20145326蔡馨熤《网络对抗》—— Web安全基础实践

1.实验后回答问题

（1）SQL注入攻击原理，如何防御.

原理：

• SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，其主要原因是程序没有细致地过滤用户输入的数据，致使非法数据侵入系统。

• 根据相关技术原理，SQL注入可以分为平台层注入和代码层注入。前者由不安全的数据库配置或数据库平台的漏洞所致；后者主要是由于程序员对输入未进行细致地过滤，从而执行了非法的数据查询。

防御：

• 永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式来操作。

• 永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。

• 不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。

• 应用的异常信息应该给出尽可能少的提示。

（2）XSS攻击的原理，如何防御.

原理：

• XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。这些代码包括HTML代码和客户端脚本。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。

防御：

• 传统XSS防御多采用特征匹配方式，在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击，采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击。

（3）CSRF攻击原理，如何防御.

原理：

• 可以这么理解CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账......造成的问题包括：个人隐私泄露以及财产安全。

• CSRF攻击是源于WEB的隐式身份验证机制！WEB的身份验证机制虽然可以保证一个请求是来自于某个用户的浏览器，但却无法保证该请求是用户批准发送的！

防御：

• 通过 referer、token 或者 验证码 来检测用户提交。
• 尽量不要在页面的链接中暴露用户隐私信息。
• 对于用户修改删除等操作最好都使用post 操作 。
• 避免全站通用的cookie，严格设置cookie的域。

2.实验总结与体会

• 这次实验使用webgoat来分别尝试了XSS攻击、CSRF攻击、SQL注入攻击，感触还是很深。之所以能够进行这些攻击，不止是因为我们的web设计本身就有漏洞！还有我们在使用web的时候，太大意太疏忽了，没有想到会有一些危险的情况发生。我觉得，我们应该多去学习一些关于网络攻防的知识与技术，比如，如何能够进行XSS攻击、各种类型的SQL注入攻击等，这并不是说我们要去成为一名黑客，去攻击别人的网站，去盗取别人的信息，而是去了解有哪些XSS或SQL注入的攻击场景，再发掘出产生该漏洞的原因，从而去思考为什么会产生这个 bug，如何去修复这个 bug。网络攻防是一门艺术，以一种攻与防的博弈，攻防双方互相促进，咱们的信息社会才得以更好的发展。

3.实践过程记录

关于webgoat

• WebGoat运行在带有java虚拟机的平台之上，目前提供的训练课程有很多，包含了XSS、线程安全、SQL注入等，我们本次的实验就是在WebGoat平台上进行。根据老师给的实验指导，来进行webgoat的安装和登录。

• 我不大清楚用webgoat登录和用guest登录的区别。。。。。

XSS攻击

（1）Stored XSS Attacks

• 该实验目的是在新建帖子的message里进行XSS攻击。
• 即随意写任何在浏览器中可被执行的代码，创建成功后点击写好的帖子即被攻击。
• 写入massage内容为<script>alert("It's 20145326caixinyi~");</script>

（2）Reflected XSS Attacks

• 该实验同样是在输入框中输入可执行代码，提交后被攻击。
• 使用burpsuite发现，UpdateCart Purchase均以post提交数据。
• 在Enter your credit card number:以及Enter your three digit access code:处的值均被post原样返回，所以在此处构造js语言。
• 这里是在ACCESS CODE 框里填入获取COOKIE的javascript代码<script>alert(document.cookie);</script>

• 虽然这个实验的效果和上一个存储型XSS实验的效果类似，但是两者所用的原理不一样，存储型XSS是持久化的，代码是存储在服务器中的。
• 而反射型XSS攻击是非持久化的，也就是说它的代码是不存在于服务器中的，所以一般来说存储型XSS攻击危害更大。

（3）CSRF攻击

• 该实验为在新建邮件里写入可以更改由题目要求的attack的src、menu的transferFunds数值参数
• 可选用html里的iframe模块，自动连接打开所标示网页
• 这里在message里写入的内容为<iframe src="attack?Screen=284&menu=900&transferFunds=5000"></iframe>
• 注意这里面的Screen和menu的值在每个人的电脑中可能不一样，可以在当前页面的最下边查看。
• 提交后，会在消息列表中看到一个新的消息，点击该消息，当前页面就会下载这个消息并显示出来，转走用户的5000元，从而达到CSRF攻击的目的。

（4）CSRF Prompt By-Pass攻击

• 这里在message里写入内容为：

<iframe src="attack?Screen=271&menu=900&transferFunds=5000"> </iframe>

<iframe src="attack?Screen=271&menu=900&transferFunds=CONFIRM"> </iframe>

• 该实验与上个实验类似，同样是通过邮件的方式进行恶意请求。
• 这里不仅是对transferFunds数值参数进行了变化，还对这个过程进行了请求确认，所以需要两个iframe模块。
• url需要使用下面两个参数：transferfunds=5000和transferfunds=CONFIRM

SQL注入攻击

(1)Log Spoofing

• 该实验为在用户名处使用%0d%0a（回车换行）以及文字内容来迷惑他人，虽然有成功登陆的文字信息，但实质上是登录失败的。
• 这里的user name处写入的内容是%0d%0aLogin succeeded !admin

（2）Numeric SQL Injection

• 原本的功能是选择一个地点，显示一个地点的天气状况。
• 现在SQL注入后的功能是选择一个地点，显示所有地点的天气情况。
• 在kail中可使用burpsuite作为网页代理，对传送的网页内容进行编辑以后再发到服务器。
• 打开burpsuite。绑定我的学号为端口。address选择本地。

• 修改浏览器的偏好设置。

• 其实相当于将burpsuite当成中间服务器，让每个数据包都流过它。

• 设置好之后回到题目，随便选一项，点击GO，然后回到burpsuite。发现多了捕获的包：

• 修改station的值，回到Proxy中点击Intercept is on对剩下的包不作处理，回到火狐发现已经成功。

• 在关闭了burpsuite之后，把浏览器的偏好设置恢复之前，不然浏览器上不了网。

（3）String SQL Injection

• 该实验和Numeric SQL Injection类似，原本只能查到某一个人的信息，现在通过SQL语句的注入使整张表都显示出来。
• 这里的last name写入的内容是' or 1=1;--,构造一个永真式。因为last name是字符型的，所以需要在开始加上单引号。

（4）Database Backdoors step1

• 该实验是要在user ID中实现多条SQL语句的注入,其中101是题目给的已存在的账户ID；
• 将user ID输入101 or 1=1;update employee set salary=53260;
• 把用户表的所有内容显示出来同时把工资值变化了。

（5）Database Backdoors step2

• 该实验所要使用的SQL语句已经在题目中给出了。
• 目的是使用该SQL语句，让这个表一旦添加新用户，就在用户表里将新用户的邮箱改为题目固定的邮箱。

（6）Blind Numeric SQL Injection

• 该实验的目的是要找cc_number为1111222233334444的pin大小。
• 输入正常用户ID，判断这个用户是否存在。
• 我们首先测试下效果，101是题目给的已知用户ID。

• ID为100的时候就不合法了。

~无非就是穷举咯~

• 我们知道pin是个数值，要知道cc_number对应的pin，则只有一个一个尝试。

• 使用<、>来大概确定范围，同and一起，and前为存在的用户ID，例如101，一旦and后面的语句，即判断pin的值大小成立，则下面就会显示存在用户，然后继续缩小范围进行查找，直到找到唯一确定的。

• 在numer框中输入101 AND ((SELECT pin FROM pins WHERE cc_number='1111222233334444') = 2364 );

• 之后慢慢缩小范围，最终可以确定pin的值在2000到2500之间，然后打开BurpSuite，设置好代理，抓包，然后send to intruder进行暴力破解。具体参考lxm同学的博客~关于这部分写得很清楚。
• 找到对应pin值后，将值输入框中，该实验即通过。

（7）Command Injection

• 命令行注入攻击，尝试给操作系统注入命令行。

• 但是没有发现任何注入的地方，所以想啦，应该是使用burpsuite注入！

• 我们对第一个包send to Repeater分析一下：

• 我们发现可改部分是使用了命令行cat语句。

• 注入的命令是AccessControlMatrix.help"&&ifconfig"，前面是原来的正常命令。

• &&在命令行中是执行另外一条语句，最后一个双引号用来封闭原来的双引号!
• 再次点击GO发现执行了ifconfig语句!