网络空间安全技术实践教程37.ppt

网络空间安全技术实践教程 吕秋云，王小军，胡耿然，汪云路，王秋华 西安电子科技大学出版社 第四篇 渗透攻击测试实验篇 第十四章 漏洞利用实验 14.4 Web 服务攻击实验 网络空间安全技术实践教程 2 14.4 Web 服务攻击实验 实验原理： 在线密码攻击，意味着攻击工具与被测 主机建立连接之后才能进行密码攻击。在线 密码攻击工具会采取常规用户登录的方式， 以用户名和密码登录远程主机的网络服务。 它会不断尝试各种用户名和密码，直到发现 正确的账户信息为止。 网络空间安全技术实践教程 3 14.4 Web 服务攻击实验 实验目的： 熟悉 SQL 注入， XSS ， CSRF ，文件上 传等常见 Web 服务漏洞的原理，利用，以及 预防措施。 网络空间安全技术实践教程 4 14.4 Web 服务攻击实验 实验原理： SQL 注入 SQL 注入是发生在 应用程序 和 数据库层 之间的 安全漏洞。攻击者通常在输入的字符串中注入 SQL 指 令，如果应用程序 没对用户输入进行有效地检查和 过滤 ，那么这些指令就会被数据库服务器误认为正 常的 SQL 指令而执行，从而造成数据泄露或破坏等问 题 。 网络空间安全技术实践教程 5 14.4 Web 服务攻击实验 实验原理： SQL 注入 SQL 注入可以分为 平台层注入 和 代码层注入 。 前者 由 不安全的数据库配置 或 数据库平台的漏洞 所致； 后者 主要是由于程序员 对用户输入未进行细致地过滤 ，从而执行 了非法的数据查询。 基于此， SQL 注入的产生原因通常表现在以下几方面：①不 当的类型处理 ②不安全的数据库配置 ③不合理的查询集处 理 ④不当的错误处理 ⑤转义字符处理不合适 ⑥多个提交 处理不当。 网络空间安全技术实践教程 6 14.4 Web 服务攻击实验 实验原理： SQL 注入 一次 SQL 注入攻击主要完成以下 3 个步骤： ①判断数据库类型 ②根据数据库类型寻找注入点 ③实 施注入攻击。 SQL 注入的攻击方式根据应用程序处理数据库返回内容的 不同，可以分为 可显注入 、 报错注入 和 盲注 。 网络空间安全技术实践教程 7 14.4 Web 服务攻击实验 实验原理： XSS 跨站脚本攻击 （ Cross Site Scripting ，简称 XSS ）是 一种网站应用程序安全漏洞攻击，是脚本代码注入的一种。 它允许攻击者将恶意脚本代码注入到网页中，其他用户在浏 览该网页时，恶意脚本就会执行。这类攻击通常通过注入 HTML 或 JavaScript/VBScript 等脚本 发动攻击。攻击成功后， 攻击者可能得到私密网页内容和 Cookie 等敏感信息。 网络空间安全技术实践教程 8 14.4 Web 服务攻击实验 实验原理： XSS 目前， XSS 主要分成 3 类： 反射型 XSS 、 存储型 XSS ， 基于 DOM 的 XSS 。 网络空间安全技术实践教程 9 14.4 Web 服务攻击实验 实验原理： XSS （ 1 ） 反射型 XSS ：也称为非永久型 XSS ，攻击者将恶意代 码嵌入链接的请求参数中，通过诱导受害者点击该链接执行 恶意代码。 网络空间安全技术实践教程 10 14.4 Web 服务攻击实验 实验原理： XSS （ 2 ） 存储型 XSS ：也称为永久型 XSS ，与反射型 XSS 不同 的是，存储型 XSS 漏洞允许攻击者将恶意脚本代码提交到数 据库中去，这样每个浏览相关内容的用户都会触发恶意脚本 的执行，其危害更加强大。 网络空间安全技术实践教程 11 14.4 Web 服务攻击实验 实验原理： XSS （ 3 ） 基于 DOM 的 XSS ： DOM 是 Document Object Model （文 档对象模型）的缩写，是指代表 HTML 或 XML 内容的标准模型。 通过 JavaScript ，可以动态的重构整个 HTML 文档，添加、移 除、改变或重排页面上的内容。 网络空间安全技术实践教程 12 14.4 Web 服务攻击实验 实验原理： CSRF 跨站请求伪造 （ Cross-Site Request Forgery ，简称 CSRF ），它通过伪造来自受信任用户的请求来利用受信任的 网站，通过社会工程学的手段诱使受害者