强网ThinkShop Web安全教学文档

1. 背景介绍

强网ThinkShop是一个专注于Web安全技术研究的平台，提供CTF比赛相关技术分享和实战经验。本文档基于"再谈强网ThinkShop"文章内容，系统性地总结Web安全攻防技术要点。

2. Web安全基础

2.1 常见Web漏洞类型

1. 注入类漏洞

   • SQL注入
   • NoSQL注入
   • 命令注入
   • LDAP注入

2. 跨站脚本攻击(XSS)

   • 反射型XSS
   • 存储型XSS
   • DOM型XSS

3. 跨站请求伪造(CSRF)

   • 基于表单的CSRF
   • JSON CSRF
   • 基于CORS的CSRF

4. 文件相关漏洞

   • 文件上传漏洞
   • 文件包含漏洞(LFI/RFI)
   • 目录遍历

5. 服务端请求伪造(SSRF)

   • 基本SSRF
   • 带外SSRF
   • 协议转换攻击

2.2 现代Web应用安全挑战

1. 前后端分离架构的安全问题
2. API安全(RESTful/GraphQL)
3. WebSocket安全
4. WebAssembly安全
5. 云原生应用安全

3. CTF Web题目分析

3.1 常见CTF Web题型

1. 基础题型

   • 简单的SQL注入
   • 基础XSS
   • 文件上传绕过

2. 进阶题型

   • 无回显注入(盲注)
   • DOM型XSS
   • 逻辑漏洞

3. 综合题型

   • 多步骤漏洞利用链
   • 反序列化漏洞
   • 沙箱逃逸

3.2 解题方法论

1. 信息收集阶段

   • 目录/文件扫描
   • 源代码审计
   • 接口枚举

2. 漏洞挖掘阶段

   • 输入点测试
   • 协议分析
   • 非常规参数测试

3. 漏洞利用阶段

   • 构造有效载荷
   • 绕过过滤机制
   • 权限提升

4. 后渗透阶段

   • 维持访问
   • 横向移动
   • 数据提取

4. 实战攻防技术

4.1 注入类漏洞实战

SQL注入进阶技巧：

1. 基于时间的盲注

   SELECT IF(SUBSTRING(database(),1,1)='a',SLEEP(5),0)
   

2. 基于错误的盲注

   SELECT EXP(~(SELECT*FROM(SELECT USER())x))
   

3. 堆叠查询注入

   '; DROP TABLE users; --
   

NoSQL注入技巧：

1. MongoDB注入

   username[$ne]=1&password[$ne]=1
   

2. Redis注入

   eval "return redis.call('info')" 0
   

4.2 XSS高级利用

1. CSP绕过技术

   • JSONP端点滥用
   • AngularJS沙箱逃逸
   • 动态脚本创建

2. 存储型XSS持久化

   • 通过SVG文件
   • 通过Markdown渲染
   • 通过PDF生成

3. DOM型XSS利用

   eval(location.hash.substr(1))
   

   <iframe src="https://victim.com/#alert(document.domain)"></iframe>
   

4.3 文件上传漏洞利用

1. 常见绕过技术

   • 修改Content-Type
   • 添加文件头(GIF89a)
   • 双扩展名(.php.jpg)
   • 大小写绕过(.PhP)

2. 高级利用方式

   • 通过.htaccess覆盖配置
   • 通过phar协议反序列化
   • SVG文件中的XSS

5. 防御措施

5.1 开发安全实践

1. 输入验证

   • 白名单验证优于黑名单
   • 数据类型和格式验证
   • 业务逻辑验证

2. 输出编码

   • HTML实体编码
   • JavaScript编码
   • URL编码

3. 安全配置

   • 最小权限原则
   • CSP策略配置
   • 安全HTTP头设置

5.2 运维安全实践

1. WAF配置

   • 规则定制化
   • 误报处理
   • 性能优化

2. 监控与响应

   • 异常请求监控
   • 日志分析
   • 应急响应流程

6. 工具链

6.1 常用安全工具

1. 扫描类工具

   • Burp Suite
   • OWASP ZAP
   • sqlmap

2. 代理类工具

   • Charles
   • Fiddler
   • mitmproxy

3. 开发辅助工具

   • Postman
   • Swagger UI
   • GraphQL Playground

6.2 自定义工具开发

1. Python脚本示例

   import requests
   from bs4 import BeautifulSoup
   
   def check_xss(url):
       payload = "<script>alert(1)</script>"
       r = requests.post(url, data={"input": payload})
       soup = BeautifulSoup(r.text, 'html.parser')
       return payload in str(soup)
   

2. 浏览器自动化

   from selenium import webdriver
   
   driver = webdriver.Chrome()
   driver.get("https://example.com")
   driver.execute_script("alert('XSS')")
   

7. 学习资源

1. 在线平台

   • PortSwigger Web Security Academy
   • OWASP WebGoat
   • Hack The Box

2. 书籍推荐

   • 《Web应用安全权威指南》
   • 《白帽子讲Web安全》
   • 《黑客攻防技术宝典：Web实战篇》

3. 社区资源

   • 奇安信攻防社区
   • 看雪学院
   • 先知社区

8. 总结

Web安全是一个持续演变的领域，需要不断学习和实践。通过参与CTF比赛、研究漏洞案例和实际渗透测试，可以快速提升Web安全技能。建议从基础漏洞入手，逐步深入理解现代Web应用的安全机制和绕过技术，最终形成系统的安全思维。