教材學習內容總結

1、WEB應用程序安全攻防

Web應用體系結構及安全威脅
web應用體系結構
“瘦”客戶端：瀏覽器，完成數據顯示與展示內容的渲染功能；
“胖”服務器：web服務器軟件、web應用程序、后端數據庫。
通過經典三層架構：表示層、業務邏輯層和數據層來組織和構建。

傳輸協議HTTP/HTTPS:
1）超文本傳輸協議HTTP無狀態、ASCII碼明文傳輸、運行于眾所周知的TCP80端口。特點：簡單、流行、易受攻擊。
2）加密傳輸的HTTPS協議，使用ssl/tls隧道技術，采用多種認證協議實現對用戶身份的人認證與控制。
web應用安全威脅
1）針對瀏覽器和終端用戶的web瀏覽安全威脅：以瀏覽器滲透攻擊為核心的網頁木馬、網站釣魚。
2）針對傳輸網絡的網絡協議安全威脅：針對HTTP明文傳輸的敏感信息監聽、假冒身份攻擊、拒絕服務攻擊等。
3）系統層安全威脅：遠程滲透攻擊和本地滲透攻擊溫威脅。
4）web服務器軟件安全威脅：利用漏洞實施滲透攻擊、獲取敏感信息。
5）web數據安全威脅：竊取、篡改、輸入不良信息。
Web應用程序安全攻防技術概述
信息收集內容包括：
服務器域名
ip地址和虛擬ip地址
web服務器端口與其他開放服務
web站點類型和版本
web應用程序類型和版本
web服務器和web應用程序中存在的安全漏洞信息
方式包括：
手工審查web應用程序結構與源代碼
自動下載與鏡像web站點頁面：lynx、wget、teleportpro、offline explorer等web站點鏡像軟件。
使用google hacking技術審查與探測web應用程序
web應用程序安全評估與漏洞探測：瀏覽器插件、免費工具集、商業web應用安全評估系統和漏洞掃描器。
Web服務器平臺安全漏洞：
數據驅動的遠程代碼執行安全漏洞
服務器功能拓展模塊漏洞
樣本文件安全漏洞
源代碼泄露
資源解析攻擊
Web應用程序安全威脅從攻擊者技術角度分為如下六類：
針對認證機制攻擊
授權機制攻擊
客戶端攻擊
命令執行攻擊
信息暴露
邏輯攻擊
??最流行的的兩類Web應用程序安全漏洞及攻擊技術：SQL注入和XSS跨站腳本。攻擊Web數據內容：安全敏感數據泄露、網站內容遭到篡改以及不良信息內容上傳威脅。
Web應用安全防范措施：
1）web站點網絡傳輸安全防范措施
使用HTTPS
使用加密連接通道、對關鍵Web服務器設置靜態綁定MAC-IP映射。
??2）Web站點操作系統及服務安全設防措施
及時的補丁更新
進行遠程安全漏洞掃描
關閉不使用的服務
設置強口令字
部署防火墻
數據備份
??3）Web應用程序安全設防措施
使用靜態HTML
使用具有良好安全聲譽及穩定技術支持力量的Web應用軟件包
除非必要才使用自主或者外包Web應用程序
使用Web服務器軟件提供的日志功能。
??4）Web站點數據安全設防措施
提高維護人員數據安全意識
對維護網站數據安全實施日常監測和防護
SQL注入
本節講了什么是SQL注入、種類以及原理（課本舉了兩個例子進行說明）：
利用web應用程序的輸入驗證不完善漏洞，使得web應用程序執行由攻擊者所注入的惡意指令和代碼，造成敏感信息泄露、權限提升或對系統的未授權訪問等危害后果。

SQL注入攻擊步驟：

發現SQL注入點 判斷后臺數據庫類型 后臺數據庫中管理員用戶口令字猜解 上傳ASP后門，得到默認賬戶權限 本地權限提升 利用數據庫擴展存儲過程執行Shell命令

SQL注入攻擊工具：

Wposion 能在動態web文檔中找出SQL注入漏洞 wieliekoek.pl 以網站鏡像工具生成的輸入為輸出，對表單頁面注入字符串修改 SPIKE Proxy 對待注入的字符串進行定制 SPI Toolkit工具包

###對抗 SQL 注入
SQL 注入漏洞的根本原因是沒有將代碼和數據區分開。當組建一個 SQL 語句時，程序 （如 PHP 程序）知道哪個部分是代碼哪個部分是數據。不幸的是當 SQL 語句送往數據庫執 行時，這個邊界被打破，當程序被注入時，SQL 解釋器看到的邊界可能和最初的邊界不一 樣。為了解決這個問題，保持服務端程序和數據庫看到的邊界一樣就十分重要。

XSS跨站腳本攻擊

測試漏洞 很簡單，請你登錄到論壇后發布一個帖子，帖子中包含以下內容： 然后打開包含有你發布的帖子的頁面——是否看到一個彈出的窗口呢？

? 在消息窗口中顯示 Cookie 現在我們已經可以成功地彈出一個窗口，那么我們在窗口里顯示一些更有用的信息，比 如你的 Cookie。 請你再來發布一個帖子，包含以下內容： Hello Everybody, Welcome to this message board. 和前面一樣瀏覽你的帖子，你將看到一個彈出的窗口。

? 獲得受害主機的 Cookie 原理我們在錯誤！未找到引用源。節中已經介紹的很清楚了。下面我們具體說一下如何 實現： 首先，在前文中提到的可以將用戶的 HTTP 請求輸出在屏幕上的應用已經在你的機器里。 你可以在 Desktop/echoserver/中找到 echoserv 軟件，運行方式為：
seed@seed-desktop:~/ Desktop/echoserver$ ./echoserv 4444 & 其中 4444 是端口號，要和我們在發帖時指定的源路徑端口號一致。 然后我們發布帖子，并包含以下信息： 登出后以另一用戶重新登錄，訪問該帖，你將會在運行 echoserv 的終端上看到這個受 害主機的 Cookie。
利用 Cookie 仿冒受害主機在仿冒受害主機前，我們需要了解 phpBB 是怎樣發布帖子的。我們可以利用 LiveHTTPHeaders 來得到發消息時用戶向服務器所發送的具體 HTTP 請求信息，從而進行分 析。LiveHTTPHeaders 已經在 VM 鏡像中安裝好。選中一個請求，然后點擊 Replay 即可看 到詳細的信息。 我們的任務是，利用得到的用戶的 Cookie 假冒用戶進行發帖和用戶原始消息的修改。 由于 phpBB 的限制，用戶只有當登錄時才可以進行消息的更改和發布，所以我們的任務按 照如下的流程進行： 1. 登錄到 phpBB 中，發表信息并用 LiveHTTPHeaders 得到該信息的發表請求。 2. 從發表請求中抽取用戶的 Cookie 信息和發布消息內容，進行修改 3. 編寫 Java 程序，實現向服務器發送 HTTP 請求。 4. 將修改好的消息和 Cookie 信息通過 Java 程序發送到服務器 5. 刷新頁面，你將看到修改后的信息。 6. 嘗試仿冒用戶發布新的消息，而不是修改用戶曾經發布的消息 其中，大家可以參考 11.4.3 節 XSS 攻擊實例(4)利用 Cookie 信息假冒其他用戶發表與修改帖 子中所提供的 Java 程序。
與代碼注入攻擊不同的是，XSS跨站腳本攻擊的最終目標不是提供服務的web應用程序，而是使用web應用程序的用戶。
XSS攻擊技術原理
是Web應用程序對用戶數輸入內容的安全驗證與過濾不完善。
攻擊方式
繞過客戶端安全策略訪問敏感信息，竊取或修改會話Cookie、進行客戶端滲透攻擊獲取訪問權。
XSS攻擊類型
持久性XSS漏洞和非持久性XSS漏洞，利用這兩類漏洞的攻擊也稱為持久性XSS攻擊和非持久性XSS攻擊。
攻擊實例：測試XSS漏洞、顯示用戶的會話cookie、竊取用戶的會話cookie、利用cookie信息假冒其他用戶發表與修改帖子、編寫實現XSS蠕蟲。
XSS攻擊防范措施
服務器端：輸入驗證、輸出凈化、消除危險的輸入點。

轉載于:https://www.cnblogs.com/zhangyuxiang666/p/10629618.html

總結

以上是生活随笔為你收集整理的20189211 《网络攻防》第五周作业的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。