《Web安全攻防实战教程》全套教学课件

Web安全概述从漏洞分析到防御实践第1章、Web安全概述第2章、SQL注入漏洞第3章、XSS漏洞第4章、请求伪造漏洞第5章、文件操作漏洞第6章、其他漏洞第7章、代码审计全套可编辑PPT课件

目录01Web安全技术体系概述02常见Web安全漏洞分析03OWASPTop102025详解04Web安全防御手段05TCP/IP、HTTP与HTTPS基础06环境部署与工具介绍07信息收集技术08总结与展望09致谢Web安全技术体系概述Web安全的重要性Web应用在互联网中的核心地位安全漏洞导致的风险：信息泄露、系统瘫痪等技术体系框架漏洞分析：识别潜在威胁防御手段：从设计到运行的全流程防护基础协议：TCP/IP、HTTP/HTTPS的安全机制实践工具：渗透测试与防御工具链常见Web安全漏洞分析六大核心漏洞类型注入漏洞：SQL注入、命令注入等XSS漏洞：窃取Cookie、会话劫持CSRF漏洞：伪造用户操作SSRF漏洞：绕过防火墙访问内部系统文件上传漏洞：上传恶意文件逻辑漏洞业务流程设计缺陷（如支付、权限控制）漏洞影响数据泄露权限提升系统被控制OWASPTop102025详解（上）1.失效的访问控制未经授权访问敏感数据，案例：普通用户查看其他用户数据2.安全配置错误云端环境配置不当，案例：公开可读的云存储3.软件供应链故障第三方组件漏洞（如Log4Shell），案例：通过开源组件控制服务器4.加密机制失效未使用HTTPS，案例：明文传输导致数据窃取OWASPTop102021vs2025排名变化注：软件供应链故障为2025年新增类别，2021年无对应排名OWASPTop102025详解（下）05注入未过滤用户输入，案例：SQL注入获取数据库信息06不安全的设计缺乏威胁建模，案例：身份鉴权机制缺陷07认证和授权失败弱密码、会话超时不当，案例：关闭浏览器后仍保持登录08软件和数据完整性故障未验证更新完整性，案例：未签名固件被攻击09安全日志记录和监控失败缺乏有效告警，案例：数据窃取后无法追溯10异常条件处理不当故障开放设计，案例：转账失败未回滚导致资金损失Web安全防御手段01安全标准研发遵循ISO27001、GB/T32914等标准02渗透测试与代码审计发布前漏洞检测，定期安全评估03Web应用防火墙（WAF）过滤恶意HTTP流量，防护SQL注入、XSS等04系统加固网络、OS、数据库等组件的安全配置05运行时保障及时补丁更新，日志监控与告警TCP/IP协议基础TCP/IP协议族四层架构：应用层、传输层、网络层、数据链路层核心协议：TCP（可靠传输）、IP（路由转发）TCP头部核心字段源/目的端口、序列号、ACK标志位、SYN/FIN标志位IP头部核心字段IP版本、TTL（生存时间）、源/目的IP地址TCP/IP协议四层架构HTTP与HTTPS协议HTTP特点无连接、无状态，默认端口80请求方法：GET、POST、PUT、DELETE等状态码：200（成功）、404（未找到）、500（服务器错误）HTTPS安全机制数据加密（对称+非对称加密）完整性校验（摘要算法）身份认证（数字证书）解决问题：数据泄露、篡改、钓鱼攻击环境部署与工具介绍基础环境CentOS系统安装与配置XAMPP（Apache+MariaDB+PHP）部署核心工具HackBar：Web参数修改与注入测试BurpSuite：Web应用渗透测试平台sqlmap：自动化SQL注入工具靶场环境部署常用靶场01sqli-labsSQL注入练习02upload-labs文件上传漏洞测试03DVWA多类型漏洞靶场（Low/Medium/High/Impossible级别）04Pikachu综合漏洞练习平台部署步骤环境配置数据库初始化权限设置信息收集技术（上）Web站点信息获取WHOIS查询：域名注册信息、DNS服务器SEO综合查询：备案信息、IP地址子域名扫描工具：DNS作用：发现防守薄弱的子域名服务信息收集技术（下）Nmap扫描主机发现、端口扫描、服务版本检测、操作系统识别后台地址扫描工具：御剑后台扫描工具目标：敏感文件、后台登录地址、上传目录指纹识别CMS识别（如Discuz!、WordPress）工具：WhatWeb总结与展望总结Web安全是全生命周期的防护体系漏洞分析与防御手段需结合实践展望人工智能在威胁检测中的应用零信任架构的普及软件供应链安全的强化感谢聆听！SQL注入漏洞从漏洞分析到防御实践目录01SQL注入漏洞概述02查询注入漏洞03报错注入漏洞04盲注漏洞05其他注入类型06SQL注入防御策略07sqlmap工具使用08总结与致谢SQL注入漏洞概述定义攻击者通过插入恶意SQL语句到输入参数中，欺骗数据库执行非授权操作。危害数据库信息泄露数据篡改服务器控制远程控制OWASP排名2021年Top1032025年Top105查询注入漏洞类型数字型：select*fromtableswhereid=1字符型：select*fromtableswhereusername='admin'搜索型：select*fromtableswhereidlike'%dm%'原理解析注入点查找：可控参数id=2注入确认：and1=1返回正常，and1=2返回异常攻击演示确定列数：orderby7报错，列数为6联合查询：unionselect1,2,3,4,5,6拖库操作：获取数据库名、表名、列名及数据报错注入漏洞原理构造恶意SQL触发数据库报错，从错误信息中获取数据。攻击演示注入点确认：id=1'返回数据库错误使用updatexml函数：updatexml(1,concat(0x7e,database(),0x7e),1)获取数据：数据库名、表名、列名及内容盲注漏洞布尔型盲注原理：通过页面响应（true/false）判断SQL执行结果攻击：获取数据库名长度、名称、表数量、表名等时间型盲注原理：结合if判断和sleep函数，通过响应时间判断结果攻击：获取数据库名长度、名称等其他注入类型二次注入原理：恶意数据存储后被二次调用执行'堆叠注入原理：用分号执行多条SQL语句''宽字节注入原理：GBK编码下合并转义符'头部注入原理：HTTP头部信息未过滤SQL注入防御策略输入验证与过滤长度、类型验证，特殊字符处理，正则表达式参数化查询使用占位符预编译SQL，避免拼接最小权限原则数据库用户仅分配必要权限使用WAF拦截可疑SQL语句系统更新定期更新操作系统、数据库等sqlmap工具基础使用基本命令sqlmap-uURL检测注入点--current-db获取当前数据库--dbs获取所有数据库-Dlearn--tables获取表名-Dlearn-Tuser--columns获取列名-Dlearn-Tuser--dump获取数据sqlmap高级使用Cookie与代理携带Cookie：--cookie=PHPSESSID=xxx代理设置：--proxy=:8080Tamper脚本绕过WAF：--tamper=模块.py示例：space2comment.py替换空格为注释探测等级--level=5：最高等级，检测Cookie、User-Agent等案例总结攻击流程回顾注入点查找漏洞确认数据获取权限提升防御要点代码层面：参数化查询、输入过滤架构层面：WAF、最小权限工具与人工结合sqlmap自动化扫描+人工验证分析感谢聆听！XSS漏洞从漏洞分析到防御实践目录01XSS漏洞概述02存储型XSS漏洞03反射型XSS漏洞04DOM型XSS漏洞05BeEF渗透框架应用06内容安全策略（CSP）防御07总结与致谢XSS漏洞概述XSS漏洞定义与分类定义：跨站脚本攻击，注入恶意脚本到用户浏览器执行危害：会话劫持、数据窃取、网站篡改分类：存储型（持久化）、反射型（非持久化）、DOM型（客户端）OWASP统计：长期位列Web安全威胁Top10存储型XSS漏洞存储型XSS原理与攻击演示原理：恶意代码存储到服务器（数据库/文件），用户访问时触发场景：留言板、博客、论坛攻击演示：通过Wiki系统注入DDoS脚本，用户点击图片触发10次请求代码缺陷：后台未过滤用户输入的JavaScript代码05反射型XSS漏洞原理：恶意代码通过URL参数传递，服务器反射回浏览器执行场景：钓鱼链接、邮件攻击攻击演示：构造含Cookie窃取脚本的URL，用户点击后弹出Cookie代码缺陷：直接输出URL参数到页面，无过滤DOM型XSS漏洞DOM型XSS原理与攻击演示原理：客户端JavaScript操作DOM时注入恶意代码，不经过服务器场景：前端动态渲染页面攻击演示：输入构造的HTML代码，生成恶意按钮引导用户跳转代码缺陷：使用innerText直接插入用户输入，未转义BeEF渗透框架应用原理通过hook.js脚本劫持浏览器，实现远程控制模块功能获取Cookie、替换链接、网页重定向、社工弹窗实战案例在DVWA靶场注入hook.js，窃取Cookie实现免登录核心命令绿色（无感知）橙色（可能感知）灰色（未验证）内容安全策略（CSP）CSP配置与防御效果定义：白名单机制，限制浏览器加载资源的来源配置方式：HTTP响应头、meta标签、服务器全局配置核心指令：default-src（默认策略）、script-src（脚本来源）、img-src（图片来源）报告功能：监控违规行为，生成JSON格式报告CSP实战演示CSP防御存储型XSS实战配置：设置img-src'self'，只允许加载本地图片测试：添加含外部图片的新闻，浏览器拦截并发送报告报告内容：包含违规URI、策略指令、拦截时间效果：有效阻止恶意图片加载，记录攻击行为总结总结XSS漏洞分类：存储型（危害最大）、反射型（一次性）、DOM型（客户端）防御措施：输入验证、输出转义、CSP策略、使用安全框架感谢聆听！请求伪造漏洞从漏洞分析到防御实践目录01引言：请求伪造漏洞概述02跨站请求伪造（CSRF）：原理与攻击03CSRF漏洞防御措施04服务器端请求伪造（SSRF）：原理与攻击05SSRF漏洞防御措施06CSRF与SSRF对比分析07实战案例：CSRF攻击演示08实战案例：SSRF攻击演示09漏洞检测与安全测试方法10云环境下的SSRF防护11代码审计：CSRF漏洞代码分析12代码审计：SSRF漏洞代码分析13防御实践：从理论到代码14总结与展望15致谢引言：请求伪造漏洞概述请求伪造漏洞的定义与分类定义：攻击者通过构造恶意请求，诱导目标系统执行非预期操作的漏洞分类：跨站请求伪造（CSRF）：利用用户浏览器发起请求服务器端请求伪造（SSRF）：利用服务器发起请求危害：数据泄露、权限滥用、内网渗透等OWASP统计：CSRF和SSRF均为Web应用常见高风险漏洞CSRF：原理与攻击CSRF漏洞原理核心：利用服务器对用户的信任，冒充用户身份执行操作攻击条件：用户已登录目标网站用户访问攻击者构造的恶意页面攻击场景：修改密码、转账、发表评论等典型攻击流程1攻击者构造包含恶意请求的页面2用户在登录状态下访问该页面3浏览器自动发送请求到目标网站4网站验证用户身份后执行操作CSRF漏洞防御措施CSRF防御三大核心手段验证码：强制用户交互，如登录、支付场景Token验证：服务器生成随机Token，嵌入表单或请求头Referer验证：检查请求来源是否为可信域名其他防御措施限制Cookie作用域：设置SameSite属性二次确认：敏感操作（如删除数据）需用户二次确认避免使用GET请求处理敏感操作SSRF：原理与攻击SSRF漏洞原理核心：利用服务器对用户输入的信任，诱导服务器发起非预期请求攻击目标：内网服务、云元数据接口、本地文件系统常见利用协议：HTTP/HTTPS、file://、gopher://、dict://典型攻击场景01内网端口扫描02云元数据窃取（如AWS54）03本地文件读取（如/etc/passwd）04攻击内网Web应用SSRF漏洞防御措施SSRF防御关键策略输入验证：白名单限制可访问的域名/IP协议限制：仅允许HTTP/HTTPS，禁用危险协议IP过滤：禁止访问内网IP（如、/16）其他防御措施禁用重定向：避免跟随非预期跳转日志审计：监控服务器出站请求使用安全库：如Python的requests库限制重定向CSRF与SSRF对比分析CSRFvsSSRF关键区别对⽐维度CSRF（跨站请求伪造）SSRF（服务器端请求伪造）攻击发起者⽤⼾浏览器漏洞服务器攻击⽬标⽬标⽹站（需⽤⼾登录）内⽹/云服务/本地资源触发条件⽤⼾访问恶意⻚⾯服务器提供URL交互功能防御重点Token/Referer验证输⼊过滤/协议限制总结与展望总结CSRF和SSRF均为Web应用高风险漏洞，需重点防护CSRF防御核心：验证请求来源和用户身份SSRF防御核心：过滤用户输入，限制服务器请求范围展望AI驱动的漏洞检测技术自动化防御工具的发展云原生安全防护体系的完善感谢聆听！Web安全概述从漏洞分析到防御实践目录01文件包含漏洞02文件上传漏洞03文件下载漏洞04漏洞防御总结05致谢文件包含漏洞概述文件包含漏洞定义开发人员为提高效率封装重复代码，未校验引用源导致漏洞攻击者构造恶意路径包含本地/远程文件，引发敏感信息泄露或代码执行PHP包含函数include/include_once：警告不终止require/require_once：错误终止执行漏洞分类本地文件包含（LFI）：利用服务器本地文件远程文件包含（RFI）：利用外部服务器文件（需配置allow_url_include=On）本地文件包含攻击演示攻击示例代码示例：fileinc.php接收filename参数并include访问/etc/passwd：/bcbm/fileinc.php?filename=/etc/passwd访问Apache配置：/bcbm/fileinc.php?filename=/opt/lampp/etc/httpd.conf访问日志文件：/bcbm/fileinc.php?filename=/opt/lampp/logs/access_log远程文件包含攻击演示攻击条件PHP配置allow_url_include=On（默认Off）攻击步骤1攻击者服务器准备shell.txt：<?phpeval(phpinfo());?>2远程包含：/bcbm/fileinc.php?filename=6/learn/shell.txt3执行结果：获取被攻击服务器PHP环境信息日志文件包含攻击攻击前提日志可读、路径可知、存在文件包含漏洞攻击方法Web日志攻击1.BurpSuite拦截请求，写入恶意代码到access_log2.包含日志：/bcbm/fileinc.php?filename=/opt/lampp/logs/access_log系统日志攻击1.SSH登录时用户名输入<?phpphpinfo();?>2.包含/var/log/secure：/bcbm/fileinc.php?filename=/var/log/securePHP伪协议文件包含常用伪协议php://filter：读取源码（base64编码）/bcbm/fileinc.php?filename=php://filter/read/convert.base64-encode/resource=common.phpphp://input：执行POST数据中的代码phar://：包含压缩文件内的代码（支持重命名为.jpg）data://：直接嵌入代码/bcbm/fileinc.php?filename=data://text/plain,文件上传漏洞概述漏洞定义用户上传WebShell等恶意文件，导致服务器被控制检测方式1.前端JS验证：检查扩展名2.后端Content-Type校验：判断文件类型3.后端扩展名校验：限制允许的扩展名4.后端文件头校验：检查文件签名（如PNG头89504E47）文件上传绕过攻击前端检测绕过BurpSuite拦截修改扩展名：将test.php改为test.jpg上传，拦截后改回.phpContent-Type绕过拦截请求修改Content-Type为image/jpeg扩展名绕过上传test.php.abcd，Apache从右向左解析执行.php文件头绕过制作图片马：copyh.jpg/b+test.php/apt.jpg，配合文件包含执行文件下载漏洞分析漏洞定义未验证下载请求，攻击者下载任意文件或遍历路径攻击示例正常下载：/bcbm/download.php?filename=pt.jpg路径遍历：/bcbm/download.php?filename=../../../../../etc/passwd原理解析代码未过滤../，导致路径跳转$file_path="upload/{$_GET['filename']}"漏洞防御总结文件包含防御关闭allow_url_include/allow_url_fopen白名单限制可包含文件限制文件访问目录（open_basedir）文件上传防御多重检测（前端+后端+文件头）随机重命名文件上传目录不可执行文件下载防御验证文件路径，禁止特殊字符白名单控制可下载文件随机存储路径感谢聆听！Web安全概述从漏洞分析到防御实践目录01XXE漏洞02弱类型比较漏洞03命令注入漏洞04逻辑漏洞05总结与防御XXE漏洞介绍XXE漏洞原理XML⽂档结构DTD与实体引⽤⻛险XXE漏洞原理定义：XML外部实体注入漏洞，利用XML解析器未限制外部实体引用XML文档结构：根元素、元素嵌套、属性规则DTD与实体引用：内部实体（变量替换）、外部实体（引用外部资源）风险：读取本地文件、执行远程请求XXE漏洞攻击过程01读取本地文件构造含file://协议的XML，读取/etc/passwd02HTTP访问文件引用http://资源获取文件内容03读取PHP源代码通过php://filter伪协议编码读取，Base64解码还原攻击示例展示passwd文件、hello.txt、xxe.php读取结果XXE漏洞防御禁用外部实体解析XML时禁用DTD和外部实体输入验证过滤<!DOCTYPE>、<!ENTITY>等敏感声明错误信息限制不返回详细解析错误替代方案使用JSON替代XML传输数据弱类型比较漏洞弱类型比较原理PHP弱类型特性：==自动类型转换，===严格比较字符串与数值比较：非数字开头字符串转0，0e开头视为科学计数法0MD5哈希比较：0e开头哈希值被视为0，导致碰撞攻击场景：登录绕过、权限提升PHP弱类型比较结果对比命令注入漏洞命令注入原理与攻击定义：未过滤用户输入导致执行恶意系统命令危险函数：system、exec、shell_exec等管道符利用：Windows/Linux支持的管道符（;、|、&&等）攻击示例：Ping功能中拼接;whoami获取系统用户命令注入防御命令注入防御措施输入验证：限制输入为预期格式（如IP地址）转义特殊字符：过滤管道符、引号等使用安全函数：避免直接拼接命令最小权限：运行应用程序的账号权限最小化逻辑漏洞类型01登录注册类用户名枚举、重复注册02密码重置类未校验手机号、旧密码或用户账号03验证码绕过修改响应包code值、回传验证码04支付漏洞篡改订单金额、数量、支付状态05提权漏洞修改用户ID、角色参数提升权限逻辑漏洞攻击演示支付漏洞修改商品数量为负数导致账户充值验证码绕过拦截响应包修改code=0跳转到改密页面提权漏洞修改URL中uid参数查看其他用户信息密码重置未校验用户账号导致重置他人密码总结与防御策略漏洞总结与防御XXE：禁用外部实体，输入过滤弱类型：使用===严格比较，避免0e哈希命令注入：输入验证，安全函数逻辑漏洞：业务流程审计，后端校验所有参数通用防御：最小权限、输入验证、代码审计感谢聆听！代码审计从漏洞分析到防御实践目录01代码审计概述02代码审计方法与技术要求03代码审计流程04安全代码编写规范05静态代码审计策略06Seay源代码审计系统07VAuditDemo代码审计实战08代码审计案例09总结与展望10致谢代码审计概述代码审计的定义与价值代码审计是发现安全漏洞、程序错误