36、网络应用安全实战指南：漏洞发现与利用

网络应用安全实战指南：漏洞发现与利用

1. 利用计分板学习网络应用安全

在 OWASP Juice Shop 平台学习网络应用安全风险时，建议使用计分板。通过它可以尝试发现安全漏洞和利用每个缺陷的方法来完成挑战。同时，参考 OWASP Top 10: 2021 文档 和 OWASP Juice Shop 挑战指南 有助于提升网络应用安全技能。

2. 理解基于注入的攻击

基于注入的攻击允许威胁行为者和渗透测试人员将自定义代码注入到 Web 应用程序表单的输入字段中。Web 应用程序按客户端 - 服务器模型和请求 - 响应模型处理输入并提供响应。但如果用户向 Web 应用程序的登录表单发送格式错误的代码，可能会从 Web 应用程序和数据库服务器中检索敏感信息，甚至在托管 Web 服务器的操作系统上执行操作。

缺乏对用户输入的正确验证和清理时，威胁行为者能确定 Web 应用程序是否存在安全漏洞，操纵后端数据库服务器中存储的数据，甚至在主机操作系统上执行命令注入。

常见的注入攻击类型有：
- SQL 注入（SQLi） ：威胁行为者可在 Web 应用程序的输入表单中注入自定义 SQL 语句。若 Web 应用程序未验证或清理输入，代码将被发送到后端 SQL 服务器处理。若应用程序易受攻击，威胁行为者可创建、修改、检索甚至删除数据库中的记录。
- 命令