抓不到本地靶场包的原因及解决方法

问题的发现

今天在用通过 PHP study 搭建的本地 pikachu 靶场进行暴力破解实验的时候,发现开了代理,但是怎么也抓不到包。一开始还以为是代理坏了,我又去云演平台的靶场测试一下,发现好着呢。我就很疑惑了,我以前在 pikachu 靶场抓过包的,为什么今天就不行了?

通过 http://127.0.0.1/pikachu/ 访问发现,brupsuite有数据包显示,但pikachu网页仍可正常显示,而不是正在加载状态。到底是怎么一回事呢?

为什么抓不到本地靶场的包

打开插件发现了这么一块
在这里插入图片描述
不代理的主机列表,说明与127.0.0.1(本地)的连接永不经过代理,当然抓不到包。

如何解决

最简单的方法就是通过局域网的ip地址访问本地靶场即可,通过 ipconfig 查到局域网ip地址。
在这里插入图片描述
接着访问192.168.244.1/pikachu即可

那我为啥以前能抓到包呢?因为我以前搭建的不是本地靶场,我是直接 /pikachu访问的(─.─||)

也是挺离谱,我居然今天才发现这个问题。

### 如何搭建XSS(跨站脚本攻击)靶场或测试环境 为了安全有效地研究和学习XSS漏洞,建立一个受控的实验环境至关重要。这不仅有助于理解不同类型的XSS攻击机制,还能提高防御措施的设计能力。 #### 选择合适的平台 对于初学者来说,可以选择已经预配置好的虚拟机镜像或者在线服务来快速启动实践环境。这些资源通常含了各种已知的安全缺陷供学员练习,其中括但不限于pikachu靶场[^1]。这样的平台能够提供一站式的解决方案,减少了自行构建所需的时间和技术门槛。 #### 自定义开发简易Web应用 如果希望更深入地探索特定场景下的XSS行为,则建议创建简单的自定义Web应用程序作为测试对象。此过程涉及编写HTML页面并嵌入PHP/Python等服务器端逻辑处理表单提交等功能。通过这种方式,可以根据具体需求调整代码中的潜在风险点用于教学目的。 #### 配置本地开发环境 - 安装必要的工具链如Apache/Nginx Web服务器、MySQL数据库管理系统以及编程语言解释器; - 使用Docker容器化技术简化部署流程,确保每次重启都能恢复到初始状态而不残留任何数据痕迹; - 开启浏览器开发者模式以便实时监控网络请求响应情况,并利用Burp Suite Pro代理分析流量特征; ```bash docker run --name some-mysql -e MYSQL_ROOT_PASSWORD=my-secret-pw -d mysql:tag ``` 上述命令展示了如何基于Docker运行一个带有指定标签版本的MySQL实例,方便快捷地为后续操作准备好了持久层组件。 #### 实施基本防护策略 即使是在内部网段内的演练也应遵循最小权限原则——即只赋予执行当前任务所需的最低限度访问权能。同时启用防火墙规则阻止外部未授权连接尝试接触敏感接口,从而降低意外泄露的风险。
评论 10
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值