【Burp入门第十九篇】使用BurpSuite实现XXE+点击劫持+实战案例

已于 2024-05-24 14:43:38 修改
阅读量585 收藏 1
点赞数
分类专栏： BurpSuite入门教程 文章标签： Burpsuite 渗透工具
于 2024-04-07 10:21:24 首次发布
该原创文章未经本人许可，不得用于商业用途。未经授权不得转载，否则保留追究法律责任的权利。
本文链接：https://blog.csdn.net/2301_77485708/article/details/137432012
版权
本文介绍了如何使用Burp Suite进行XXE和点击劫持漏洞的检测。首先，通过主动扫描和手动测试展示了XXE漏洞的探测过程，详细解释了XML注入的原理。接着，阐述了利用Burp Suite发现并模拟点击劫持的过程，包括扫描、设置Clickbandit、执行攻击脚本等步骤，最后展示了点击劫持的效果。
摘要由CSDN通过智能技术生成

Burp Suite是一款功能强大的渗透测试工具，被广泛应用于Web应用程序的安全测试和漏洞挖掘中。
本专栏将结合实操及具体案例，带领读者入门、掌握这款漏洞挖掘利器
读者可订阅专栏：【Burp由入门到精通 |CSDN秋说】

在这里插入图片描述

XXE

XXE漏洞的原理：攻击者通过注入特殊的XML实体来引用外部资源，比如本地文件系统中的文件。从而读取服务器上的敏感文件。

【1】Burp主动扫描

将条目发送至主动扫描：

在这里插入图片描述

仪表盘扫描出XML注入漏洞：

了解本专栏 订阅专栏 解锁全文 超级会员免费看
秋说
关注
专栏目录
订阅专栏
《WEB安全渗透测试》（35） 使用Burp Clickbandit测试点击劫持
午夜安全
02-08 2279
点击劫持指的是，通过覆盖不可见的框架误导受害者点击，虽然受害者点击的是他所看到的网页，但其实他所点击的是被黑客精心构建的另一个置于原网页上面的透明页面。Burp Clickbandit 是用于生成点击劫持攻击的工具，当发现可能容易受到点击劫持的网页时，可以使用 Burp Clickbandit 发起攻击，并确认可以成功利用此漏洞。Burp Clickbandit 使用 JavaScript 在你的浏览器中运行，它适用于除 Microsoft IE 和 Edge 之外的所有现代浏览器。
深入理解点击劫持（Clickjacking）漏洞及其防御
最新发布
TechEnthusiast的博客
08-29 90
点击劫持，也称为UI覆盖攻击或界面伪装攻击，是一种视觉欺骗类的网络攻击。攻击者通过在看似无害的网页上覆盖一个透明的层，诱导用户在不知情的情况下点击隐藏的、可能有害的元素。
【burpsuite安全练兵场-客户端14】点击劫持-5个实验（全）
wangluoanquan111的博客
01-26 1908
blog.csdnimg.cn/3e1c80dc452343c9b3e29c5030fa90b1.png)博主：网络安全领域狂热爱好者（承诺在CSDN永久无偿分享文章）。!blog.csdnimg.cn/3e1c80dc452343c9b3e29c5030fa90b1.png)殊荣：CSDN网络安全领域优质创作者，2022年双十一业务安全保卫战-
点击劫持
giun的博客
03-04 484
一、前置知识 首先介绍下html下的iframe标签的作用： 可以创建包含另一个文档的内联框架。 例如下面这个代码。运行下面这个网页，发现他和网易安全中心的页面几乎一样，除了url不一样 <!DOCTYPE html> <html> <meta http-equiv="Content-Type" content="text/html; charset=utf-8"/&...
点击劫持ClickJacking+HTML5
zcc1414的专栏
09-25 1186
学习笔记而已 ～～～～～～～～～～～～～～～～～～～～～～～～～～
Burpsuite官方实验室之点击劫持
tpaer的博客
11-17 2468
这是BurpSuit官方的实验室靶场，以下将记录个人点击劫持共5个Lab的通关过程。
Xray使用的经验分享（xray+burp的使用[套娃测试]）
AerYinan的博客
12-23 1万+
xray是一种功能强大的扫描工具。xray 社区版是长亭科技推出的免费白帽子工具平台，由多名经验丰富的安全开发者和数万名社区贡献者共同打造而成。有趣的功能自己的安全评估工具,，支持常见的web安全问题扫描和自定义po
[网络安全自学篇] 四十八.Cracer第八期——(1)安全术语、Web渗透流程、Windows基础、注册表及黑客常用DOS命令
杨秀璋的专栏
02-21 2万+
这是作者的网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您们喜欢，一起进步。前文分享了微软证书漏洞（CVE-2020-0601），并详细讲解了Windows验证机制、可执行文件签名复现及HTTPS劫持。本文将分享另一个主题——Cracer教程，第一篇文章将详细讲解安全术语、Web渗透流程和Windows基础、注册表及黑客常用DOS命令。基础性文章，希望对您有所帮助。
[网络安全自学篇] 二十五.Web安全学习路线及木马、病毒和防御初探
热门推荐
杨秀璋的专栏
11-12 3万+
这是作者的系列网络安全自学教程，主要是关于网安工具和实践操作的在线笔记，特分享出来与博友共勉，希望您们喜欢，一起进步。前文分享了分享机器学习在安全领域的应用，并复现一个基于机器学习（逻辑回归）的恶意请求识别。这篇文章简单叙述了Web安全学习路线，并实现了最简单的木马和病毒代码，希望对读者有所帮助。
[网络安全自学篇] 五十六.i春秋老师分享小白渗透之路及Web渗透技术总结
杨秀璋的专栏
03-05 2万+
这是作者的网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您们喜欢，一起进步。前文讲解了Windows漏洞利用知识和DEP堆栈执行保护机制，通过构造ROP链来绕过DEP保护，并编写漏洞利用脚本并实现自动化攻击。本文将分析i春秋YOU老师的小白渗透之路，并结合作者系列文章总结Web渗透技术点，非常适合初学者学习，希望对您有所帮助~
burpsuite靶场——XXE
qq_61768489的博客
12-26 1370
XML全称是可扩展标记语言，是用来存储和传输数据的一种数据格式，结构上和HTML类似，但是XML使用的是自定义的标签名，XML在Web早期中比较流行，现在开始流行JSON格式的数据了。XML实体是一种表示数据项的方式，比如用实体< and >表示符号，XML用实体来表示XML标签。DTD全称是document type definition，其可以定义XML文档的结构、它可以包含的数据类型和其他项目。DTD在XML文档开头以可选DOCTYPE节点中声明。
原来我一直被骗了！Burp suite诱导劫持攻击【附工具】
jijisaq的博客
04-20 1095
一、点击劫持点击劫持是一种基于界面的攻击，用户通过点击诱饵网站中的一些其他内容被诱骗点击隐藏网站上的可操作内容。举例来说，一个网络用户可能会访问一个诱饵网站（可能是通过电子邮件提供的链接），并点击一个按钮以赢取奖品。然而，他们可能会在不知情的情况下点击了另一个隐藏按钮，导致了另一个网站上的帐户被用来支付款项。这就是点击劫持攻击的一个例子。
点击劫持漏洞原理和复现
weixin_54438700的博客
05-20 4075
一、漏洞原理 点击劫持（Clickbandit），主要是利用HTML中iframe便签可以透明的属性进行利用攻击，其原理是通过在原本的网页上覆盖透明的框架并使受害者在不知情的情况下进行点击。漏洞主要是由于未对referer字段来源进行检验。常常配合csrf和xss。 图中，攻击者在原本网站上覆盖一个透明框架，受害者正常访问网站A，就会点击到这个透明框架B。攻击者常常利用该漏洞诱导受害者点击关键位置进行一些操作，比如转账、购买等危险操作。 二、漏洞复现 1.借助burpsuite工具，选择Clickb
XXE（外部实体注入）| PortSwigger（burpsuite官方靶场）| Part 1
bin789456的博客
02-25 5080
写在前面 这个系列开始写写XXE相关的东西，这里时第一部分，相关资料及使用靶场如下： https://www.w3schools.com/xml/ https://portswigger.net/web-security/xxe 为了更方便你检索题目且由于是国外网站，会带有一定外语及翻译，开始吧 Exploiting XXE using external entities to retrieve files（利用外部实体利用XXE来检索文件） 打开环境 是一个商店页面的模拟，先找找可疑的点吧，点进商品
XXE（外部实体注入）| PortSwigger（burpsuite官方靶场）| Part 3
bin789456的博客
03-07 969
XInclude attacks 一些应用程序接收客户端提交的数据，在服务器端将其嵌入到 XML 文档中，然后解析该文档。当客户端提交的数据被放入后端 SOAP 请求中时，就会出现这种情况的一个示例，该请求随后由后端 SOAP 服务处理。 在这种情况下，您无法执行经典的 XXE 攻击，因为您无法控制整个 XML 文档，因此无法定义或修改DOCTYPE元素。但是，您也许可以XInclude改用。XInclude是 XML 规范的一部分，它允许从子文档构建 XML 文档。您可以XInclude在 XML
XXE（外部实体注入）| PortSwigger（burpsuite官方靶场）| Part 2
bin789456的博客
03-03 589
Blind XXE with out-of-band interaction via XML parameter entities（通过 XML 参数实体进行带外交互的盲 XXE）
BurpSuite全攻略：从入门到精通实战教程
7. 实战应用：通过实战案例展示如何使用BurpSuite进行Web Services测试、自动化SQL注入、XSS检测以及安卓应用测试。 8. 进阶技巧：结合PhantomJS和Sqlmap等工具，提升渗透测试的效率。 9. 技术挑战：针对遇到的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

秋说

感谢打赏，祝你平安喜乐。

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值