网络基础及安全 11

电子工业出版社第14章Web安全技术 了解Web安全漏洞的原理及分类 理解Web安全漏洞实验验证技术 掌握Web安全通用防护技术 运用华为数据库安全防护技术电子工业出版社14.1Web安全漏洞的原理及分类Web安全是互联网安全领域的重要议题之一，本章旨在深入探究其中的关键技术，针对SQL注入漏洞、跨站脚本攻击（CrossSiteScripting，XSS）漏洞和跨站请求伪造（CrossSiteRequestForgery，CSRF）漏洞等常见Web安全漏洞展开深入分析。电子工业出版社1．SQL注入漏洞的概念SQL注入漏洞（SQLInjection）是一种常见的网络安全漏洞，攻击者通过向Web应用程序的输入参数中插入恶意SQL代码，利用后端数据库查询逻辑的缺陷，在目标数据库服务器上执行非授权操作，包括篡改、窃取、破坏数据库中的内容。14.1.1SQL注入漏洞原理及分类电子工业出版社2．SQL注入漏洞的原理SQL注入的核心原理是应用程序未正确验证、过滤或转义用户输入的数据，导致用户提交的内容被直接拼接到SQL语句中执行。例如，在第一种用户登录场景中，原始SQL语句：SELECT*FROMusersWHEREusername=‘$username’ANDpassword=‘$password’。攻击者如果输入：admin‘--（--是SQL语言的注释符），那么SQL语句转变为SELECT*FROMusersWHEREusername=’admin‘--’ANDpassword=‘...’，导致密码验证逻辑被注释，攻击者伪造身份登录。电子工业出版社第二种用户登录场景中，如果用户在密码字段后附加了类似“OR'1'='1'”的恶意SQL代码，就可能导致查询条件始终为真，进而泄露用户表信息，甚至引发数据被篡改严重后果。首先，原始的数据库查询是这样的：SELECT*FROMproductsWHEREname='<user＿input>'；恶意用户输入如下内容：1'OR1=1;SELECT*FROMusersWHERE'1'='1之后，单击相应按钮，两条语句就会拼接在一起，形成如下语句：SELECT*FROMproductsWHEREname='1'OR1=1;SELECT*FROMusersWHERE'1'='1'攻击者通过在注入点插入分号“；”分隔SQL语句，就可以成功地构造出一条包含两个查询语句的复合型SQL语句，实现了查询全部产品和用户信息的目的。电子工业出版社以下列出了SQL注入漏洞安全测试的一般步骤。以下列出了SQL注入漏洞安全测试的一般步骤。（1）判断是什么类型注入，是否存在关键字过滤及能否绕过。判断注入类型是否为联合查询、布尔盲注、时间盲注等。（2）确定存在注入的表的列数，后续依次获取数据库版本信息、数据库名、表名、字段名等元数据。（3）获取数据库版本、用户当前连接的数据库名等信息。（4）利用数据库特有函数或语法差异。（5）获取数据库中所有表名信息。（6）获取某个表的列字段信息。（7）获取相应表字段的数据内容。（8）拓展安全测试，如读写文件等。通过联合查询语句读取敏感信息，如通过UNIONSELECTnull,load_file('/etc/passwd'),null--读取服务器敏感文件。电子工业出版社14.1.2跨站脚本漏洞原理及分类1．跨站脚本漏洞的概念跨站脚本漏洞XSS（CrossSiteScripting）是指攻击者将恶意脚本代码嵌入到Web页面中，当正常用户访问该页面时，嵌入的恶意脚本代码会被执行，从而达到恶意攻击用户的目的。电子工业出版社2．跨站脚本漏洞的原理

跨站脚本漏洞（XSS）的基本原理是攻击者通过操控存在漏洞的网站，诱使正常用户执行恶意脚本，以此来窃取用户的相关隐私信息。跨站脚本漏洞利用攻击的主要过程如下：攻击者先发现存在漏洞的网站，然后利用漏洞在网页中注入恶意脚本。如果网站对用户输入限制不够严，就可能发生跨站脚本注入攻击。电子工业出版社跨站恶意脚本通常是用JavaScript语言编写的，也可以是HTML、VBScript等脚本语言。跨站脚本漏洞利用涉及三个核心角色：攻击者：构造并注入恶意脚本代码。目标网站：因对用户输入过滤不当，导致恶意脚本被存储（如存入数据库）或反射执行；受害者：访问包含恶意脚本的页面，浏览器将恶意脚本代码误认为合法内容并执行，攻击者通过恶意脚本代码窃取用户信息或控制其行为。电子工业出版社3．跨站脚本漏洞的分类根据攻击方法的不同，跨站脚本攻击最常见的类型有3种，分别是存储型跨站脚本、反射型跨站脚本和DOM型跨站脚本。14.1.3跨站请求伪造漏洞原理及分类1．跨站请求伪造漏洞的概念跨站请求伪造（CSRF）漏洞，是一种伪造受害者客户端请求的攻击方式。CSRF攻击通过强制已登录的浏览器向目标网站发送请求，使攻击者利用受害者的身份凭证获取不当利益。2．跨站请求伪造漏洞的原理电子工业出版社图14.4

CSRF漏洞原理分析3．跨站请求伪造漏洞的分类CSRF漏洞利用攻击的核心是构造恶意HTTP请求，根据请求使用的HTTP方法（GET/POST等），可分为GET型CSRF和POST型CSRF，这是最基础的分类方式。电子工业出版社14.2

Web安全漏洞实验验证技术本节通过DVWA漏洞验证平台揭示Web安全漏洞的原理和影响。首先对所选漏洞类型进行分类，然后通过实验模拟漏洞场景，分析攻击者可能采取的方法和技术，以及漏洞风险和后果。电子工业出版社14.2.1

SQL注入实验验证分析首先，在DVWA漏洞验证平台上对SQL注入漏洞进行实验验证。主要包括联合查询、布尔盲注、时间盲注以及报错注入等内容，本节主要对联合查询和布尔盲注进行实验验证。电子工业出版社1．联合查询注入实验验证联合查询注入的前提是注入页面存在回显，如列表数据显示商品名、价格等数据，并且可使用union关键字构造联合查询，通过回显显示联合注入的查询结果。联合查询的一般步骤为：首先，判断页面是否存在注入点；其次，判断注入点的类型，分析是字符型还是数字型；第三，判断SQL查询返回页面的字段数；第四，获取数据库名称；第五，获取数据库表名和列名；最后，获取数据库表的敏感数据。接下来将通过实验案例分析展示具体过程。电子工业出版社2．布尔盲注实验验证当网页将联合查询的关键词过滤或启用安全函数，使联合查询无法进行时，数据库服务端执行SQL注入语句后，仅返回TRUE和FALSE两个布尔值，此时可以考虑采用布尔盲注。布尔盲注是一种在目标系统对错误信息进行隐藏或限制的情况下，通过构造布尔逻辑表达式来推断数据库信息的漏洞利用方法。布尔盲注的核心思想是依据布尔条件的真假来判断数据库中的某些信息。电子工业出版社14.2.2跨站脚本XSS漏洞实验验证分析本节在DVWA漏洞验证平台上对跨站脚本漏洞进行实验验证，主要针对反射型、存储型及DOM型漏洞进行实验分析。1．反射型跨站脚本漏洞实验在反射型跨站脚本（XSS）实验模块，用户可在文本框输入测试载荷（Java

script脚本）。电子工业出版社14.2.3跨站请求伪造CSRF漏洞实验验证分析跨站请求伪造CSRF漏洞利用未失效的身份认证信息（如cookie，会话信息等）诱骗用户点击恶意链接或访问攻击者构造的含有恶意代码的页面。在用户不知情的情况下，该漏洞以受害者身份向服务器发送请求，从而实现一些非授权操作（如修改密码等）。电子工业出版社14.3

Web安全通用防护技术电子工业出版社14.4华为数据库安全防护技术14.4.1openGauss数据库及安全概述openGauss数据库是一款由华为主导、各个生态合作伙伴共同建设的开源关系型数据库管理系统，其开源发行协议遵从木兰宽松许可证v2。openGauss数据库源于PostgreSQL-XC项目，内核源于Postgres9.2.4，总代码量约120万行，其中内核代码约95万行。华为结合企业级场景需求，深度融合其在数据库领域多年的经验，新增或修改了内核代码约70万行，内核代码修改比例约占总内核代码量的74%。电子工业出版社图14.29

openGauss数据库功能架构14.4.2访问控制模型权限的配置主要通过SQL命令实现，包括CREATEROLE用于创建角色，GRANT用于授予权限，REVOKE用于回收权限。这种命令式配置方式简单直观，易于管理和维护。openGauss的权限体系继承自PostgreSQL，同时扩展了国产化安全需求，构建了“系统权限+对象权限+行列权限”的分层访问控制模型。电子工业出版社14.4.3安全审计策略华为openGauss数据库原生支持审计日志采集机制，提供灵活的参数控制和模块化配置方式，能够对用户登录、DDL/DML操作、权限变更等多种关键操作进行审计。本节进行了策略化设计与工具开发，以增强审计机制的可控性和智能性。首先，在审计目标的设定方面，明确识别出哪些操作属于高风险行为，如特权账户的登录、权限的分配与更改、关键数据的修改等，确保审计资源聚焦在可能影响数据库安全的关键环节。电子工业出版社其中，gs_guc是华为openGauss、华为云GaussDB提供的数据库配置管理工具，主要用于调整postgresql.conf和pg_hba.conf配置文件参数、加密用户密码，支持参数动态调整和安全配置管理而无需重启数据库服务。然后，使用openGauss统一审计策略（CREATEAUDITPOLICY）指令创建审计策略SQL命令，用于对数据库特定操作（如登录、DDL、DML等）进行审计记录，帮助管理员监控数据库活动、满足合规要求或追溯安全事件。电子工业出版社14.4.4数据保护技术openGauss提供了灵活的数据保护机制，支持动态脱敏、字段加密等多种手段，实现对敏感信息的多层次保护。在动态脱敏方面，系统在查询阶段对敏感字段进行掩码处理，根据访问者的权限等级返回不同层级的信息内容。在数据加密方面，openGauss支持使用内置的加密函数，如gs_encrypt和gs_decrypt，对敏感字段进行加密和解密处理。结合密钥管理机制，这一方式可以有效防止敏感数据在数据库被入侵或非法访问时被明文读取，提高数据的安全性和保密性。电子工业出版社电子工业出版社小结本章主要讲述了Web安全漏洞的原理及分类、Web安全漏洞实验验证技术、Web安全防护技术。首先讲解了三大