2019-2020-2 20175221『网络对抗技术』Exp9：Web安全基础

2021-02-20 10:17

阅读：657

原理:数据库通常作为一个 Web 应用程序的后端来使用。此外，它也用来作为存储的媒介。它也可以被用来作为存储恶意活动的地方，如触发器。触发器是在数据库管理系统上调用另一个数据库操作，如 insert, select, update or delete。举个例子：攻击者可以创建一个触发器，该触发器在创建新用户时，将每个新用户的 Email 地址设置为攻击者的地址。
目标：利用查询的脆弱性创建触发器。由于 WebGoat 使用的是 MySQL 数据库，不支持触发器，所以该课程不会真正完成。我们的 Login ID 是 101。
输入101，得到该用户的信息。我们可以看到，输入的语句没有验证，很容易进行 SQL 注入