20189319《网络攻防》第五周作业

教材学习

Web应用程序体系结构

Web应用程序是一种使用浏览器在互联网或企业内部网上进行访问操作的应用软件形态。Web应用体系有浏览器作为客户端完成数据显示和展示内容的渲染；由功能强大的服务器完成主要业务的计算和处理，两者之间通过因特网或内联网上HTTP/HTTPS应用层协议的请求与应答进行通信。服务器端由Web服务器软件、Web应用程序与后端数据库构成，并通过经典三层架构：表示层、业务逻辑层、数据层来进行组织与构建。

浏览器
使用HTTP/HTTPS协议，HTML语言和web服务器进行交互，获取web服务器上的信息和应用服务。
Web服务器
web服务器软件通常被描述为HTTP守护程序，接收Web客户端对资源的请求，，在这些请求上执行一些基本的解析处理以确定资源的存在，然后将它传送给web应用程序来执行，待web应用程序执行完逻辑并返回响应时，web服务器在将这个响应返回给web客户端，在浏览器上进行本地执行、渲染和展示。
web应用程序
处于服务端的业务逻辑是web应用的核心。
数据库
是web应用存储数据的地方，数据层也作为web应用程序多级结构中的最后一层。

Web应用安全威胁

浏览器安全困境三要素：复杂性、可扩展性、连通性。

拒绝服务攻击
拒绝服务攻击就是想尽办法让你的服务器无法正常提供服务，具体手段包括：消耗包括网络带宽、存储空间、CPU 时间等资源；破坏或者更改配置信息；物理破坏或者改变网络部件；利用服务程序中的处理错误使服务失效。
Web浏览器的渗透攻击威胁网页木马
（1）网页木马存在的技术基础：Web浏览端安全漏洞。
（2）网页木马的本质核心——浏览器渗透攻击。
（3）网页挂马机制，最主要的有如下四类策略：内嵌HTML标签、恶意Script脚本、内嵌对象连接、ARP欺骗挂马。
（4）网页木马的检测与分析方法：基于特征码匹配的传统检测方法、基于统计与机器学习的静态分析方法、基于动态行为结果判定的检测分析方法、基于模拟浏览器环境的动态分析检测方法、网页木马检测分析技术综合对比。
网页挂马机制
（1）内嵌HTML标签
（2）恶意Script脚本
（3）内嵌对象链接
（4）ARP欺骗挂马
系统层安全威胁
（1）web站点的宿主操作系统存在的远程渗透攻击和本地渗透攻击威胁。
（2）web服务器软件安全威胁
（3）web服务器软件如IIS,Apache作为一种典型的网络服务，攻击者可以它们的漏洞对web服务器实施渗透攻击或者获取敏感信息。
（4）web应用程序安全与威胁

SQL注入

SQL注入攻击原理

利用web应用程序数据层存在的输入验证不完善型安全漏洞实施的一类代码注入攻击技术。是由于用户输入没有被正确的过滤以消除SQL语言中的字符串转义字符。原理是向web应用程序提供的用户输入接口输入一段惊心构造的SQL查询命令，攻击和利用不完善的输入验证机制，使得输入代码得以执行完成非预期的攻击操作行为。

SQL注入攻击步骤

（1）发现SQL注入点
（2）判断后台数据库类型
（3）后台数据库中管理员用户口令字猜解
（4）上传ASP后门，得到默认账户权限
（5）本地权限提升
（6）利用数据库扩展存储过程执行Shell命令

SQL 注入攻击工具

（1）Wposion 能在动态web文档中找出SQL注入漏洞
（2）wieliekoek.pl 以网站镜像工具生成的输入为输出，对表单页面注入字符串修改
（3）SPIKE Proxy 对待注入的字符串进行定制
（4）SPI Toolkit工具包

视频学习

Kali漏洞分析之数据库评估（一）

1.BBQSql

BBQSql是一个Python编写的盲注工具（blind SQL injection framework），当检测可疑的注入漏洞时会很有用。同时它也是一个半自动工具，允许客户自定义参数

2.DBPwAudit（数据库用户名密码枚举工具）

破解SQLServer数据库：
./dbpwaudit -s IP -d master（数据库名） -D mssql（数据库类型） -U username（字典） -P password（字典）

破解MySQL数据库：
./dbpwaudit.sh -s IP -d mysql（数据库名） -D MySQL（数据库类型） -U username（字典） -P password（字典）

3.HexorBase

HexorBase是图形化的密码破解与连接工具，开源；连接并且控制数据库执行一些语句。

4.JSQL Injection

是一款轻量级安全测试工具，可以检测SQL注入漏洞，他跨平台（windows，Linux，Mac os，Solaris），开源且免费。将存在注入漏洞的URL贴进来即可进行响应的漏洞利用。图形化界面比较亲民，但是使用效果有待改善。

5.MDBTools
包括MDB-Export以及MDB-dump，mdb-parsecsv，mdb-sql，mdb-tables等子工具，具体环境具体使用。

6.Orcal Scanner

用JAVA开发的Orcale评估工具。基于插件的结构，可以列举很多信息。

7.SIDGusser

针对Oracle的SID进行暴力枚举；SID为Oracle连接字符串：实例名+用户+密码

8.SqIDICT（用户名密码枚举工具）

Kali漏洞分析之数据库评估（二）

1.tnscmd10g

2.Sqlsus

sqlsus是一个开放源代码的MySQL注入和接管工具，Sqlsus使用perl编写，基于命令行界面。Sqlsus可以获取数据库结构，注入自己的SQL语句，从服务器下载文件。爬行Web站点可写目录，上传和控制后门，克隆数据库等等。最好用的亮点就是注射获取数据速度非常快，另外一个最大的特点就是自动搜索可写目录。

查看生成的配置文件

3.Sqlninja
是一款perl编写的专门针对Microsoft SQL Server的sql注入工具。和市面上其他注入工具不同，sqlninja没有将精力用在跑数据库上，而是侧重于获得一个shell。
可以查看生成的配置文件

4.Sqlmap
SQLMAP是一个开源的渗透测试工具，是用Python编写。主要用于自动化的侦测和实施SQL注入攻击以及渗透数据库服务器。配有强大的侦测引擎，适用于高级渗透册书用户，不仅可以获得不同的数据库指纹信息，还可以从数据库中提取数据，有很强大的抓取数据的能力

Kali漏洞分析之Web应用代理

1.Burp Suite

用于攻击web应用程序的集成平台，通过默认端口8080运行，它带有一个代理，可以截获并修改从客户端到web应用程序的数据包。

2.OWASP ZAP
攻击代理，查找网页应用程序漏洞的综合类渗透测试工具，包含拦截代理、自动代理、被动代理、暴力破解、端口扫描及蜘蛛搜索等功能。是会话类调试工具

3.Vega
开源的web应用程序安全测试平台，Vega能帮助验证SQL注入、跨站脚本（XSS）、敏感信息泄露和其他一些安全漏洞。Vega使用java编写，有GUI，可以在多平台下运行。Vega类似于Paros Proxy, Fiddler, Skipfish and ZAproxy。

4.Paros
paros，是一个对Web应用程序的漏洞进行评估的代理工具，即一个基于Java的Web代理程序，可以评估Web应用程序的漏洞。它支持动态地编辑/查看HTTP/HTTPS，从而改变cookies和表单字段等项目。它包括一个Web通信记录程序，Web圈套程序（spider），hash计算器，还有一个可以测试常见的Web应用程序攻击（如SQL注入式攻击和跨站脚本攻击）的扫描器。该工具检查漏洞形式包括：SQL注入、跨站点脚本攻击、目录遍历等。

5.proxystrike
Web会话安全分析工具ProxyStrike
在Web应用中，客户端发出一次请求，服务器响应一次。这构成一个完整的会话。通过分析请求和响应的数据，可以发现Web应用存在的漏洞。Kali Linux提供一款专用工具ProxyStrike。该工具提供HTTP代理功能，可以跟踪HTTP会话信息，并进行分析统计。同时，该工具也提供拦截功能，安全人员可以对每个会话进行分析和修改，以获取服务器的不同响应。
该工具还通过插件模式，提供安全扫描功能。该工具默认集成SQL注入和XSS两个插件。在捕获会话的同时，该工具会自动进行安全检测，以发现目标服务器存在的漏洞。安全人员也可以使用该工具对目标网站进行爬取，以搜集更多的网站资源，并同时进行安全检测。

6.webscarab
基于GNU协议，包括HTTP代理、网络爬行、网络蜘蛛、会话ID分析等功能。