位,把长度限定改为15,把文本框格式改为text。

20145330 《网络对抗》 Web安全基础实践

再次输入' or 1 = 1 --

20145330 《网络对抗》 Web安全基础实践

Stage 3 Numeric SQL Injection

数字型注入,要求使用一个普通员工的账户,浏览其BOSS的账户信息。

首先通过Larry的账户登陆(密码为larry),更改登录后页面源代码value值为112 or 1=1 order by salary desc

20145330 《网络对抗》 Web安全基础实践

点击ViewProfile查看信息

20145330 《网络对抗》 Web安全基础实践

Blind Numeric SQL Injection

盲数字注入,目标是得到一个存放在pins表中值pin的内容,行号cc_number=1111222233334444

20145330 《网络对抗》 Web安全基础实践

20145330 《网络对抗》 Web安全基础实践

经尝试,输入>2363时是有效的,大于2364时是无效的,所以临界值是2364

20145330 《网络对抗》 Web安全基础实践

3、XSS攻击

Phishing with XSS(跨站脚本钓鱼攻击)

关于一个页面中存在XSS漏洞时,他如何支持钓鱼攻击。

在文本框里面写一个钓鱼网站代码就可以了,这里我参考了蔡野同学的代码。

将代码粘过去后登录,成功。

20145330 《网络对抗》 Web安全基础实践

Stored XSS Attacks

在message里面随便输入:


<script>
alert("20145330");
</script>

效果如图:

20145330 《网络对抗》 Web安全基础实践

Reflected XSS Attacks

根据题意和提示在下面文本框中输入http://www.targetserver.com/search.asp?input=<script>alert("20145330");</script>

20145330 《网络对抗》 Web安全基础实践

这个是通过写在url里面达到的效果,里面的脚本也可以改写成其他任意恶意的内容。

20145330 《网络对抗》 Web安全基础实践

4、CSRF攻击

Cross SSite Request Forgery(CSRF)

题目要求在新建邮件里写入可以更改由题目要求的attack的src、menu的transferFunds数值参数:

<img src='attack?Screen=280&menu=900&transferFunds=5000' width='1' height='1'>

参数在页面下方可以查看,每个人的都不一样:

20145330 《网络对抗》 Web安全基础实践

提交后在下面的Message List里面可以看刚刚发送的邮件:

20145330 《网络对抗》 Web安全基础实践

CSRF Prompt By-Pass

与上一个题目类似,是通过邮件的方式进行恶意请求。

在message里写入内容为:

<iframe
src="attack?Screen=273&menu=900&transferFunds=5000">
</iframe> <iframe
src="attack?Screen=273&menu=900&transferFunds=CONFIRM">
</iframe>

这里可以得知请求确认的模块里transferFunds参数的值:

20145330 《网络对抗》 Web安全基础实践

20145330 《网络对抗》 Web安全基础实践

完成情况:

20145330 《网络对抗》 Web安全基础实践

20145330 《网络对抗》 Web安全基础实践