《Web安全程序设计与实践》课件项目7.pptxVIP

项目7HTTP头部注入攻击【项目描述】本项目对利用HTTP头部信息保存功能的数据库SQL注入攻击和防护进行实训。本项目包含四个任务，首先创建数据库用于保存HTTP头部信息，然后建立一个具有HTTP头部信息保存功能的网站，接下来利用服务器端保存HTTP头部User-Agent信息的功能，实现插入型SQL注入，最后实现HTTP头部SQL注入攻击防护。本项目需使用浏览器插件修改浏览器端的HTTP头部信息。通过本项目实训，可以解释和分析HTTP头部SQL注入漏洞产生的原理及危害，应用转义函数和参数化插入实现HTTP头部SQL注入攻击防护。【知识储备】HTTP头部组成客户端发送一个到服务器的HTTP请求消息包括请求行、请求头部和请求体三个部分组成。请求行包括请求方法（Post或者Get）、请求的URL和HTTP的版本；请求头包含若干个属性，格式为“Key:Value”，服务端据此获取客户端的信息；请求体将一个页面表单中的组件值通过键值对的形式编码成一个格式化串，承载多个请求参数的数据。HTTP头部注入攻击利用了HTTP请求头部向服务端提供信息的功能。请求头部的信息包括User-Agent、Referer、Accept、Cache-Control等属性HTTP头部注入攻击原理HTTP请求头部的信息发送给服务器后，服务器可以将HTTP请求头部的某些用户信息保存到数据库中以便统计用户的访问情况。