web安全初探

1：拖库（拼音：tuōkù；英文：Drag)；拖库一词多用于数据库程序员专业人士使用，语意：从数据库导出数据。很多时候数据库的资料需要导出来在别的地方使用，并且数据库资料可以导出好几种格式，例如：TXT，XLS等格式。

“拖库”的通常步骤为：

第一，黑客对目标网站进行扫描，查找其存在的漏洞，常见漏洞包括SQL注入、文件上传漏洞等。

第二，通过该漏洞在网站服务器上建立“后门(webshell)”，通过该后门获取服务器操作系统的权限。

第三，利用系统权限直接下载备份数据库，或查找数据库链接，将其导出到本地。

2：撞库

"指黑客通过收集互联网已泄露的用户和密码信息，生成对应的字典表，批量尝试登陆其他网站。很多用户在不同网站使用相同用户和密码，因此黑客可通过获取用户A网站的账户从而尝试登陆"

3：SQL注入

"通过把SQL命令插入到web表单、页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力。"

4：文件上传漏洞

一些web应用程序中允许上传图片，文本或者其他资源到指定的位置，文件上传漏洞就是利用这些可以上传的地方将恶意代码植入到服务器中，再通过url去访问以执行代码。

参考：http://www.freebuf.com/vuls/128846.html

5：MIME

MIME(MultipurposeInternet MailExtensions)多用途互联网邮件扩展类型。是设定某种扩展名的文件用一种应用程序来打开的方式类型，当该扩展名文件被访问的时候，浏览器会自动使用指定应用程序来打开。多用于指定一些客户端自定义的文件名，以及一些媒体文件打开方式。

服务器会将它们发送的多媒体数据的类型告诉浏览器，而通知手段就是说明该多媒体数据的MIME类型，从而让浏览器知道接收到的信息哪些是MP3文件，哪些是Shockwave文件等等。服务器将MIME标志符放入传送的数据中来告诉浏览器使用哪种插件读取相关文件

6：webshell

webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做为一种网页后门。黑客在入侵了一个网站后，通常会将asp或php后门文件与网站服务器WEB目录下正常的网页文件混在一起，然后就可以使用浏览器来访问asp或者php后门，得到一个命令执行环境，以达到控制网站服务器的目的。

顾名思义，“web”的含义是显然需要服务器开放web服务，“shell”的含义是取得对服务器某种程度上操作权限。webshell常常被称为入侵者通过网站端口对网站服务器的某种程度上操作的权限。由于webshell其大多是以动态脚本的形式出现，也有人称之为网站的后门工具。

7：SRC，SecurityResponse Center，安全应急响应中心

参考网站

http://www.wanfangdata.com.cn/details/detail.do?_type=perio&id=wlaqjsyyy201611005

8：POC

POC= Proof ofConcept中文意思是“观点证明”。这个短语并非仅仅在漏洞报告中使用，甲方在项目招标过程中也常常要求乙方提供POC，即证明你的方案或者产品能达到声称的功能或性能，漏洞报告中的POC则是一段说明或者一个攻击的样例，使得读者能够确认这个漏洞是真实存在的。EXP=Exploit的中文意思是“漏洞利用”。意思是一段对漏洞如何利用的详细说明或者一个演示的漏洞攻击代码，可以使得读者完全了解漏洞的机理以及利用的方法。

PoC通常是由攻击者或安全研究人员进行开发，然后发布出来，从而来验证某个安全漏洞的存在以及如何利用这个漏洞。在一些案例中，黑客通过发布PoC来推动对应产品厂商开发修复加固补丁。利用的POC主要针对的即是像RCE、溢出这种能获取到权限的这块。