Báo cáo thực hành môn học bảo mật web buổi 2 sql injection

TRƯỜNG ĐẠI HỌC SƯ PHẠM KỸ THUẬT TP HCM KHOA CÔNG NGHỆ THÔNG TIN... HTTP Basics Bật chế độ developer và tìm magic number:... 2.2.3 Đăng nhập vào WebGoat Đăng nhập thành công:... ZAP nhận

TRƯỜNG ĐẠI HỌC SƯ PHẠM KỸ THUẬT TP HCM KHOA CÔNG NGHỆ THÔNG TIN

BÁO CÁO THỰC HÀNH MÔN HỌC BẢO MẬT WEB BUỔI 2: SQL INJECTION

GVHD: Lê Thị Minh Châu

SVTH: Phạm Quỳnh Hương

MSSV: 20110141

Mã lớp học: WESE331479_22_2_01

MỤC LỤC

I – Introduction 1

1.1 WebGoat 1

1.2 WebWolf 1

II – General 3

2.1 HTTP Basics 3

2.2 HTTP Proxies 4

2.2.2 HTTP Proxy Setup 4

2.2.3 Đăng nhập vào WebGoat 5

2.2.4 Bật filter 7

2.2.5 Configure Breakpoint Header 8

2.2.6 Edit and resend in ZAP 11

2.2.7 Proxy from ZAP to HTTPS 14

2.2.8 Manually Setting Proxy 18

2.3 Developer Tools 25

2.3.2 The Elements Tab 25

2.3.3 The Console Tab 26

2.3.4 Sử dụng console 27

2.4 CIA Triad 31

Landing page:

II – General

2.1 HTTP Basics

Bật chế độ developer và tìm magic number:

Tìm thành công:

2.2 HTTP Proxies

2.2.3 Đăng nhập vào WebGoat

Đăng nhập thành công:

ZAP nhận được request:

2.2.4 Bật filter

Kết quả:

2.2.5 Configure Breakpoint Header

Nhấn submit để test breakpoint vừa tạo:

Nhận error vì breakpoint đã bật:

Chỉnh lại HTTP Message:

Kết quả:

2.2.6 Edit and resend in ZAP

Send email để lấy thông tin request:

Mở lại request cần send:

2.2.8 Manually Setting Proxy

Tìm hostnames file trên Window:

Chỉnh hostname thành www.webgoat.local:

Chỉnh sửa lại thông tin HTTP Proxy:

Truy cập thành công với URL “http://www.webgoat.local:8080/WebGoat”

2.2.9 Burp Proxy

Tạo project mới:

Tắt Intercept và mở WebGoat bằng Broswer trên Burp

Edit Request Interception Rules:

Chỉnh Match condition thành “(^mvc$|^txt$|^woff$|^lesson$|^gif$|^jpg$|^png$|^css$|^js$|^ico$)”

Bật Intercept:

2.3 Developer Tools

2.3.2 The Elements Tab

Xem HTML Source:

Xem CSS Source:

2.3.3 The Console Tab

CLTRL + L hoặc tạo hàm clear() để xóa màn hình:

2.3.4 Sử dụng console

Chạy hàm javascript webgoat.customjs.phoneHome():

Ta tìm được giá trị phoneHome là 1139681505

2.3.5 The Source Tab

2.3.6 Network Tab

Nhấn nút Go để tạo một POST request:

Vào payload ta nhận được networkNum là 86.6212398295277

Kết quả:

2.4 CIA Triad