常见攻击流量

一般基于waf流量审计时获得的是http流量

waf （ web application Firewall ）普及：

软 waf ：过滤规则写在代码中；

硬件 waf ： web app firewall ，做用于应用层（ http ），相当于流量先经过他，由他内置的规则库进行过滤等处理后再返回给用户

http 流量的过滤范围：请求中的（ GET\POST\COOKIE\HEADER ）

常见的 firewall 作用：一般是禁用端口或禁用 ip

下一代 firewall （ fw+waf+ips+av ）

过滤 osi7 层模型中的各层流量

ips 入侵防御系统

ids 入侵检测系统

基于ips&ids获取到的流量一般为完整tcp&udp流量

sql注入中常见的可替换位置：

select *from ① biao ① where ① ziduan=canshu order ① by

select *from ② biao ② where ② ziduan=canshu ② and ②

select *from ③ biao ③ where ③ ziduan=canshu ③ union ③select database() 常见替换方式：

①使用内联注释的方法（只要 /* ！ */ 叹号后的数字大于当前版之和 10000 且不超过 50000 左右都可作为内 联的开头）

可选择用注释替换空格符，仅再某些不安全的防护软件防护下可使用以下方式

或再 database 单词和（）直接替换即可，每一个函数于括号之间都可以这样做

and 连接其他语句时 :

sleep 每一个类似的函数都可以使用

id=-2%20union/*/?*!!!!/*/select%20database/*/?
*!!!!/*/(),group_concat(schema_name)/*/?*!!!!/*/from%20--
+%2f%2a~~%0ainformation_schema./*!schemata*/

再注释中使用内联注释将集体的信息带出来，注释和调用信息间用空白符于 + 之间添加垃圾字符即可

xss代码注入:

1、任意标签可使用事件的方式直接引入：

2、生僻标签（部份防护没有考虑周全）

<marquee onmouseover=console.log(1111)>touch me</marquee>

3、iframe标签引入有xss漏洞的页面，（被包含的网页由自身决定，并未插入标签的网页）

②可使用类似延时注入的方法：

setTimeout

③标签和事件中间的空格可用/替换

④

1、事件的属性值可使用unicode编码替换（任意位置均可）

替换方式，首先找到字母的 ascii 码

然后放到进制转换的工具中， 116 为 t 的 ascii 码，之后转化出来的结果使用 \u00 补齐即可

2、a标签中可使用base64编码处理uri地址

data:text/html;base64,xxxxxxxxx

⑤属性关键字

1、类似于sql注入，可用空白符，注释等方式填充空格，或空格可以存在的部位（具体位置为，I、标签和属性之间，II、属性和属性值之间，III、尽量避免属性于属性之间出现）

2、使用生僻方法 2、使用生僻方法

top

window

欲知后事如何，请看下章