第 3页
其他名称
• • 入侵广告 网页挂马
•
• •
无效链接
典型登录页面 内部IP泄露
•
•
邮箱地址泄露
内部目录泄露

第 4页
OWASP TOP 10
OWASP Top 10 2010 Chinese V1.0 Released.pdf
第 16页 / 共 4页
XSS跨站漏洞
类型3: 存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身 安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的 用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。
其攻击过程如下：
B拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。 C注意到B的站点具有类型3的XXS漏洞。
A经常浏览某个网站，此网站为B所拥有。B的站点运行A使用用户名/密码进 行登录，并存储敏感信息（比如银行帐户信息）。
C发现B的站点包含反射性的XSS漏洞。
C编写一个利用漏洞的URL，并将其冒充为来自B的邮件发送给A。
A在登录到B的站点后，浏览C提供的URL。 嵌入到URL中的恶意脚本在A的浏览器中执行，就像它直接来自B的服务器一 样。此脚本盗窃敏感信息（授权、信用卡、帐号信息等）然后在A完全不知情 的情况下将这些信息发送到C的Web站点。

第 13页 / 共 4页
XSS跨站漏洞
• 类型1 本地利用
精心构造的页面
/xx.html
灰常杯具的泄露了敏 感信息！

第 14页 / 共 4页
XSS跨站漏洞
类型2: 反射式漏洞，这种漏洞和类型A有些类似，不同的是Web客户端使用Server 端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面 中而未经HTML实体编码，客户端代码便能够注入到动态页面中。 其攻击过程如下：

第 26页
其他名称
• • 入侵广告 网页挂马
•
• •
无效链接
典型登录页面 内部IP泄露
•
•
邮箱地址泄露
内部目录泄露

第 27页
第 28页
件列表
• 目录浏览漏洞危害
攻击者可以通过浏览网站目录了解网站结构，发现网站内部资料，导 致敏感信息泄露。攻击者也有可能通过泄密文件获取网站的某些管理权限
，或者籍此发现更多网站安全漏洞 • 漏洞演示
http://172.16.15.105:8080/admin/ http://172.16.15.105:8080/db/Fra bibliotek第 22页
WebDAV启用
• 什么是WebDAV ＷebDAV是微软针对IIS的提供的扩展服务，它允许用户远程管理服
务器上的文件
• 危害 不恰当的配置及WebDAV本身的安全漏洞可以让攻击者直接上传、 修改或删除网站上的文件 • 攻击演示 http://172.16.15.105:8080
XSS跨站漏洞
类型1: 本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。 其攻击过程如下所示： A给B发送一个恶意构造了Web的URL。
B点击并查看了这个URL。恶意页面中的JavaScript打开一个具有漏洞的 HTML页面并将其安装在B电脑上。
具有漏洞的HTML页面包含了在B电脑本地域执行的JavaScript。 A的恶意脚本可以在B的电脑上执行B所持有的权限下的命令。
•
XSS跨站漏洞的危害
常用来 1、挂马 2、钓鱼
3、盗取cookies
4、模拟用户提交表单，如添加管理员、删除信息等等其他操作

第 11页
XSS跨站漏洞
• XSS的漏洞分类
类型1：本地利用型
类型2：反射式
类型3：存储式

第 12页 / 共 4页
第 15页 / 共 4页
XSS跨站漏洞
• 类型2 反射型
xx.asp?id=1存在 XSS漏洞

/xx.asp?id=1"><script >alter("xss test")</script>

• 正常访问过程
Id=xxx Web服务器
数据库
客户端

第 8页
SQL注入
• SQL注入过程
Id=xxx union select 1,username,passw ord from admin
Web服务器
数据库
第 9页

代码分析和攻击演示

第 23页
目录遍历漏洞
• 什么是目录遍历漏洞 当应用程序以文件名作为参数时，如果没有对可接受的文件名进行严
格限制，则可能会打开访问者指定的服务器上的任意目录中的任意文件，
这个问题称为目录遍历 • 危害 攻击者可以利用该漏洞查看服务器上任意文件的内容，从而获取包括 程序源代码、帐号口令文件在内的严重威胁服务器安全的重要信息，为进 一步入侵提供方便 • 漏洞演示 http://172.16.15.105:8090/ewebeditor/admin_login.asp
官网： /

第 5页
SQL注入
• 什么是SQL注入
网站程序在使用SQL语句执行数据库操作时，没有对用户提交的内容做出正确的处 理，导致用户提交的内容破坏了程序原先的SQL语句结构，使得网站程序对数据库操作 出错或改变预定的数据库操作行为，我们把网站程序的这种问题称为SQL注入漏洞

第 25页
内部文件泄露
• 什么是内部文件泄露 这些文件可能是系统数据库文件，程序配置文件，帐号口令文件等 • 危害 攻击者得到这些文件后可能获取系统帐号密码，重要内部资料等绝密
信息
• 漏洞演示 http://172.16.15.105:8090/readme.txt
第 24页
程序错误信息
• 什么是程序错误信息 应用程序在处理某些访问请求时发生错误，并将错误警告信息显示给
访问者
• 危害 攻击者可能从错误警告中获取网站程序的内部信息，这将为攻击者入 侵网站提供条件 • 漏洞演示 http://172.16.15.105:8080/appcode/Conn.asp
Web安全培训
之基础篇
第 1页 / 共 4页
培训目标
• 熟悉常用攻击名称术语 • 了解目前主流的攻击手法 • 了解各种漏洞形成原因以及防范 • 看懂扫描器的报告内容

第 2页
常用攻击名称术语
以下均是在扫描器的漏洞库里提取的 • • • • • • • • SQL注入 XSS（跨站脚本） 目录浏览 WebDAV启用 代码泄露 目录遍历 程序错误信息 内部文件泄露
C发布一个热点信息，吸引其它用户纷纷阅读。
B或者是任何的其他人如A浏览该信息，其会话cookies或者其它信息将被C盗 走。 类型A直接威胁用户个体，而类型B和类型C所威胁的对象都是企业级Web应 用
第 17页 / 共 4页
XSS跨站漏洞
• 类型3 存储型
xx.asp存在存储 型XSS漏洞


第 18页 / 共 4页
XSS攻击事件回顾
• 2011年6月28日，新浪微博出现了一次比较大的XSS攻击事件。大量用户自动发送诸如 ：“郭美美事件的一些未注意到的细节”，“建 党大业中穿帮的地方”，“让女人心动 的100句诗歌”，“3D肉团团高清普通话版种子”，“这是传说中的神仙眷侣啊”，“ 惊爆!范冰冰艳照真流出了”等等 微博和私信，并自动关注一位名为hellosamy的用户。 • • • • • 事件的经过线索如下： 20:14，开始有大量带V的认证用户中招转发蠕虫 20:30，中的病毒页面无法访问 20:32，新浪微博中hellosamy用户无法访问 21:02，新浪漏洞修补完毕
• • • SQL注入攻击演示 代码分析
\\172.16.15.105\
漏洞修补以及提问

第 10页
XSS跨站漏洞
• 什么是XSS跨站漏洞
网站程序在接受用户提交的内容后，没有对在HTML文件中有特殊含义的字符和关 键字进行过滤，并将其直接显示在网页上，导致用户提交的内容改变了网页原有的结构 。我们把网站程序的这类问题称为跨站脚本漏洞
•
SQL注入的危害
1、窃取信息 2、篡改数据 3、进行挂马 4、绕过口令验证

第 6页
SQL注入
• 示意图
iis、apache、tomcat、 nginx等等
客户端 Mssql、mysql、oracle、 db2

第 7页
SQL注入

第 19页 / 共 4页
XSS跨站攻击流程
•
攻击示意图：

第 20页 / 共 4页
代码分析和攻击演示
• • XSS跨站攻击演示 代码分析
•
漏洞修补以及提问

第 21页
目录浏览漏洞
• 什么是目录浏览漏洞 由于WEB服务器的不当配置，服务器允许访问者查看网站目录的文