实验步骤

一、WebGoat

• 下载webgoat：网站https://github.com/WebGoat/WebGoat/releases/tag/7.0.1，下载webgoat-container-7.0.1-war-exec.jar

• WebGoat默认使用8080端口，开启前先查看端口是否被占用： netstat -tupln | grep 8080

• 再有该文件的在命令行输入 java -jar webgoat-container-7.0.1-war-exec.jar 开启WebGoat

• 运行一段时间之后命令行出现Starting ProtocolHandler 证明开启成功

• 打开浏览器访问localhost:8080/WebGoat

• WebGoat默登陆成功后发现左侧无选项：

• 如果左侧未出现课程则重新下载jdk，原因是编译后的java程序与Linux上的java Se版本不一致而产生的错误，解决方法如下：

• 下载jdk1-8

• 建立目录，将下载的jdk复制过去并解压

• 配置环境变量：vim /etc/profile ，复制以下代码到文件结尾

JAVA_HOME=/usr/local/java/jdk1.8.0_161
PATH=$PATH:$HOME/bin:$JAVA_HOME/bin
export JAVA_HOME
export PATH

• 通知系统java的位置

• 设置默认JDK

• 重新载入profile

• 然后就能正常运行了

二、SQL注入攻击（Injection Flaws）

1.Command Injection(命令注入)

• 技术概念：命令注入攻击对任何一个以参数驱动的站点来说都是一个严重威胁。

• 原理：在正常的参数提交过程中，添加恶意的代码，往往能够得到以外的收获。

• 目标：能够在目标主机上执行任何系统命令

操作方法：

• 在左侧菜单栏中选择 Injection Flaws->Command Injection

• 右键点击复选框选择Inspect Element审查网页元素对源代码进行修改,在复选框中任意一栏的代码后添加"& netstat -an & ipconfig"

• 点击 View 可以看到网络端口使用情况和 IP 地址

2、Numeric SQL Injection(数字型SQL注入)

• 技术概念 ：SQL 注入攻击对任何一个以数据库作为驱动的站点来说都是一个严重威胁

• 原理：在 station 字段中注入特征字符，能组合成新的 SQL 语句。

SELECT * FROM weather_data WHERE station = [station]

• 目标：查看所有的天气数据。

操作方法：

• 在左侧菜单栏中选择 Injection Flaws->Command Injection

• 右键点击复选框选择 Inspect Element 审查网页元素对源代码进行修改,在在选中的城市编号value="101"后添加or 1=1

• 点击Go!显示所有天气数据

3、Log Spoofing(日志欺骗)

• 原理：这种攻击是在日志文件中愚弄人的眼睛，攻击者可以利用这种方式清除他们在日志中的痕迹

• 目标：灰色区域代表在 Web 服务器的日志中的记录的内容，我们的目的是使用户名为“admin”的用户在日志中显示“成功登录”

操作方法：

• 利用回车0D%和换行符%0A让其在日志中两行显示

• 在User Name中填入webgoat%0d%0aLogin Succeeded for username: zzh20174318

• 点击Login可以看到webgoat Login Fail，自己添加的zzh20174318 Login Succeeded

4、String SQL Injection(字符串型注入)

• 目标 基于查询语句构造自己的SQL注入字符串，显示所有信用卡信息

操作方法：

• 使用‘提前闭合""，插入永真式1=1，--注释掉后面的内容
• 输入查询的用户名yb‘ or 1=1--select表里面的所有数据

5、LAB: SQL Injection

• 目标：使用 SQL 注入绕过认证

操作方法：

• 右键点击页面，选择inspect Element审查网页元素对源代码进行修改，将password密码框的最大长度限制改为20

• 以用户Neville登录，输入密码hj‘ or ‘1‘ = ‘1，攻击成功，得到所有人员列表

6、Database Backdoors(数据库后门)

• 主题：如何创建数据库后门
• 原理：数据库通常作为一个 Web 应用程序的后端来使用。此外，它也用来作为存储的媒介。 它也可以被用来作为存储恶意活动的地方，如触发器。触发器是在数据库管理系统上调用另 一个数据库操作，如 insert, select, update or delete。举个例子：攻击者可以创建一个触发器， 该触发器在创建新用户时，将每个新用户的 Email 地址设置为攻击者的地址。
• 目标：我们的目标是学习如何利用查询的脆弱性创建触发器。由于 WebGoat 使用的是 MySQL 数据库，不支持触发器，所以该课程不会真正完成。 我们的 Login ID 是 101。

操作方法：

• 输入101，得到该用户的信息

• 输入注入语句101; update employee set salary=8000执行两个语句

• 输入101;CREATE TRIGGER myBackDoor BEFORE INSERT ON employee FOR EACH ROW BEGIN UPDATE employee SET email=‘chaowendao@outlook.com‘WHERE userid = NEW.userid  注入一个充当SQL后门的触发器

• 分析：

  • BEFORE/AFTER参数指定了触发执行的时间，在事件之前或是之后

  • FOR EACH ROW表示任何一条记录上的操作满足触发事件都会触发该触发器，也就是说触发器的触发频率是针对每一行数据触发一次

7、Blind Numeric SQL Injection(数字型盲注入)

• 原理：某些 SQL 注入是没有明确返回信息的，只能通过条件的“真”和“假”进行判断。攻击者必须充分利用查询语句，构造子查询语。

• 目标：下面的表单允许输入一个帐号，并检测该帐号是否合法。使用该表单的返回信息（真或假）测试检查数据库中其它条目信息。

操作方法：

• 本实验中，服务端页面返回的信息只有两种：帐号有效或无效。因此无法简单地查询到帐号的PIN数值。尽管如此，我们可以利用系统后台在用的查询语句SELECT * FROM user_data WHERE userid=accountNumber;

• 如果该查询语句返回了帐号的信息，页面将提示帐号有效，否则提示无效。使用 AND 函数，我们可以添加一些额外的查询条件。如果该查询条件同样为真，则返回结果应提示帐号有效，否则无效。

• 输入查询语句101 AND 1=1 ，因为两个条件都成立，所以页面返回帐号有效

• 输入查询语句101 AND 1=2，因为第二个条件不成立，所以而页面返回帐号无效

• 针对查询语句的后半部分构造复杂语句101 AND ((SELECT pin FROM pins WHERE cc_number=‘1111222233334444‘) > 10000 );

• 如果页面提示帐号有效，说明PIN>10000，否则PIN

8、Blind String SQL Injection(字符串型盲注入)

• 目标：下面的表单允许输入一个帐号，并检测该帐号是否合法。使用该表单的返回信息（真或 假）测试检查数据库中其它条目信息。
  我们的目标是找到 pins 表中 cc_number 字段值为 4321432143214321 的记录中 pin 字段的数值。pin 字段类型为 varchar。输入找到的数值（最终的字符串，注意拼写和大写）并提交，通过本课程。

操作方法：

• 本节内容与上一节很类似，最大的不同是要查询的字段是一个字符串而不是数值
• 输入101 AND (SUBSTRING((SELECT name FROM pins WHERE cc_number=‘4321432143214321‘), 1, 1) 取得 pin 字段数值的第一个字母，并判断其是否比字 母“H”小

• 经过多次测试比较0-9、A-Z、a-z等字符串和页面的返回数据，判断出第一个字符为J，同理继续判断第二个字符，输入101 AND (SUBSTRING((SELECT name FROM pins WHERE cc_number=‘4321432143214321‘), 2, 1)

• 最终的都正确PIN字段Jill输入验证

三、XSS攻击

1、Phishing with XSS 跨站脚本钓鱼攻击

• 技术概念：在服务端对所有输入进行验证总是不错的做法。当用户输入非法 HTTP 响应时容易造成 XSS。在 XSS 的帮助下，您可以实现钓鱼工具或向某些官方页面中增加内容。对于受害者来说很难发现该内容是否存在威胁。
• 原理：如果有权限操作页面源代码，那么 HTML 文档的内容是可以被篡改的。
• 目标：创建一个 form，要求填写用户名和密码。将数据提交到黑客服务器
• 在搜索框输入如下代码，页面增加一个表单