web漏洞练习平台ZVulDrill

网络安全学习笔记，仅限学习交流
不得利用、从事危害国家或人民安全、荣誉和利益等活动

URL：http://127.0.0.1/zv/

1、SQL注入

输入1’ 报错
说明’ 单引号闭合，存在sql注入漏洞

构造sql语句，最终爆出数据库

验证思路：
SQL注入，使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。

修复建议：屏蔽SQL语句内容，对参数做编码和过滤，防止SQL语句执行。或限制输入长度等。

2、XSS
输入XSS语句
弹窗，说明存在XSS漏洞

验证思路： 在空框处，输入XSS语句，执行了XSS语句出现弹窗，说明存在XSS漏洞。
XSS可被用于进行窃取隐私、钓鱼欺骗、偷取密码、传播恶意代码等攻击行为。

修复建议： 屏蔽 XSS 语句内容，对参数做编码和过滤，要过滤的字符包括：单引号、双引号、大于号、小于号，& 符号，
防止XSS语句执行。

3、文件上传漏洞

尝试上传php格式，成功
上传格式未限制，存在文件上传漏洞

验证思路：上传图片格式成功。
尝试上传php格式的文件。上传成功。
Php 文件写入一句话木马，菜刀连接即可增删改目标服务器文件，控制目标服务器 。

修复建议：上传的文件仅限图片格式。
对上传文件的大小和类型进行前后端校验，定义上传文件类型白名单。
保存上传文件的目录不提供直接访问。