20155206《网络对抗》Web安全基础实践
20155206《网络对抗》Web安全基础实践
实验后问题回答
（1）SQL注入攻击原理，如何防御
攻击原理：SQL注入攻击就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意SQL命令的目的
防御手段：利用输入规则限制进行防御，不允许特殊字符输入
（2）XSS攻击的原理，如何防御
攻击原理：跨站脚本攻击，允许恶意用户将恶意Script代码注入到网页上，当用户浏览网页时，嵌入其中Web里面的Script代码会被执行，从而被攻击，其他用户在观看网页时就会受到影响。XSS攻击的主要目的是，想办法获取目标攻击网站的cookie，因为有了cookie相当于有了seesion，有了这些信息就可以在任意能接进互联网的pc登陆该网站，并以其他人的身份登陆，做一些破坏。
防御手段：过滤特征字符，限制用户输入，拒绝网页的可执行代码输入。
（3）CSRF攻击原理，如何防御
攻击原理：CSRF跨站请求伪造，也被称为“oneclickattack”或者sessionriding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用，通过伪装来自受信任用户的请求来利用受信任的网站。是一种依赖web浏览器的、被混淆过的代理人攻击。
防御手段：通过referer、token或者验证码来检测用户提交在form中包含秘密信息、用户指定的代号作为cookie之外的验证、定期清理保存的cookie
实验过程
、 在终端中输入java -jar webgoat-container-7.0.1-war-exec.jar开启WebGoat。
、打开浏览器，在地址栏输入localhost:8080/WebGoat打开WebGoat，选择默认账号、密码即可登陆成功。
XSS攻击
1、Phishing with XSS 跨站脚本钓鱼攻击
、跨站脚本攻击最大的魅力是通过HTML注入劫持用户的浏览器，任意构造用户当前浏览的HTML内容，甚至可以模拟用户当前的操作。实验的是一种获取用户名和密码的攻击
、 在webgoat找到xss攻击打开Phishing with XSS
、 编写一个包含用户名、密码的前端代码：
`
最新文章
- linux中的通配符与正则表达式
- jsonp 跨域请求
- [linux系统]--spawn 用法
- 简单的内网存活主机ip扫描
- PHP中文字符串编码转换
- CVE-2014-6321 && MS14-066 Microsoft Schannel Remote Code Execution Vulnerability Analysis
- Log4j 使用总结
- Kinect测量人体身高的程序
- （笔记）angular选中变色
- 轻仿QQ音乐之音频歌词播放、锁屏歌词-b
- Sql查询除ID以外相同的数据
- java基础学习总结二(标识符、字符集、数据类型以及类型转换)
- 一个transaction异常的处理
- VLC网页插件添加对火狐浏览器的支持
- Unix 环境高级编程 (APUE) 之 网络 IPC：套接字
- c++ 使用全局变量的方法多个文件
- TCP/IP模型各个层次的功能和协议
- JS数组根据属性来实现排序
- dfs+剪枝：poj2362
- hdu 5015(矩阵快速幂z )