2018-2019-2 20165330《网络对抗技术》Exp8 Web基础

2018-2019-2 20165330《网络对抗技术》Exp8 Web基础,第1张

概述目录 基础问题 相关知识 实验内容 实验步骤 实验总结与体会 实验内容 Web前端HTML 能正常安装、启停Apache。理解HTML,理解表单,理解GET与POST方法,编写一个含有表单的HTML Web前端javascipt 理解JavaScript的基本功能,理解DOM。编写JavaScript验证用户名、密码的规则。 Web后端:MySQL基础:正常安装、启动MySQL,建库、创建用户、修 目录 基础问题 相关知识 实验内容 实验步骤 实验总结与体会 实验内容 Web前端HTML 能正常安装、启停Apache。理解HTML,理解表单,理解GET与POST方法,编写一个含有表单的HTML Web前端javascipt 理解JavaScript的基本功能,理解DOM。编写JavaScript验证用户名、密码的规则。 Web后端:MySQL基础:正常安装、启动MySQL,建库、创建用户、修改密码、建表 Web后端:编写PHP网页,连接数据库,进行用户认证 最简单的SQL注入,XSS攻击测试 功能描述:用户能登陆,登陆用户名密码保存在数据库中,登陆成功显示欢迎页面。

返回目录

基础问题

什么是表单

表单在网页中主要负责数据采集功能。 一个表单有三个基本组成部分: 表单标签:这里面包含了处理表单数据所用CGI程序的URL以及数据提交到服务器的方法。 表单域:包含了文本框、密码框、隐藏域、多行文本框、复选框、单选框、下拉选择框和文件上传框等。 表单按钮:包括提交按钮、复位按钮和一般按钮;用于将数据传送到服务器上的CGI脚本或者取消输入,还可以用表单按钮来控制其他定义了处理脚本的处理工作

浏览器可以解析运行什么语言

支持HTML(超文本标记语言)、XML(可扩展标记语言)以及Python、PHP、JavaScript、ASP等众多脚本语言。

WebServer支持哪些动态语言

JavaScript、ASP、PHP、Ruby等脚本语言,ASP基于IIS WEB SERVER,是微软的服务器端脚本技术,PHP基于APACHE WEB SERVER,与ASP有几分类似,都是一种在服务器端执行的嵌入HTML文档的脚本语言。

返回目录

相关知识 Web前端 编程言语:HTML/CSS/JavaScript(Js) 运行环境:浏览器 编程用途:在浏览器内部的动态,美观展示形式 Web后端 编程语言:PHP/JsP/.NET... 运行环境:应用服务器/中间件 编程用途:对前端提交的数据进行处理并返回相应的HTML网页内容 数据库编程 编程语言:PHP/JsP/.NET相应的库,sql语言 运行环境:数据库服务器 编程用途:基本的数据增、删、改、查 WebServer: 首先掌握Apache的基本 *** 作,安装、启停 配置修改(如监听端口) 前端编程: 熟悉HTML+JavaScript。 了解表单的概念 编写不同的HTML网页,放入到Apache工作目录,从浏览器访问。 后端编程: 了解GET/POST方法的不同 尝试使用GET/POST方法传输用户在浏览器中的输入,并在后台用PHP读出参数,根据讲出参数的不同,返回不同的内容给浏览器。 数据库编程 MysqL的安装、启停 MysqL客户端登陆 在MysqL客户端中练习基本sql *** 作:建库、建表、数据增、删、改、查
在PHP中调用MysqL库进行相应数据库 *** 作 sql注入 即通过把sql命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的sql命令。 就是利用现有应用程序,将(恶意的)sql命令注入到后台数据库引擎执行的能力,它可以通过在Web表单中输入(恶意)SQL语句得到一个存在安全漏洞的网站上的数据库,而不是按照设计者意图去执行SQL语句。 XSS攻击 跨站脚本攻击(Cross Site Scripting),为不和层叠样式表(Cascading Style Sheets,CSS)的缩写混淆。故将跨站脚本攻击缩写为XSS。 XSS是一种经常出现在web应用中的计算机安全漏洞,它允许恶意web用户将代码植入到提供给其它用户使用的页面中。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。

返回目录

实验步骤 Web前端HTML kali默认已安装Apache,直接使用service apache2 start命令可打开Apache服务。


如图所示,如果没有任何错误提示,即表明成功开启 在浏览器输入127.0.0.1,如果可以打开Apache的默认网页,则开启成功

终端输入cd /var/www/HTML进入Apache目录下,新建一个含有表单的HTML文件test.HTML

这里我对上学期的实验里的Eclipse中的登录界面进行了修改,需要注意! 图片的路径名,将相关图片拷贝到工作目录/var/www/HTML中后,直接用./图片名的方式即可指定图片的位置。 因为我们要使用PHP进行后台编程,所以要将原来的action改成一个PHP文件的名字,例如:<form action="login.PHP" method="post" >

login.HTML的内容如下

<!DOCTYPE HTML PUBliC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/HTML4/loose.dtd"><HTML lang="en"><head><Meta http-equiv="Content-Type" content="text/HTML; charset=utf-8"><Title>登陆页面</Title><link REL="stylesheet" TYPE="text/CSS">  <style type="text/CSS">HTML{    wIDth: 100%;    height: 100%;    overflow: hIDden;    Font-style: sans-serif;   } input{    wIDth: 278px;    height: 18px;    margin-bottom: 10px;    outline: none;    padding: 10px;    Font-size: 13px;    color:  #DCDCDC;   border-top: 1px solID #ffffff;  border-left: 1px solID #ffffff;    border-right: 1px solID #ffffff;    border-bottom: 1px solID #ffffff;    border-radius: 4px;    background-color: transparent; }.but{    wIDth: 300px;    min-height: 40px;    display: block;    background-color: transparent;  border: 1px solID #a53f51;    color: #fff;    padding: 9px 14px;    Font-size: 15px;    line-height: normal;    border-radius: 5px;    margin: 0;   }</style></head><body ><center>      <h1 >Login</h1>       <form action="login.PHP" method="post" name="form1">           <input type="text" name="username" placeholder="用户名"><br/><br/>          <input type="password" name="password" placeholder="密码"><br/><br/>          <input  type="submit" value="登录">      </form>  </center>  </body></HTML>

在浏览器尝试打开

Web前端javascipt 在上面的test.HTML基础上,添加一段JavaScript代码,以完成对用户是否填写用户名和密码的判断

修改后的login.HTML如下所示

<!DOCTYPE HTML PUBliC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/HTML4/loose.dtd"><HTML lang="en"><head><Meta http-equiv="Content-Type" content="text/HTML; charset=utf-8"><Title>登陆页面</Title><link REL="stylesheet" TYPE="text/CSS">  <style type="text/CSS">HTML{    wIDth: 100%;    height: 100%;    overflow: hIDden;    Font-style: sans-serif;   } input{    wIDth: 278px;    height: 18px;    margin-bottom: 10px;    outline: none;    padding: 10px;    Font-size: 13px;    color:  #DCDCDC;   border-top: 1px solID #ffffff;  border-left: 1px solID #ffffff;    border-right: 1px solID #ffffff;    border-bottom: 1px solID #ffffff;    border-radius: 4px;    background-color: transparent; }.but{    wIDth: 300px;    min-height: 40px;    display: block;    background-color: transparent;  border: 1px solID #a53f51;    color: #fff;    padding: 9px 14px;    Font-size: 15px;    line-height: normal;    border-radius: 5px;    margin: 0;   }</style></head><body ><center>      <h1 >Login</h1>       <form action="login.PHP" method="post" name="form1">           <input type="text" name="username" placeholder="用户名" onfocus="if this.value='';"><br/><br/>          <input type="password" name="password" placeholder="密码" onfocus="if this.value='';"><br/><br/>          <input  type="submit" onClick="return valIDateLogin()" value="登录">      </form>  </center><script language="JavaScript">    function valIDateLogin(){        var sUsername = document.form1.username.value ;        var sPassword = document.form1.password.value ;          if ((sUsername =="") || (sUsername=="Your email")){        alert("用户名不能为空!");        return false ;        }        if ((sPassword =="") || (sPassword=="Your password")){        alert("密码不能为空!");        return false ;        }    }   </script> </body></HTML>

在浏览器访问login.HTML,如果用户邮箱或密码未填写就提交,网页会报提示


Web后端:MysqL基础:正常安装、启动MysqL,建库、创建用户、修改密码、建表 开启MysqL服务:/etc/init.d/MysqL start

输入MysqL -u root -p使用root权限进入,默认密码为password

查看基本信息:show databases;

修改密码 use MysqL;(这里的MysqL是上一步中查询到的数据库名称) select user,password,host from user;(MysqL库中的user表中存储着用户名、密码与权限) UPDATE user SET password=PASSWORD("新密码") WHERE user=‘root‘; 更新权限:flush privileges; 退出:quit; 建立数据库:create database 数据库名称;

查看存在的数据库:show databases;

使用上面新创建的数据库:use zyx; 建立数据库表:create table 表名 (字段设定列表);(并设置字段基本信息)

查看表信息:show tables;

插入数据:insert into 表名 values(‘值1‘,‘值2‘,‘值3‘...);

查询表中的数据:select * from 表名;

增加新用户:grant select,insert,update,delete on 数据库.* to 用户名@登录主机(可以是localhost,也可以是远程登录方式的IP) IDentifIEd by "密码";(意思是将对某数据库的所有表的select,delete权限授予某ip登录的某用户)

增加新用户后,使用新的用户名和密码进行登录:MysqL -u zyx -p


登陆成功,即说明增加新用户成功。 @H_734_419@ Web后端:编写PHP网页,连接数据库,进行用户认证

/var/www/HTML目录下新建一个PHP测试文件PHPtest.PHP

<?PHPecho ($_GET["a"]);include($_GET["a"]);echo "This is my PHP test page!<br>";?>
在浏览器网址栏中输入localhost:80/PHPtest.PHP?a=/etc/passwd,可看到/etc/passwd文件的内容

利用PHP和MysqL,结合前面编写的登录网页进行登录身份认证(注意要与前端action指定的PHP名称对应,注意对应自己的库名和表名),修改后的login.PHP代码如下:

<?PHP$uname=$_POST["username"];$pwd=$_POST["password"];echo $uname;$query_str="SELECT * FROM login_table where username='$uname' and password='$pwd';";$MysqLi = new MysqLi("127.0.0.1","zyx","158138","zyx");/* check connection */if ($MysqLi->connect_errno) {  printf("Connect Failed: %s\n",$MysqLi->connect_error);  exit();}echo " connection ok!";/* Select querIEs return a resultset */if ($result = $MysqLi->query($query_str)) {  if ($result->num_rows > 0 ){          echo "<br> {$uname}:Welcome login!! <br> ";  }   else {      echo "<br> login Failed!!!! <br> " ; }  /* free result set */  $result->close();}$MysqLi->close();?>
在浏览器输入127.0.0.1/login.HTML访问自己的登录界面

输入用户名和密码进行认证,成功登录如下图所示

最简单的sql注入,XSS攻击测试 sql注入 在浏览器输入127.0.0.1/login.HTML访问自己的登录界面 在用户名输入框输入‘ or 1=1#,密码任意输入,可登陆成功

我们输入的用户名和我们代码中的select语句组合起来变成了select * from users where username=‘‘ or 1=1#‘ and password=‘‘#相当于注释符,把后面的内容都注释掉;而1=1是永真式,即这个条件永远成立,所以不管密码是否输入正确,都能够成功登陆! XSS攻击 将一张图片放在/var/www/HTML目录下,命名为2.jpg 在浏览器输入127.0.0.1/login.HTML访问自己的登录界面 在用户名输入框中输入<img src="1.jpg" />,密码随意输入,就可以读取到图片

返回目录

实验总结与体会 本次实验有对之前所学知识的整合深化和应用。在前端后台编程这里,在上学期的web安全课程中就有接触过,对数据库MysqL也有一些基本的了解,这次实验也很好的帮我们回顾了上学期可能快要忘记的一些知识,通过实践更好的进行了理解和掌握!

参考资料

Apache,PHP,MySQL的安装与配置 总结

以上是内存溢出为你收集整理的2018-2019-2 20165330《网络对抗技术》Exp8 Web基础全部内容,希望文章能够帮你解决2018-2019-2 20165330《网络对抗技术》Exp8 Web基础所遇到的程序开发问题。

如果觉得内存溢出网站内容还不错,欢迎将内存溢出网站推荐给程序员好友。

欢迎分享,转载请注明来源:内存溢出

原文地址: http://outofmemory.cn/web/1081717.html

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2022-05-27
下一篇 2022-05-27

发表评论

登录后才能评论

评论列表(0条)

保存