web漏洞练习平台ZVulDrill

网络安全学习笔记,仅限学习交流
不得利用、从事危害国家或人民安全、荣誉和利益等活动

URL:http://127.0.0.1/zv/

web漏洞练习平台ZVulDrill_第1张图片

1、SQL注入

web漏洞练习平台ZVulDrill_第2张图片
输入1’ 报错
说明’ 单引号闭合,存在sql注入漏洞

web漏洞练习平台ZVulDrill_第3张图片
构造sql语句,最终爆出数据库

验证思路:
SQL注入,使数据库受到攻击,可能导致数据被窃取、更改、删除,以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。

修复建议:屏蔽SQL语句内容,对参数做编码和过滤,防止SQL语句执行。或限制输入长度等。

2、XSS
输入XSS语句
弹窗,说明存在XSS漏洞
web漏洞练习平台ZVulDrill_第4张图片

验证思路: 在空框处,输入XSS语句,执行了XSS语句出现弹窗,说明存在XSS漏洞。
XSS可被用于进行窃取隐私、钓鱼欺骗、偷取密码、传播恶意代码等攻击行为。

修复建议: 屏蔽 XSS 语句内容,对参数做编码和过滤,要过滤的字符包括:单引号、双引号、大于号、小于号,& 符号,
防止XSS语句执行。

3、文件上传漏洞

尝试上传php格式,成功
上传格式未限制,存在文件上传漏洞
web漏洞练习平台ZVulDrill_第5张图片

web漏洞练习平台ZVulDrill_第6张图片

验证思路:上传图片格式成功。
尝试上传php格式的文件。上传成功。
Php 文件写入一句话木马,菜刀连接即可增删改目标服务器文件,控制目标服务器 。

修复建议:上传的文件仅限图片格式。
对上传文件的大小和类型进行前后端校验,定义上传文件类型白名单。
保存上传文件的目录不提供直接访问。

你可能感兴趣的:(SQL注入)