2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

时间:2021-06-06 08:39:59

实践具体要求

  • Web前端HTML(0.5分)

    • 能正常安装、启停Apache。理解HTML,理解表单,理解GET与POST方法,编写一个含有表单的HTML。
  • Web前端javascipt(0.5分)

    • 理解JavaScript的基本功能,理解DOM。编写JavaScript验证用户名、密码的规则。
  • Web后端:MySQL基础:正常安装、启动MySQL,建库、创建用户、修改密码、建表(0.5分)

  • Web后端:编写PHP网页,连接数据库,进行用户认证(1分)

  • 最简单的SQL注入,XSS攻击测试(1分)

    • 功能描述:用户能登陆,登陆用户名密码保存在数据库中,登陆成功显示欢迎页面。

基础问题回答

  • 什么是表单?

    • 表单在网页中主要负责数据采集功能。一个表单有三个基本组成部分:
    • 表单标签:这里面包含了处理表单数据所用CGI程序的URL以及数据提交到服务器的方法。
    • 表单域:包含了文本框、密码框、隐藏域、多行文本框、复选框、单选框、下拉选择框和文件上传框等。
    • 表单按钮:包括提交按钮、复位按钮和一般按钮;用于将数据传送到服务器上的CGI脚本或者取消输入,还可以用表单按钮来控制其他定义了处理脚本的处理工作。
  • 浏览器可以解析运行什么语言?

    • 支持HTML(超文本标记语言)、XML(可扩展标记语言)以及Python、PHP、JavaScript、ASP等众多脚本语言。
  • WebServer支持哪些动态语言?

    • 最常用的三种动态网页语言有ASP(ActiveServerPages),JSP(JavaServerPages),PHP(HypertextPreprocessor)。
    • ASP全名ActiveServerPages,是一个WEB服务器端的开发环境,利用它可以产生和执行动态的、互动的、高性能的WEB服务应用程序。ASP采用脚本语言VBScript(Javascript)作为自己的开发语言。
    • JSP是Sun公司推出的新一代网站开发语言,Sun公司借助自己在Java上的不凡造诣,将Java从Java应用程序和JavaApplet之外,又有新的硕果,就是JSP,JavaServerPage。JSP可以在Serverlet和JavaBean的支持下,完成功能强大的站点程序。
    • PHP是一种跨平台的服务器端的嵌入式脚本语言。它大量地借用C,Java和Perl语言的语法,并耦合PHP自己的特性,使WEB开发者能够快速地写出动态产生页面。

实践过程记录

1. Web前端:HTML

1.使用service apache2 start命令打开Apache服务。

2.使用cd /var/www/html进入Apache目录下,新建一个简单的含有表单的html文件simple_form.html,包含用户名输入、密码输入、确认键功能:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

2. Web前端:javascipt

1.在原有simple_form.html基础上添加JavaScript代码,判断用户是否输入为空:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

3. Web后端:MySQL基础

1.输入/etc/init.d/mysql start开启MySQL服务:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

2.输入mysql -u root -p使用root权限进入,密码p@ssw0rd

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

【真的要时刻注意输入分号!忘了好多次】

3.先输入use mysql。输入update user set password=PASSWORD("123456【即新密码】") where user='root';,修改密码;输入flush privileges;,更新权限:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

4.输入exit退出数据库,使用新的密码登录:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

5.输入create database 【数据库名称】;建立数据库。输入show databases;查看存在的数据库,输入use 【数据库名称】使用数据库:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

6.输入create table 表名 (字段设定列表1,字段设定列表2…);建立数据库表,并设置字段基本信息。输入show tables;查看表信息:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

7.使用insert into 表名 values('值1','值2','值3'...);插入数据。使用select * from 表名;查询表中的数据:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

8.在MySQL中增加新用户,使用grant select,insert,update,delete on 数据库名称.* to 用户名@localhost identified by "密码";指令。退出后使用mysql -u 【新用户名】 -p登陆。

这句话的意思是将对某数据库的所有表的select,insert,update,delete权限授予某ip登录的某用户

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

4. Web后端:编写PHP网页

1.在/var/www/html目录下新建一个PHP测试文件phptest.php

<?php
echo ($_GET["a"]);
include($_GET["a"]);
echo "This is my php test page!<br>";
?>

2.在浏览器网址栏中输入localhost:80/phptest.php?a=/etc/passwd,但是并没有看到应该出现的内容,但是跳转到了实验六中用到的界面:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

找了几篇学长的博客,说是因为之前设置的端口号80已经被占用。

3.输入vi /etc/apache2/ports.conf,将端口号设置为5224。

4.在浏览器输入localhost:5224/phptest.php,测试成功。

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

5.利用PHP和MySQL,结合之前编写的登录网页进行登录身份认证。

6.在浏览器输入localhost:5224/simple_form.html访问自己的登录界面。

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

在这里一直出不来认证界面,非常捉急。反复检查代码数次后发现自己打错了一个引号【。

真是被坑死了

7.最终成功登录如下图所示:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

8.若用户名密码失败则如下:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

5. 最简单的SQL注入,XSS攻击测试

1.SQL注入:在用户名输入框输入' or 1=1#,密码任意输入,可登陆成功:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础

2.XSS攻击:将一张图片放在/var/www/html目录下,在用户名输入框输入<img src="图片名.jpg" />,可以读取图片:

2017-2018-2 20155224『网络对抗技术』Exp8:Web基础