一、《Python黑帽子》第四章
二、《网络攻防技术》11、12章
第11章 Web应用程序安全攻防
微博、社交网络、云计算托管服务等一系列新型的互联网应用与Web技术紧密的交织在一起，这些新的Web技术为人们的生活带来大量便利的同时，却也带来了前所未有的巨大安全风险。本章从Web技术的服务端和浏览器端来分析Web安全攻防技术的轮廓，以及其中最为基础和重要的攻击技术与防范措施。
一、Web应用程序体系结构及其安全威胁
1、Web应用体系结构
2、Web应用安全威胁
- 针对浏览器和终端用户的web浏览安全威胁
- 针对传输网络的网络协议安全威胁
- 系统层安全威胁
- web服务器软件安全威胁
- web应用程序安全威胁
- web数据安全威胁
二、Web应用安全攻防技术概述
1、Web应用的信息收集
- 手工审查web应用程序结构和源代码
- 静态和动态生成的页面
- 目录结构
- 辅助性文件
- 输入表单
- 查询参数字符串
- 自动下载与镜像web站点页面
- 使用google hacking技术审查与探测web应用程序
- web应用程序安全评估与漏洞探测
2、攻击Web服务器软件
- 数据驱动的远程代码执行安全漏洞
- 服务器功能扩展模块漏洞
- 样本文件安全漏洞
- 源代码泄露
- 资源解析攻击
3、攻击Web应用程序
在2004年发布的《WASC Web安全威胁分类 v1.0》将Web应用程序安全威胁从攻击技术角度分为如下6类：
- 针对认证机制的攻击
- 授权机制的攻击
- 客户端攻击
- 命令执行攻击
- 信息暴露
- 逻辑攻击
OWASP组织公布的Top 10 Web应用程序安全威胁类型：
4、攻击Web数据内容
- 安全敏感数据泄露
- 网站篡改
- 不良信息内容上传
5、Web应用安全防范措施
- web站点网络传输安全防护措施
- 尽量使用https协议，至少对登陆过程进行加密保护
- 通过加密的连接通道来管理web站点
- 对关键的web服务器设置静态绑定MAC-IP映射，在服务网段内进行ARP等各类欺骗攻击的检测与MAC封禁机制，在网关位置部署防火墙与入侵监测系统对web服务器实施保护与安全检测，采用冗余等机制来应对拒绝服务攻击
- web站点操作系统及服务安全设防措施
- 对web站点的操作系统与服务器软件进行及时的补丁更新。
- 对服务器的操作系统及开放服务进行远程安全漏洞扫描
- 采用提升系统与服务安全性的一般性设防措施
- web应用程序安全设防措施
- 谨慎考虑是否采用动态页面技术、是否支持客户端执行代码、是否允许接收用户输入。
- 尽量使用具有良好安全声誉及稳定技术支持力量的web应用软件包，并定期更新、扫描漏洞。
- 只在必要是自主或外包开发web应用程序
- 使用日志功能
- web站点数据安全设防措施
- 提高网站内容维护人员的数据安全意识
- 对维护网站的数据安全实施日常监测和防护
三、SQL注入
代码注入根据攻击目标的不同又分为：
- 恶意读取、修改与操纵数据库的SQL注入攻击；
- 在Web服务器端安装、执行Webshell等恶意脚本的PHP注入或ASP注入攻击；
- 在Web服务器恶意执行操作系统命令的Shell注入攻击；
- 其他多种多样的注入攻击，如LDAP注入、邮件命令注入、空字节注入、SSI注入、XPath注入、XML注入、XQuery注入等。
在这多种类型的代码注入攻击中，SQL注入是目前最常见的，也是较为直观的一种攻击技术。
1、SQL注入攻击原理
SQL注入是利用Web应用程序数据层存在的输入验证不完善型安全漏洞实施的一类代码注入攻击技术。这类被攻击的漏洞被称为SQL注入漏洞，是由于用于输入没有被正确地过滤以消除SQL语言中的字符串转义字符，如引号（'）、双引号（"）、反引号（`）、分号（；）、百分号（%）、井号（#）、双减号（--）、双下画线（__）等，或者没有进行严格的类型判断，如未判断输入参数是否合法整数类型等，从而使得用户可以输入并执行一些非预期的SQL指令代码。
SQL注入攻击的原理是向Web应用程序提供的用户输入接口输入一段精心构造的SQL查询命令，攻击和利用不完善的输入验证机制，使得注入代码得以执行完成非预期的攻击操作行为。
2、SQL注入攻击步骤和过程
- 发现sql注入点
- 判断后台数据库类型
- 后台数据库管理员用户口令字猜解
- 上传ASP后门，得到默认账户权限
- 本地权限提升
- 利用数据库扩展存储过程执行shell命令
3、SQL注入攻击工具
- 国外工具
- wposion
- wieliekoek.pl
- SPIKE Proxy
- SPI Toolkit
- 国内工具
- CSC
- NBSI
- HDSI
- 阿D注入工具
- WED
- Domain
- Pangolin
4、SQL注入攻击防范措施
- 使用类型安全的参数编码机制
- 凡是来自外部的用户输入，必须进行完备检查
- 将动态SQL语句替换为存储过程、预编译SQL或ADO命令对象
- 加强SQL数据库服务器的配置与连接
四、XSS跨站脚本攻击
XSS跨站脚本漏洞存在于Web应用程序中，使得攻击者可以在web页面中插入恶意的HTML或JavaScript代码，当用户浏览该网页时，客户端浏览器就会解析和执行这些插入的代码，从而造成获取用户敏感信息、客户端渗透攻击等危害后果。
1、XSS攻击技术原理
XSS攻击的根源同样是Web应用程序对用户输入内容的安全验证与过滤不够完善，在许多流行的Web论坛、博客、留言本及其他允许用户交互的Web应用程序中，用户提交内容中可以包含HTML、JavaScript及其他脚本代码，而一旦Web应用程序没有对这些输入的合法性进行有效检查与过滤，就很有可能让这些恶意代码逻辑包含在服务器动态产生或更新的网页中。
而与代码注入不同的是，XSS攻击的最终目标并非Web服务器，Web服务器上的应用程序在XSS攻击场景中发挥的角色是“帮凶”，而非“受害者”，真正的“受害者”则是访问这些Web服务器的其他用户。攻击者可以利用Web应用程序中的安全漏洞，在服务器端网页中插入一些恶意的客户端脚本代码，在Web服务器上产生一些恶意攻击页面。
2、XSS攻击类型
- 持久性XSS攻击
- 非持久性XSS攻击
- 攻击者构造出一个包含恶意脚本的bank.com登录请求链接，并通过Email/HTTP等方式将该攻击链接发送给其他bank.com网站用户；
- 受害用户点击攻击链接后，将会把恶意链接中包含的恶意脚本当做用户名参数提交给bank.com的登录处理网页；
- 由于bank.com登录处理页面存在XSS漏洞，将会在反馈的欢迎页面中包含恶意客户端脚本；
- 攻击者的恶意客户端脚本在受害用户浏览器中执行，通常会驱动浏览器向攻击者发送会话令牌，如会话ID、Cookie信息等；
- 攻击者获得用户会话令牌之后，就可以劫持用户会话，或者伪造用户登录bank.com，并可实施进一步攻击。
3、XSS攻击防范措施
- 服务器端防范措施
- 输入验证
- 输出净化
- 消除危险的输入点
- 客户端防范措施
- 提高浏览器访问非受信网站时的安全等级
- 关闭Cookie功能或设置Cookie只读
- 使用安全浏览器
第12章 Web浏览器安全攻防
一、Web浏览器的技术发展与安全威胁
1、Web浏览器战争与技术发展
2、Web浏览的安全问题与威胁
二、Web浏览端的渗透攻击威胁---网页木马
网页木马的定义特征
通过对网页木马起源背景和存在技术基础的分析，我们可以认知到网页木马从本质特征上利用了现代Web浏览器软件中所支持的客户端脚本执行能力，针对Web浏览端软件安全漏洞实施客户端渗透攻击，从而取得在客户端主机的远程代码执行权限来植入恶意程序。
网页挂马机制
- 内嵌HTML标签
- 恶意Script叫脚本
- 内嵌对象链接
- ARP欺骗挂马
混淆机制
除了引入中间跳转节点进行嵌套链接，并集成多种渗透攻击代码之外，网页木马攻击网络中往往采用了大量的混淆技术，来对抗反病毒软件的检测，并提高反病毒工程师的分析难度，从而使得网页木马攻击网络更难被检测和摧毁，这些混淆技术也被称为“免杀”。
网页木马的检测与分析技术
- 基于特征码匹配的传统检测方法
- 基于统计与机器学习的静态分析方法
- 基于动态行为结果判定的检测分析方法
- 基于模拟浏览器环境的动态分析检测方法
网页木马防范措施
- 操作系统本身提供和第三方软件提供的在线更新
- 安装并实时更新一款反病毒软件
- 养成良好的上网浏览习惯
- 使用Mac OS/Linux系统，使用Chrome、Safari、Opera等浏览器上网
三、教材实践练习
四、Kali Security
数据库评估
1、BBQSql
BBQSQL是用Python编写的一个盲目的SQL注入框架（盲注SQL）。在攻击棘手的SQL注入漏洞时非常有用。BBQSQL也是一种半自动化工具，可以让那些难以触发SQL注入发现的用户进行相当多的定制。该工具的建立是数据库不可知的，非常通用。它还有一个直观的UI，使设置攻击更容易。Python gevent也被实现，使得BBQSQL非常快。
2、DBPwAudit
DBPwAudit是一个Java数据库密码审计工具，是一个可以执行在线审计密码质量的数据库引擎。该应用程序可以通过复制新的JDBC驱动程序到JDBC目录来添加额外的数据库驱动程序。使用方法如下：
3、HexorBase
图形化的密码破解与连接工具，开源。该工具是少有的图形界面工具，它支持MySQL、Oracle、PostgreSQL、SQLite和SQL Server五大主流数据库。它允许安全人员指定用户字典和密码字典，然后实施字典攻击。同时，它还提供对应的图形界面客户端，允许安全人员使用破解出的用户名和密码，对数据库进行远程管理。
4、Jsql Injection
jsql是一款轻量级安全测试工具，可以检测SQL注入漏洞。它跨平台（Windows，Linux，Mac OS X，Solaris）、开源且免费。将存在注入漏洞的URL贴进来即可进行相应的漏洞利用。图形化界面比较亲民，但是使用效果有待改善。
5、MDBTools
包括MDB-Export（Export data in an MDB databse table to CSV format），以及MDB-Dump，MDB-Parsecsv，MDB-SQL，MDB-tables等子工具，具体环境具体使用。
6、Oracle Scanner
Oscanner是一个用Java开发的Oracle评估工具。
7、SIDGusser
同样是针对Oracle的SID进行暴力枚举的工具。SID为Oracle实例名，Oracle连接字符串，通过实例名+用户+密码连接。
8、SQLDict
是一个用户名密码枚举工具，本是一个Windows下程序，通过Wine在linux中模拟运行。
9、tnscmd10g
允许向Oracle数据库中注入命令。
10、sqlsus
sqlsus是一个开放源码的MySQL注入和接管工具，sqlsus使用perl编写，基于命令行界面。sqlsus可以获取数据库结构，注入你自己的SQL语句，从服务器下载文件，爬行web站点可写目录，上传和控制后门，克隆数据库等等。最好用的两点就是注射获取数据速度非常快，另外一个最大的特点就是自动搜索可写目录。
11、sqlninja
sqlninja是一款perl编写的一个专门针对Microsoft SQL Server的sql注入工具。和其他注入工具不同，sqlninja没有将精力用在跑数据库上，而是侧重于获得一个shell。
12、sqlmap
是sql注入界的神器。SQLMAP是一个开源的渗透测试工具，它主要用于自动化地侦测和实施SQL注入攻击以及渗透数据库服务器。SQLMAP配有强大的侦测引擎，适用于高级渗透测试用户，不仅可以获得不同数据库的指纹信息，还可以从数据库中提取数据，此外还能够处理潜在的文件系统以及通过带外数据连接执行系统命令等。
