2014531王亦徐 《网络对抗技术》 Web安全基础实践
实验内容
利用WebGoat平台尝试了一些XSS、CSRF、SQL注入攻击
基础问题回答
1、SQL注入攻击原理，如何防御
原理： SQL注入是指攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。
简单地认为是将sql语句作为输入交给表单或者通过域名等将sql交给后台，从而欺骗服务器执行sql语句
防范：
过滤字符串，对一些数据库敏感字符进行过滤
尽量不要让用户的输入直接放到后台数据库直接执行
对用户输入的字符串进行合法性的判断
2、XSS攻击的原理，如何防御？
原理：允许用户将代码注入到网页上，并能够被浏览器成功地执行，其他用户在观看网页时就会受到影响
防范：对一些特殊字符进行检测，尤其是一些敏感的非法字符；对参数进行过滤，特殊字符、可执行代码不允许通过。
3、CSRF攻击原理，如何防御
原理：伪装来自受信任用户的请求来利用受信任的网站，向web server发送恶意的请求。
防范：避免全站通用的cookie，严格设置cookie的域；在页面中减少暴露用户隐私信息。
实验总结与体会
本次实验主要是利用webgoat尝试一些攻击，有XSS、CSRF、SQL攻击，做完实验不禁有种幻想，以后看到一个输入框就想，在里面输入点语句，从而获得一些后台的数据库信息，由此也可见程序人员在编写web后台是要注意很多细节，有一个漏洞就可能会给攻击人员机会。还有就是我们在看网页时，如果看不到源码，可以利用burpsuite等软件，从而截获数据，更改源码。所以如果我们将来在写网页代码使，一定要注意对一些敏感的字符进行检验、过滤，尽可能地避免sql注入攻击。
实验过程记录
首先运行webgoat 在命令行里执行：java -jar webgoat-container-7.0.1-war-exec.jar
XSS攻击
Stored XSS Attacks
该实验是在新建帖子的message里进行XSS攻击，从而点击写好的帖子便会遭受攻击
在输入框中输入<script>alert("xiaoli succeed!");</script>
Reflected XSS Attacks
与之前那个类似，在ACCESS CODE 框里填入获取COOKIE的javascript代码<script>alert("xiaoli succeed!");</script>
与上面那个相比，这个是非持久的，上面那个通过留言板是持久的。
Phishing with XSS
在文本框里写好一个钓鱼网站，点击提交后便能够显示你的登陆名和密码
Cross Site Request Forgery(CSRF)
这个实验是要写一个URL诱使其他用户点击，从而触发CSRF攻击，我们将其放在了图片里
在message框中输入<img src="http://localhost:8080/WebGoat/attack?Screen=279&menu=5311&transferFunds=
其中的参数根据提供的来进行设置
4000"/>
CSRF Prompt By-Pass
和上一个实验类似，但是这次我们需要有两个请求，一是转账请求，二是确认转账成功请求
先在浏览器中输入URL：localhost:8080/WebGoat/attack?Screen=267&menu=900&transferFunds=5000进入确认转账请求页面：
确认转账后再次输入localhost:8080/WebGoat/attack?Screen=267&menu=900&transferFunds=CONFIRM
便能够成功实现转账
SQL注入攻击
Numeric SQL Injection
利用sql语句注入使得原本只显示一个天气从而显示所有的天气信息
由于在网页中我们看不到网页执行sql语句的部分，所以我们利用burpsuite作为网页代理，将截获的数据修改后再次发向服务器
通过修改sql查询语句加上1=1的永真式，进而能够查询到所有的信息
Log Spoofing
这个实验通过利用回车换行%0d%0a来起到欺骗用户的目的，看上去是登陆成功了，实际上是失败的，知识一种障眼法
在user name处写入%0d%0aLogin succeeded !admin
String SQL Injection
同样是构造输入语句，由于用户名是字符类型的，所以需要加上‘，后面再加上永真式，并将后面的语句用--注释掉
在last name写是' or 1=1;--
SQL Injection
利用inspect elements修改输入框的字符长度限制，将其改为10，这样和之前的实验相似，通过构造永真式，便可以成功登陆
Database Backdoors1
本实验是要实现多条sql语句的注入
101是已给的存在的账户，可以先进行查询，可以得到用户信息
再接着就是现实所有的用户信息
在user ID中输入101;update employee set salary=5311;就能够更改101用户的salary信息
Database Backdoors2
第二步是要达到添加新用户时将新用户的邮箱改为固定的邮箱
直接使题目给定的语句101 or 1=1;CREATE TRIGGER myBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='20145311@163.com'WHERE userid = NEW.userid;
Blind Numeric SQL Injection
该实验是为找到cc_number为1111222233334444的pin大小，输入正常用户ID 只会告诉你该账户是否存在
要知道cc_number对应的pin，我们一个一个地尝试，并且不断地缩小范围
在numer框中输入101 AND ((SELECT pin FROM pins WHERE cc_number='1111222233334444') > 某个数值 );
通过该语句我们不断地缩小查找的范围，最终缩小到2000多
接着我们可以进行猜测，同时我们猜想是否可以利用暴力破解，对该pin值进行破解
后来通过其他同学的实践，发现利用burpsuite也可以实现类似暴力破解的功能，首先截获数据，send to intruder设置攻击好载荷后，填写数值的范围，进行攻击，最终我们会发现需要的pin值
在用户id中输入101 AND ((SELECT pin FROM pins WHERE cc_number='1111222233334444') = 2364 );可以发现是合法的
最终输入pin值2364便能够成功
