20145330 《网络对抗》 Web安全基础实践
1.实验后回答问题
(1)SQL注入攻击原理,如何防御
SQL注入,就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。
SQL注入攻击是黑客对数据库进行攻击的常用手段之一。
SQL注入攻击指的是就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。
-
防御:
1.永远不要信任用户的输入。对用户的输入进行校验,可以通过正则表达式,双"-"进行转换等。
2.永远不要使用动态拼装sql,可以使用参数化的sql或者直接使用存储过程进行数据查询存取。
3.永远不要使用管理员权限的数据库连接,为每个应用使用单独的权限有限的数据库连接。
4.不要把机密信息直接存放,加密或者hash掉密码和敏感的信息。
(2)XSS攻击的原理,如何防御
- XSS攻击:跨站脚本攻击。
- XSS是一种经常出现在web应用中的计算机安全漏洞,它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略。
- 防御:
- 基于特征的防御 :
- 传统XSS防御多采用特征匹配方式,在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击,采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索,一旦发现提交信息中包含“javascript”,就认定为XSS攻击。
- 基于代码修改的防御:
步骤1、对所有用户提交内容进行可靠的输入验证,包括对URL、查询关键字、HTTP头、POST数据等,仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交,对其他的一律过滤。
步骤2、实现Session标记(session tokens)、CAPTCHA系统或者HTTP引用头检查,以防功能被第三方网站所执行。
步骤3、确认接收的的内容被妥善的规范化,仅包含最小的、安全的Tag(没有javascript),去掉任何对远程内容的引用(尤其是样式表和javascript),使用HTTP only的cookie。
- 基于特征的防御 :
(3)CSRF攻击原理,如何防御
CSRF即跨站请求伪造。借用用户的身份,向web server发送请求,因为该请求不是用户本意,所以称为“跨站请求伪造”。
CSRF一般的攻击过程是,攻击者向目标网站注入一个恶意的CSRF攻击URL地址(跨站url),当(登录)用户访问某特定网页时,如果用户点击了该URL,那么攻击就触发了。
-
防御
-
referer
- 因为伪造的请求一般是从第三方网站发起的,所以第一个防御方法就是判断 referer 头,如果不是来自本网站的请求,就判定为CSRF攻击。但是该方法只能防御跨站的csrf攻击,不能防御同站的csrf攻击(虽然同站的csrf更难)。
-
使用验证码
- 每一个重要的post提交页面,使用一个验证码,因为第三方网站是无法获得验证码的。还有使用手机验证码,比如转账是使用的手机验证码。
-
使用token
每一个网页包含一个web server产生的token, 提交时,也将该token提交到服务器,服务器进行判断,如果token不对,就判定位CSRF攻击。
将敏感操作又get改为post,然后在表单中使用token. 尽量使用post也有利于防御CSRF攻击。
-
2.实验总结与体会
通过每个具体的练习来体会各个攻击的作用,我觉得还是很有意思的。但是英文页面确实对我来说不算很友好啊。。。
3.实践过程记录
1、webgoat开启:
页面会停在最后一行(INFO:)
2、SQL注入攻击:
SQL字符串注入(String SQL Injection)
题目要求尝试使用SQL注入,使得所有银行卡都可以被展现。
首先按题目尝试输入Smith,发现查询出来都是last_name是Smith的表单,分析后知道是需要WHERE这个条件语句失效,构造语句'or 1='1
第一个分号用来闭合last_name的第一个分号,而第二个分号用来闭合last_name的第二个分号。将一条语句被强行拆分成为两条语句。
Log Spoofing
题目要求伪造一个username使成功登陆。
在用户名处通过使用%0d%0a(回车换行)以及文字内容输入来迷惑。
- LAB SQL Injection
Stage 1 String SQL Injection
字符串型注入,要求使用SQL注入绕过认证,实现无密码登陆。
在密码栏输入' or 1 = 1 --
,发现根本输不了这么长,查看源代码,原来最长只能输入8位,把长度限定改为15,把文本框格式改为text。
再次输入' or 1 = 1 --
Stage 3 Numeric SQL Injection
数字型注入,要求使用一个普通员工的账户,浏览其BOSS的账户信息。
首先通过Larry的账户登陆(密码为larry),更改登录后页面源代码value值为112 or 1=1 order by salary desc
点击ViewProfile查看信息
Blind Numeric SQL Injection
盲数字注入,目标是得到一个存放在pins表中值pin的内容,行号cc_number=1111222233334444
经尝试,输入>2363时是有效的,大于2364时是无效的,所以临界值是2364
3、XSS攻击
Phishing with XSS(跨站脚本钓鱼攻击)
关于一个页面中存在XSS漏洞时,他如何支持钓鱼攻击。
在文本框里面写一个钓鱼网站代码就可以了,这里我参考了蔡野同学的代码。
将代码粘过去后登录,成功。
Stored XSS Attacks
在message里面随便输入:
<script>
alert("20145330");
</script>
效果如图:
Reflected XSS Attacks
根据题意和提示在下面文本框中输入http://www.targetserver.com/search.asp?input=<script>alert("20145330");</script>
这个是通过写在url里面达到的效果,里面的脚本也可以改写成其他任意恶意的内容。
4、CSRF攻击
Cross SSite Request Forgery(CSRF)
题目要求在新建邮件里写入可以更改由题目要求的attack的src、menu的transferFunds数值参数:
<img src='attack?Screen=280&menu=900&transferFunds=5000' width='1' height='1'>
参数在页面下方可以查看,每个人的都不一样:
提交后在下面的Message List里面可以看刚刚发送的邮件:
CSRF Prompt By-Pass
与上一个题目类似,是通过邮件的方式进行恶意请求。
在message里写入内容为:
<iframe
src="attack?Screen=273&menu=900&transferFunds=5000">
</iframe>
<iframe
src="attack?Screen=273&menu=900&transferFunds=CONFIRM">
</iframe>
这里可以得知请求确认的模块里transferFunds参数的值: