42种常见网站漏洞，让你水得快速，水得专业

已于 2024-06-24 13:52:15 修改
阅读量912 收藏 27
点赞数 28
文章标签： 系统安全 web安全 python 网络安全 计算机网络 漏洞挖掘 数据挖掘
于 2024-06-24 12:01:36 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/jennycisp/article/details/139921302
版权

免责声明

由于传播、利用本公众号"零漏安全"所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,作者不为此承担任何责任,一旦造成后果请自行承担!如有侵权烦请告知,我们会立即删除并致歉谢谢！

碰瓷类型

  1. Nginx版本泄露

在这里插入图片描述

  1. tomcat默认报错页面

在这里插入图片描述

  1. Iis版本泄露

在这里插入图片描述

在这里插入图片描述

  1. jquery版本泄露

在这里插入图片描述

  1. X-Powered-By信息泄露

在这里插入图片描述

  1. X-Frame-Options响应头丢失

在这里插入图片描述

  1. Content-Security-Policy头缺失

在这里插入图片描述

  1. TRACE方法启用

在这里插入图片描述
在这里插入图片描述

  1. 使用有漏洞的组件

在这里插入图片描述

  1. 缓慢的HTTP拒绝服务攻击

在这里插入图片描述

  1. 目标服务器启用了不安全HTTP方法

在这里插入图片描述
在这里插入图片描述

  1. 缺少secure标识

在这里插入图片描述
在这里插入图片描述

  1. 敏感数据GET传输

在这里插入图片描述
在这里插入图片描述

  1. SSL证书无效

在这里插入图片描述

业务类型

  1. 弱口令

在这里插入图片描述

  1. 用户无限注册

在这里插入图片描述

  1. 登录可爆破

在这里插入图片描述
在这里插入图片描述

  1. 用户无限注册

在这里插入图片描述

  1. 短信无限重放

在这里插入图片描述

  1. 验证码不过期

在这里插入图片描述

  1. 测试账号未删除

在这里插入图片描述

  1. 账户枚举

在这里插入图片描述

  1. 预约信息重放

在这里插入图片描述

  1. 任意账户密码重置

在这里插入图片描述

漏洞类型

  1. 越权访问

在这里插入图片描述
在这里插入图片描述

  1. 存储型XSS

在这里插入图片描述

  1. 文件上传漏洞

在这里插入图片描述
在这里插入图片描述

  1. csrf跨站请求伪造

在这里插入图片描述
在这里插入图片描述

  1. 内网IP地址泄漏

在这里插入图片描述

  1. SQL注入

在这里插入图片描述
在这里插入图片描述

  1. http明文传输

在这里插入图片描述

  1. 目录遍历

在这里插入图片描述

  1. springboot内存快照文件泄露

在这里插入图片描述

  1. 后台源码泄露

在这里插入图片描述

  1. 页面源码泄露
    在这里插入图片描述

  2. 25端口邮件系统用户枚举

在这里插入图片描述

其他类型

  1. 后门存留

在这里插入图片描述

  1. 应用程序错误信息泄露

在这里插入图片描述

  1. tomcat默认报错页面

在这里插入图片描述

  1. weblogic默认报错页面

在这里插入图片描述

  1. Token弱算法

在这里插入图片描述
在这里插入图片描述

  1. 垃圾文件上传

在这里插入图片描述

漏洞挖掘怎么学？怎么挖漏洞？怎么渗透？

较合理的途径应该从漏洞利用入手，不妨分析一些公开的 CVE 漏洞。很多漏洞都有比较好的资料，分析研究的多了，对漏洞的认识自然就不同了，然后再去搞挖掘就会易上手一点！

俗话说：“磨刀不误砍柴工”，就是这么个理儿。

那么这篇文章就教大家怎么从零到挖漏洞一条龙学习！学到了别忘了给个赞

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

什么是漏洞挖掘

漏洞挖掘是指通过分析软件、系统或网络中存在的安全漏洞来发现并利用这些漏洞。漏洞挖掘是信息安全领域的一项重要工作，可以帮助企业和组织提高系统的安全性，避免黑客攻击和数据泄露。

漏洞挖掘的流程一般可以概括为以下几个步骤：

在这里插入图片描述

确定目标：确定要挖掘的软件或系统。这可能是一个应用程序、操作系统、网络设备或其他系统。

收集信息：收集有关目标的信息，包括架构、协议、版本和配置等。这些信息可以通过互联网搜索、手动扫描、自动化工具和其他途径获得。

分析漏洞：通过手动和自动化技术进行漏洞分析，识别潜在的漏洞类型和攻击面。漏洞类型可能包括缓冲区溢出、SQL 注入、跨站点脚本、文件包含、代码注入等等。

验证漏洞：验证已经识别的漏洞。这通常涉及到构建漏洞利用代码，并尝试在目标系统上运行以确定漏洞是否存在。

编写报告：对于已经验证的漏洞，需要编写漏洞报告。报告应该包括漏洞的描述、影响、利用难度和建议的修复方法等。

报告漏洞：将漏洞报告发送给目标系统的所有者或运营者。通常，这些信息将发送给该系统的安全团队或责任人。

跟踪漏洞：跟踪漏洞的修复进度，并监视其状态。如果漏洞得到修复，可以对修复进行验证以确保漏洞已被彻底解决。

需要注意的是，漏洞挖掘是一项需要长期持续学习和实践的工作。要成为一名优秀的漏洞挖掘者，需要不断学习新的技术和方法，并保持良好的思维习惯和创新能力。

学习漏洞挖掘的正确顺序

当然，学习漏洞挖掘之前，需要掌握以下几个方面的内容：

在这里插入图片描述

编程语言和计算机基础知识

在漏洞挖掘过程中，挖掘者需要编写代码来验证和利用漏洞，因此需要至少掌握一种编程语言，如 C、Python、Java 等。同时，还需要了解计算机的基础知识，例如计算机系统的组成结构、操作系统的原理、计算机网络的基本概念、数据库的工作原理等。如果没有这方面的基础知识，就很难理解漏洞挖掘中所需要的各种技术和工具。

安全基础知识

漏洞挖掘是一项安全工作，因此需要掌握一些安全基础知识，例如 Web 安全、网络安全、应用程序安全、二进制安全等。建议挖掘者先学习一些基础的安全知识，例如 OWASP Top 10 漏洞、常见的网络攻击技术和漏洞类型等，这可以帮助挖掘者更好地理解漏洞挖掘中所面临的问题和挑战。

漏洞挖掘工具

学习漏洞挖掘需要掌握一些常用的漏洞挖掘工具，例如 Burp Suite、Metasploit、Nmap、Wireshark、IDA 等。这些工具可以帮助挖掘者加速漏洞挖掘的过程，同时也能帮助挖掘者深入理解漏洞的原理和产生的原因。例如，Burp Suite 可以帮助挖掘者拦截和修改 HTTP 请求，Metasploit 可以帮助挖掘者构造攻击载荷等。

学习漏洞挖掘技巧和方法

学习漏洞挖掘需要了解一些常用的技巧和方法，如 Fuzzing、代码审计、反向工程、漏洞利用等。这些技巧和方法能够帮助挖掘者更快速地发现漏洞，并且深入理解漏洞的原理和利用方式。例如，Fuzzing 可以帮助挖掘者通过自动生成大量的输入数据，来测试程序是否存在漏洞，代码审计可以帮助挖掘者通过分析代码来发现漏洞等。

总的来说，学习漏洞挖掘需要综合掌握多方面的知识，包括编程、计算机基础知识、安全基础知识、漏洞挖掘工具以及漏洞挖掘技巧和方法。建议先从基础知识入手，逐步深入学习，不断实践，并在实践中发现和解决问题，才能逐渐成为一名优秀的漏洞挖掘者

五. 写在最后

希望这篇文章在可以帮助你解开一些对于漏洞挖掘的谜团。在学习和研究漏洞挖掘的过程中遇到困难并感到不知所措是很正常的。不过学习的过程就是这样，只有不断的去尝试才会进步。祝你在漏洞挖掘的路上走的越来越远。

《网络安全/黑客技术学习资源包》全套学习资料免费分享，需要有扫码领取哦！

在这里插入图片描述

网络安全技术库
关注
  • 28
    点赞
  • 踩
  • 27
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
ftp服务器文件有漏洞,ftp服务器常见漏洞
weixin_30152861的博客
08-12 2018
ftp服务器常见漏洞 内容精选换一换该任务指导用户通过漏洞扫描服务创建扫描任务。已获取管理控制台的登录帐号与密码。域名的认证状态为已认证。如果您的网站设置了防火墙或其他安全策略，将导致VSS的扫描IP被当成恶意攻击者而误拦截。因此，在使用VSS前，请您将以下VSS的扫描IP添加至网站访问的白名单中：49.4.90.25，49.4.31.144，49.4.52.215，49.企业主机安全是等保合规的...
网站漏洞模板(42个常见漏洞)
11-20
网站漏洞模板(42个常见漏洞)，内含42种常见网站漏洞，让你水得快速，水得专业 -- 注：碰瓷类型漏洞脚本WaterExp.Py请关注公众号”黑客start”回复：”碰瓷“ 进行获取
浅析SpringBoot框架常见未授权访问漏洞
道阻且长，行则将至。
02-23 5801
本文总结学习了 Swagger-UI、SpringBoot Actuator、Druid、Webpack 组件的未授权访问漏洞基本原理与漏洞探测方法，在介绍了几款自动化扫描工具的同时，也简要分析了 CVE-2022-22947 Spring Cloud Gateway RCE 漏洞。
网站10大常见安全漏洞及解决方案
liuhyusb的博客
04-01 771
一般来说牛逼点的地方都会通过安全设备来确保网络环境的安全，所以之前我们也都认为程序员不需要过多的考虑网站安全问题。实际上随着做了几个事业单位的网站之后，也逐渐发现有些方面还是需要程序员注意的。几乎每一个网站后台开发人员都听到的一个词，并且都很敏感，但是不知道是什么原因造成的很多程序员却在实际开发过程中经常忽视这个问题。前段时间部门一位新同事，据说是5年工作经验，在对他的代码做评审时，我们发现所有的DAO层实现都是直接拼接SQL和参数，总监多次提醒他这个问题，但他也没有发现，直到总监说出SQL注入这个词。
十大常见web漏洞及防范
热门推荐
姜亚轲的博客
07-29 6万+
十大常见web漏洞 一、SQL注入漏洞 SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、...
常见WEB漏洞原理分析
耶律大石的博客
08-09 5749
一、SQL注入漏洞 SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。 通常情况下，SQL注入的位置包...
常见web安全漏洞及修复建议
qq_27990381的博客
07-08 5985
WEB漏洞 高危漏洞 SQL Injection（SQL注入攻击） 漏洞描述 通过把SQL命令插入到Web表单递交或输入域名、页面请求的查询字符串中，最终达到欺骗服务器执行恶意的SQL命令。 示例： 以输入用户名、密码进行登录校验为例，当程序中存在SQL拼接时，可能发生的SQL注入攻击 代码中使用拼接SQL，验证用户是否存在 JdbcConnection conn = new JdbcConnection(); // 拼接SQL,引起 SQL 注入 String sql = "select * fr
十大常见web漏洞
WangYouJin321的博客
07-08 2044
参考https://blog.csdn.net/weixin_41656968/article/details/81270071 一、SQL注入漏洞 SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。 通常情况
常见漏洞类型汇总
随风而逝的博客
11-06 2万+
一、SQL注入漏洞           SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。   ...
web常见漏洞
阿布哥的读书笔记
04-20 1208
11年江湖11年情 很久没有来这里写写东西、发发牢骚了，
常见漏洞的防御措施整理
千寻的博客
06-10 3200
常见漏洞的服务措施整理，详细版。
Web常见十大漏洞.pdf
03-30
Web常见十大漏洞.pdf 在Web应用程序中，安全漏洞是非常常见的问题，以下是Web常见十大漏洞...Web应用程序的安全漏洞是非常常见的问题，开发者和管理员需要时刻注意和防范这些漏洞，以保护用户的隐私信息和网站的安全。
Python项目基于python的网站漏洞扫描系统+代码+开发文档
06-04
基于Python的网站漏洞扫描系统是一个自动化的安全工具，旨在帮助用户发现网站中存在的潜在安全漏洞。...该网站漏洞扫描系统通过自动化和智能化的方式，帮助用户快速发现网站中的安全漏洞，提高网站的安全性和稳定性。
Owasp Top10 漏洞笔记
08-27
8. 在网站发布之前建议使用一些专业的 SQL 注入检测工具进行检测，及时修补这些 SQL 注入漏洞。 工具 sqlmap 是一个常用的 SQL 注入检测工具，提供了多种命令参数，例如： * -u 指定目标 URL * -d 连接数据库 * --...
浅析计算机网络安全漏洞及防范措施.pdf
09-20
防火墙技术是其中一种常见的防护手段，包括过滤防护、代理技术和访控技术。过滤防护通过路由器筛选访问行为，但对隐蔽地址的防护能力有限。代理技术能直接分析数据并阻止外界访问，但通常局限于特定服务器区域。访控...
系统安全（补充）
m0_62207482的博客
06-22 523
拒绝服务漏洞（拒绝服务漏洞将导致网络设备停止服务，危害网络服务可用性） 旁路（旁路漏洞绕过网络设备的安全机制，使得安全措施没有效果） 代码执行（该类漏洞使得攻击者可以控制网络设备，导致网络系统失去控制，危害性极大） 内存破坏（内存破坏漏洞利用常会对路由器形成拒绝服务攻击） R1级IDC 99.5% R2级IDC 99.9% R3级IDC 99.99% Unix系统下文件的权限位共有十个：按照1333来划分。第1位代表文件类型；2~4位代表文件拥有者对于该文件所拥有的
数据泄露预防：网络安全的最佳实践
weixin_64392888的博客
06-21 614
通过实施上述最佳实践，组织和个人可以显著提高数据保护能力，降低数据泄露的风险。随着网络安全威胁的不断演变，我们需要持续关注新的安全技术和方法，不断更新和完善数据保护策略。本文将探讨预防数据泄露的最佳实践，帮助组织和个人建立起强大的网络安全防线。通过采取积极的预防措施和建立有效的应急响应机制，我们可以更好地保护我们的数字世界，享受安全、可靠的网络环境。因此，了解数据泄露的危害，增强防范意识，是预防数据泄露的第一步。对存储和传输的数据进行加密处理，即使数据被泄露，也无法被未授权者阅读。
CVE-2018-8120漏洞提权：Windows 7的安全剖析与实战应用
最新发布
weixin_43822401的博客
06-24 556
CVE-2018-8120是一个Windows 7操作系统的本地权限提升漏洞。攻击者利用此漏洞，可以在目标系统上执行提权操作，从而获得更高级别的访问权限。
怎么快速排查哪些接口有CSRF漏洞
03-22
可以通过以下几种方式快速排查哪些接口有CSRF漏洞： ...需要注意的是，CSRF漏洞是一种常见的安全漏洞，网站开发者应该在开发过程中注意防范，采取一些常见的防范措施，如使用CSRF token、限制Referer等。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

网络安全技术库

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值