20155227《网络对抗》Exp9 Web安全基础实践 实验内容 关于WebGoat Cross Site Scripting（XSS）练习 Injection Flaws练习 CSRF攻击 基础问题回答 SQL注入攻击原理，如何防御？ XSS攻击的原理，如何防御？ 防御： CSRF攻击原理，如何 ...
分类：
Web程序 时间：
2018-05-22 12:35:06
阅读次数：
271
Exp9 Web安全基础 基础问题回答 （1）SQL注入攻击原理，如何防御 原理：它是利用现有应用程序，将恶意的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入恶意SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句，最终达到欺骗服务器执行恶意的 ...
分类：
Web程序 时间：
2018-05-19 15:50:30
阅读次数：
232
实验平台所需环境下载：链接：https://pan.baidu.com/s/1EP5PiTQ2iHwNhsaFGIosRg密码：ykuy里面存在两个文件，第二个是搭建网站环境的软件，另一个就是我们实验所需的dvwa环境。网站环境搭建好之后，我们只需要将dvwa的解压文件复制到主目录www目录下就可以。第一次访问可能会出现错误不能访问，造成的原因可能是dvwa链接数据库的文件密码没有和你的网站环境下
分类：
其他好文 时间：
2018-05-17 18:49:31
阅读次数：
712
开启第五关查看源码，进行分析当我第一眼看到这个代码的时候，就想着用上一关的payload，只需要将其大写就可。但是结局往往就是残酷。激动之下忽略了另一个函数strtolower(),此函数，将所有的字母全部转化为小写。所以造成我的大写payload没有什么用。将字母转换为小写后复制给变量str，然后此变量经过str_spelace()函数将其中的<script转换为<sc_ript，将
分类：
其他好文 时间：
2018-05-15 21:12:56
阅读次数：
169
Exp9 Web安全基础 一、基础问题 SQL注入攻击原理，如何防御 SQL注入漏洞是指在Web应用对后台数据库查询语句处理存在的安全漏洞。也就是，在输入字符串中嵌入SQL指令，在设计程序中忽略对可能构成攻击的特殊字符串的检查。后台数据库将其认作正常SQL指令后正常执行，可能实现对后台数据库进行各种 ...
分类：
Web程序 时间：
2018-05-15 21:11:57
阅读次数：
225
开启第二关！出现有文本框，尝试用第一关的payload试一试能不能弹框肯定是不行的。从返回结果上分析应该是将符号<>的意思改变了。来查看源码分析可以看到当变量接收过来值，经过函数htmlspecialchars()过滤后，在文本框中显示。Htmlspecialchars()函数作用，是将预定义字符转化为html实体，可以理解为将原有的符号变了心没变相。所以这时候构造payload就要将
分类：
其他好文 时间：
2018-05-15 21:11:44
阅读次数：
138
开启第四关查看源代码这里我们看到，我们传入进去的值又经过了两个函数的参与。函数说明：Str_replace(“>”,””,$str)，此函数将变量str中的字符>转换为空，转换时区分大小写。同理将<装换为空，然后在经过htmlspecialchars()函数，将一些预定义符号转换为html实体。通过这几个函数的过滤转化，我们前三关的payload肯定对不能用的。所以接下来我们需要
分类：
其他好文 时间：
2018-05-15 21:01:57
阅读次数：
283
Exp9 Web安全基础 20154305 齐帅 一、实验要求 本实践的目标理解常用网络攻击技术的基本原理。 Webgoat实践下相关实验： FQ WebGot BurpSuite Injection Flaws Cross Site Scripting 二、实践过程 1.安装WebGoat Web ...
分类：
Web程序 时间：
2018-05-15 01:41:20
阅读次数：
369
20145236《网络对抗》Exp9 web安全基础实践 一、基础问题回答： 1. SQL注入攻击原理，如何防御 SQL Injection：就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。 利用现有应用程序，将（恶意）的SQL命令注 ...
分类：
Web程序 时间：
2018-05-14 20:43:42
阅读次数：
282
今天因为项目背景需要，需要检测web接口是否一些安全隐患。 无奈于从未掌握有系统的渗透性知识，只好根据个人对网络协议和 web 的理解，做一些探索，最终发现了一个session fixation attacks漏洞。 场景回顾： 使用抓包工具监听业务的登录登出接口，发现登录后的 JSESSIONID ...
分类：
Web程序 时间：
2018-05-12 02:45:13
阅读次数：
160
