20155235 《网络攻防》实验八 Web基础

Posted 2020-11-07 陨璟

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了20155235 《网络攻防》实验八 Web基础相关的知识，希望对你有一定的参考价值。

实验内容

功能描述：用户能登陆，登陆用户名密码保存在数据库中，登陆成功显示欢迎页面。

apache是kali下的web服务器，通过访问ip地址+端口号+文件名称打开对应的网页。
输入命令vi /etc/apache2/ports.conf更改apache2的监听端口号，利用service apache2 start打开apache2；
并使用netstat -aptn查看端口号，确认apache正确开启
然后利用kali自带的浏览器访问127.0.0.1:5235（本机地址+设置的监听端口），可验证apache已经开启

安装 apt-get install mysql
启动mysql /etc/init.d/mysql start
输入 mysql -u root -p ，并根据提示输入密码，默认密码为p@ssw0rd进入MySQL
创建一个数据库TestLogin： CREATE SCHEMA TestLogin
使用创建的数据库 USE TestLogin
创建数据库表：
create table `users`(
`userid` int not null comment \'\',
`username` varchar(45) null comment \'\',
`password` varchar(256) null comment \'\',
`enabled` varchar(5) null comment \'\',
primary key (`userid`) comment \'\');
输入 insert into users(userid,username,password,enabled) values( 1,\'20155235\',password("20155235"),"TRUE"); 添加信息
可以使用命令show databases；可以查看基本信息
可以通过如下方式更改密码：
输入 use mysql ;，选择mysql数据库
输入 select user, password, host from user; ，mysql库中的user表中存储着用户名、密码与权限
输入 UPDATE user SET password=PASSWORD("新密码") WHERE user=\'root\';
输入 flush privileges; ，更新权限
输入 quit 退出
重新登录就可以发现密码修改成功
在Mysql中建库建表，输入如下
CREATE SCHEMA 库表的名称;
CREATE TABLE 库表的名称.users (
userid INT NOT NULL COMMENT \'\',
username VARCHAR(45) NULL COMMENT \'\',
password VARCHAR(256) NULL COMMENT \'\',
enabled VARCHAR(5) NULL COMMENT \'\',
PRIMARY KEY (userid) COMMENT \'\');
向表中添加用户
现在再查看信息就可以看到新建表：

XSS攻击：跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆。故将跨站脚本攻击缩写为XSS。XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。
进行一个简单的测试，在用户名输入框中输入 <img src="20155235.jpg" />20155235</a> 读取 /var/www/html 目录下的图片: