20145221高其
20145221高其

20145221高其_Web安全基础实践

20145221高其_Web安全基础实践

目录

  • 实践目标
  • WebGoat
  • BurpSuite
  • Injection Flaws
  • Cross-Site Scripting (XSS)
  • 总结

实践目标

  • （1）理解常用网络攻击技术的基本原理。
  • （2）Webgoat实践下相关实验。

WebGoat

  • WebGoat是由著名的OWASP负责维护的一个漏洞百出的J2EE Web应用程序，这些漏洞并非程序中的bug，而是故意设计用来讲授Web应用程序安全课程的。这个应用程序提供了一个逼真的教学环境，为用户完成课程提供了有关的线索。
  • 因为WebGoat是基于java开发的软件，所以它具有平台无关性，在各种操作平台上都可以运行，所以本次实验所处的系统为kali机
  • 在命令行中输入以下指令即可运行相关jar包
    • java -jar webgoat-container-7.0.1-war-exec.jar
  • WebGoat默认使用8080端口，所以在看到相关提示后即可开始：INFO: Starting ProtocolHandler ["http-bio-8080"]

BurpSuite

  • Burp Suite 是用于攻击web 应用程序的集成平台。它包含了许多工具，并为这些工具设计了许多接口，以促进加快攻击应用程序的过程。
  • 配置本机BurpSuite
    • 在Proxy->Option中选择add添加项，设置代理IP及其端口（我设置的是8088和127.0.0.1），添加完毕后选择run启动
    • 在浏览器中（以火狐举例），在Preferences->Advanced中选择Settings，勾选Manual proxy configuration，输入刚刚设置的IP与端口即可
    • 然后在Proxy->intercept点击`“Intercept is off”，即可启用代理

Injection Flaws

Command Injection

  • 这个界面可以执行系统命令并返回给用户，所以应该在请求项里面添加shell命令，执行ifconfig
  • 具体来说，就是用前文提到的BurpSuite工具拦截请求，并将其中的参数改为（我的是这样）:
    • AccessControlMatrix.help"& ifconfig"
    • 表示执行这2个指令，在网页的最后能看到ifconfig的结果，成功

Numeric SQL Injection

  • 要求：尝试用SQL注入，使得能查到所有的天气
  • 思路也很简单，直接构造永真式，即可查找到所有记录
  • 既可以按照上一题的思路用工具捕包修改，也可以直接按F12修改网页源文件，将需要查找的value改为：101 or 1=1
  • 点击go，看到所有城市的天气，成功

Log Spoofing

  • 题目的意思是要你写一个SQL字符串，因为网页会将你输入错误的用户名返回给你，所以我们的目标是使得网页返回给你的结果显示的你登录成功一样
  • 所以在用户名那构造语句：gq%0d%0aLogin Succeeded for username: admin

LAB:SQL Injection

Stage 1：String SQL Injection

  • 根据描述，是要求你在不知道密码的前提下，还能登录成功
  • 那也就只能用SQL注入了，利用SQL相关语法，利用'进行前后封闭，构成一个永真式，这一题较为基础，构造方法也很多，我用的是'or 1='1
  • 需要注意的是：如果直接写永真式，会超过字符长度限制，而一般永真式超过了限制的8字符，所以得F12查看源代码，对密码输入长度进行扩大，再进行注入；或者可以构造一个密码，使得尽量提前封闭，如我上述的密码，刚好8个字符。
  • 为了能取得权限，最好选择admin登录，最后左边栏会有提示成功

Stage 2：Parameterized Query #1

  • 这个没有测试成功，最后才发现题目中有这样一句话，可能只有开发版的才可以成功吧

  • THIS LESSON ONLY WORKS WITH THE DEVELOPER VERSION OF WEBGOAT

Stage 3：Numeric SQL Injection

  • 题目要求：登录Larry账户，但是能查看Boss的信息
  • 所以首先根据Stage 1中的万能密钥取得Larry权限，这样我们就可以点击ViewProfile来查看相关信息了，显然此时只能查到自己的信息
  • 但细究其原理不难发现与之前如出一辙，此时要查看老板信息，本质上还是查询数据库中字段为老板的那条记录并输出，所以仍然可以在请求时注入，不同的是此时没有输入框提供注入字符串，所以我们要借助前文所提到的BurpSuite工具，拦截此时的请求包，构造SQL请求参数，需要将employee_id的值改为101 or 1=1
  • 但测试后发现仍旧显示Larry的信息，猜想是不是因为界面太小只能显示一个？我这样的注入可以将所有的信息全查询到，那怎样让它输出的第一个就是我们想要的老板信息呢？
  • 仔细观察Larry的信息表可以发现有Salary这一字段，说明数据表中也存在，那么对于一个老板来说工资最高，我就可以以工资为条件，对查询结果进行个排序，构造SQL语句如下：
    • 101 or 1=1 order by salary desc
    • 成功，老板工资450k，毕竟老板！

Stage 4：Parameterized Query #2

  • 同Stage 2，只能在开发版上成功

String SQL Injection

  • 要求：要你输入正确的Last name登录进去
  • 显然我啥都不知道，只能用万能密钥试一试了，根据前文输入：
    • 'or 1='1
    • 成功，因为为永真，所以任何用户的信息都看见了

Database Backdoors

  • 根据题目要求是要你使用多条语句的SQL注入，更新数据表
  • 根据前一篇博客的多条语句注入练习，在此，设置如下SQL语句：
    • 101; update employee set salary=10000
    • 发现数据表所有人员工资都等于10000已经更新，成功
  • 以上是第一步要求，第二步要求：更加高级的是插入后门，下边这个后门好象是创建新用户的时候会自动修改邮箱为你的邮箱
    • 101; CREATE TRIGGER myBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email='[email protected]'WHERE userid = NEW.userid

Blind Numeric SQL Injection

  • 数字盲注,有些时候存在SQL注入,但是获取不到我们需要的信息，此时可以通过SQL语句的条件判断，进行盲注。
  • 比如这一关，我们知道一个cc_number=1111222233334444，但是想知道其pin在pins table里的值，可以使用盲注进行爆破，输入
    • 101 AND ((SELECT pin FROM pins WHERE cc_number='1111222233334444') > 10000 );
    • 打开BurpSuite工具监听，捕获到第一条请求报文，因为需要反复尝试我们可以通过该工具进行暴力破解
  • 右击报文选择send to intruder，然后在Intruder下选择相关设置：
    • 在Target中，设置本机IP地址HOST，和端口号，也就是WebGoat的地址和端口号
    • 在Positions中，选择Sniper模式，然后用光标选中需要暴力穷举的变量，在此处是account_number后的值，然后点击右侧的add添加（在此之前点击clear清空所有的）
    • 在Payloads中，选择type类型为number，然后设置变化范围，并设置步长为1，这样可以精确地找到数据包变化的number，从而便于我们确认位置
    • 在Options中，选择Start attack开始攻击
  • 找到数据包大小变化的位置2364，用2364登录，成功！

Cross-Site Scripting (XSS)

Phishing with XSS

  • 反射型XSS是最常用，也是使用得最广的一种攻击方式。它通过给别人发送带有恶意脚本代码参数的URL，当URL地址被打开时，特有的恶意代码参数被HTML解析、执行。它的特点是非持久化，必须用户点击带有特定参数的链接才能引起。
  • 将下边的代码输入到文本框，XSS会造成一个钓鱼的登录界面，用来骗取登录账户和密码

  







  
This feature requires account login:



  
Enter Username:

  
  
Enter Password:

Stored XSS Attacks

  • 这是一种最典型的储存型XSS的例子，因为没有对用户的输入进行编码，所以用户A可以任意输入，然后用户B点击用户A的留言，触发了XSS，导致中招
  • 具体操作是这样的：
    • title可以任意输入，根据第一次尝试可以发现，输入的这个可以作为一个超链接更新保存在本界面，点击后即可查看输入内容
    • Message输入消息，可以嵌入一段js代码，用户点击后即可触发，例如输入：

Reflected XSS Attacks

  • 根据题目可以知道这是一个反射型的XSS攻击，类同于第一个，在交互输入的位置有XSS漏洞，直接构造一段脚本即可发起攻击，例如输入以下代码即可成功：

Cross Site Request Forgery (CSRF)

  • 这里是一个储存型XSS和CSRF结合的示例，CSRF就是冒名登录，用代码伪造请求
  • 这里是把CSRF恶意代码利用储存型XSS放到了网页上，通过留言Message里输入，构造恶意代码如下
    • 当用户点击这个留言，就会触发，显示已转走5000元
    • 注意：上述screen和menu参数的值和网站右边显示的要保持一致
    • 如果想让用户在不查觉的情况下，可以将