《滲透測試實踐指南：必知必會的工具與方法》-讀書筆記（四）基於Web的漏洞利用

標籤：os   使用   java   ar   strong   檔案   資料   問題   代碼   

Nikto

自動掃描Web伺服器上到期的沒打補丁的軟體，同時也自動檢索駐留在伺服器上的危險檔案。能夠識別出很多特定的問題，也能檢查出伺服器的配置問題。

/pentest/web/nikto

# ./nikto.pl –h target_host –p target_port –o output_file_path

# ./nikto.pl update

 

Websecurify

快速、便捷地對Web漏洞進行識別，包括SQL注入、跨站指令碼、文本包含、跨站請求偽造等。

/pentest/web/websecurify/runner

 

WebScarab

與目標Web伺服器進行互動的首選工具。

與使用Nikto和WebSecurify完成了漏洞掃描之後，下一個邏輯步驟就是在目標網站上運行網路爬蟲程式。網路爬蟲是通過審查和讀取（或者說是抓取）目標網站來尋找所有連結和相關檔案非常有用的工具。通過網路爬蟲，目標網站的每一個連結、網頁和已知檔案都會被記錄並分類。這些分類資料對於訪問受限網頁和定位不慎暴露的檔案或資訊是非常有用的。

/pentest/web/webscarab

# java –jar webscarab

使用：

1.開啟WebScarab，Tools –> Use full-featured interface，然後重啟

2.將瀏覽器設為代理模式，127.0.0.1:8008

 

代碼注入攻擊

解釋性語言與編譯性語言的不同點在於，解釋性語言只有執行之前才會產生機器代碼，而編譯性語言需要程式員編譯原始碼並產生可執行檔。當前的Web應用程式大多採用解釋性程式設計語言和用於儲存資訊的後台資料庫的架構模式。在如電子商務這樣的現代Web應用中，解釋性語言的工作就是結合程式員的初始工作和使用者的輸入，構建一系列可執行語句。

SQL注入攻擊：

SELECT * FROM users WHERE uname = ‘ ‘ or 1 = 1 – and pwd = ‘bt’

“*”   萬用字元，它通知SQL返回表中匹配記錄的所有列

等號右邊的一對單引號是自動加上的，表明查詢對象為字串

‘or 1 = 1 -- ‘   閉合了左邊的單引號，使查詢語句保持平衡。or 1 = 1使這條查詢語句總是“真”，則會返回所有列。--注釋之後的代碼。

 

XSS

跨站指令碼，是一個將指令碼程式注入Web應用程式中的過程。

注入的指令碼被儲存在原有的Web頁面中，所有訪問該Web頁面的瀏覽器都會運行或者處理這個指令碼程式。當注入指令碼實際上成為原始代碼的一部分時，跨站指令碼攻擊就發生了。

非持久化的跨站指令碼攻擊：客戶機將惡意指令碼發送給易受攻擊的伺服器，伺服器會將一個指令碼反射或反彈給使用者。在這種情況下，載荷（或者說指令碼）立刻就會被執行。這一攻擊過程，是在一次響應/請求裡發生的。不具有持久性。要想實施攻擊，只能通過電子郵件，即時資訊等方式將惡意URL發送給使用者，因此攻擊是在受攻擊者的瀏覽器上執行的。

持久化的跨站指令碼攻擊：惡意指令碼直接儲存到易受攻擊的伺服器上面。由於指令碼被儲存在伺服器上，因此任何訪問該Web應用的使用者都會觸發這個指令碼的執行。

 

WebGoat：操練平台

《滲透測試實踐指南：必知必會的工具與方法》-讀書筆記（四）基於Web的漏洞利用