我的2023年护网蓝初面试题（一面）

面试 web安全网络安全网络攻击模型 2023-08-31 16:08:18 347人浏览八月长安

摘要

个人感觉一面的问的漏洞原理比较多 sql注入（面了几家问了几家）讲一讲sql注入原理？用户的可控的输入嵌入到sql语句中并被服务端执行，导致应用程序的信息泄露以及攻击者写入WEBshell 讲一讲sql注入分类？请求头的注入、联合查

个人感觉一面的问的漏洞原理比较多

sql注入（面了几家问了几家）

讲一讲sql注入原理？

用户的可控的输入嵌入到sql语句中并被服务端执行，导致应用程序的信息泄露以及攻击者写入WEBshell

讲一讲sql注入分类？

请求头的注入、联合查询注入、报错注入、布尔盲注、堆叠注入、时间盲注、宽字节注入

讲一讲报错注入、时间盲注主要用到的函数

报错：updataxml、extractvalue 时间：sleep

讲一讲sql注入防御？

使用预编译；

黑名单：对特殊的字符例如括号斜杠进行转义过滤删除；

白名单：对用户的输入进行正则表达式匹配限制；

规范编码以及字符集，否者攻击者可以通过编码绕过检查；

参数化查询：原理是将用户输入的查询参数作为参数传，而不直接将它们拼接到SQL语而言，将SQL语句和参数分离开来，并通过占位符（一般使用问号“？”）将它们关联起来，这样用户的输入只会被当作参数

讲一讲宽字节注入原理？

由于PHP utf-8编码 数据库GBK编码，php发送请求到Mysql时经过一次gbk编码，因为GBK是双字节编码，所以我们提交的%df这个字符和转译的反斜杠组成了新的汉字，然后数据库处理的时候是根据GBK去处理的，然后单引号就逃逸了出来

sql注入如何写入webshell？

?id=1' uNIOn select 1,"",3 into outfile 'C:\\phpstudy\\WWW\\sqli\\shell.php'#

?id=1' union select 1,"",3 into dumpfile 'C:\\phpstudy\\WWW\\sqli\\shell.php'#

into outfile 'C:/wamp64/www/shell.php' lines terminated by '';

into outfile 'C:/wamp64/www/shell.php' lines starting by '';

讲一讲sqlmap中的risk和level的区别？

risk风险等级越大则测试的语句越多强调数量

level探测的深度越大则测试的范围越广例如cookie host 等等都会测试强调范围

SSRF

讲一讲SSRF原理？

服务端提供了能够从其他服务器应用获取数据的功能，我们服务端请求的目标都是与该请求服务器处于同一内网的资源服务，但是如果没有对这个请求的目标地址、文件等做充足的过滤和限制，攻击者可通过篡改这个请求的目标地址来进行伪造请求，进行未授权访问。

讲一讲SSRF常用的协议？

file 用于读取文件

dict 用于探测一些端口以及数据库信息

LDAP 目录扫描

TFTP 它允许客户端从远程主机获取文件或将文件上传至远程主机上传shell

sftp、Gopher

反序列化

讲一讲java反序列化的原理？

Java反序列化漏洞是指恶意用户通过发送精心构造的序列化数据并触发其反序列化过程，从而执行未经授权的代码或操作。攻击者可以利用此漏洞来执行远程命令、绕过应用程序的安全检查、窃取敏感信息等攻击。如果Java应用对用户输入（即不可信数据）做了反序列化处理，那么攻击者可以通过构造恶意输入，让反序列化产生非预期的类或对象，这个类或对象在产生过程中就有可能带来任意代码执行。

讲一讲shiro反序列化原理？

shiro是Apache下的一个开源Java安全框架，执行身份认证，授权，密码和会话管理。shiro在用户登录时除了账号密码外还提供了可传递选项remember me。用户在登录时如果勾选了remember me选项，那么在下一次登录时浏览器会携带cookie中的remember me字段发起请求，就不需要重新输入用户名和密码。

讲一讲fastjson反序列化原理？

fastJSON是阿里巴巴开发的一款将json字符串和java对象进行序列化和反序列化的开源json解析库。fastjson提供了autotype功能，在请求过程中，我们可以在请求包中通过修改@type的值，来反序列化为指定的类型，而fastjson在反序列化过程中会设置和获取类中的属性，如果类中存在恶意方法，就会导致代码执行等这类问题。

讲一讲log4j RCE?

Log4j 是Apache 的一个开源项目，是一款基于Java 的开源日志记录工具。该漏洞主要是由于日志在打印时当遇到`${`后，以:号作为分割，将表达式内容分割成两部分，前面一部分prefix，后面部分作为key，然后通过prefix去找对应的lookup，通过对应的lookup实例调用lookup方法，最后将key作为参数带入执行，引发远程代码执行漏洞。