从 Web 存储中提取信息

目录

  一、启动owasp靶机环境

1.登录owasp靶机

2.浏览器登入靶机IP，转到 Mutillidae II | HTML5 | HTML5 Web Storage(存储) | HTML 5 Storage

二、 从 Web 存储中提取信息案例

（1）打开开发人员工具，转到 Storage(存储)选项卡，再转到 Local Storage(本地存

储)并选择靶机地址，可以看到三个值：

（2）现在，切换到 Session Storage(会话存储)并选择服务器地址，可以看到四个值，其中一个称为Secure.AuthenticationToken：

（3）在同一浏览器上，打开一个新选项卡，然后转到 BodgeIt（http://__/bodgeit/），__处填靶机地址。

（4）知道 BodgeIt 的搜索易受 XSS 攻击，因此输入以下有效载荷，在搜索框中执行它：

（5）现在，尝试使用会话存储：

，发现无法访问会话存储

（6）由于无法从其他窗口访问会话存储，请返回 MutillidaeII 选项卡并转至 OWASP 2013 | XSS | Reflected(First Order)(反映的第一顺序) | DNS Lookup(DNS 查找)。

（7）在"Hostname/IP"字段中，输入前面的有效内容并单击"Look DNS"(查找 DNS)按钮：

三、总结 

---

在 HTML5 之前，Web 应用程序在用户计算机中持久或基于会话存储信息的唯一方法是通过 cookie。在这个新版本的语言中，增加了新的存储选项，称为 Web 存储，可以分为本地存储和会话存储。 这些允许应用程序使用 JavaScript 从客户端（浏览器）存储和检索信息，并且在本地存储的情况下或在会话存储的情况下保留此信息直到显式删除，直到保存它的选项卡或窗口关闭为止。

  一、启动owasp靶机环境

1.登录owasp靶机

2.浏览器登入靶机IP，转到 Mutillidae II | HTML5 | HTML5 Web Storage(存储) | HTML 5 Storage

二、 从 Web 存储中提取信息案例

结果截图并作必要的说明。

（1）打开开发人员工具，转到 Storage(存储)选项卡，再转到 Local Storage(本地存

储)并选择靶机地址，可以看到三个值：

（2）现在，切换到 Session Storage(会话存储)并选择服务器地址，可以看到四个值，其中一个称为Secure.AuthenticationToken：

（3）在同一浏览器上，打开一个新选项卡，然后转到 BodgeIt（http://__/bodgeit/），__处填靶机地址。

（4）知道 BodgeIt 的搜索易受 XSS 攻击，因此输入以下有效载荷，在搜索框中执行它：

<script>alert(window.localStorage.MessageOfTheDay);</script>

（5）现在，尝试使用会话存储：

<script>alert(window.sessionStorage.getItem("Secure.AuthenticationToken"));</script>，发现无法访问会话存储

（6）由于无法从其他窗口访问会话存储，请返回 MutillidaeII 选项卡并转至 OWASP 2013 | XSS | Reflected(First Order)(反映的第一顺序) | DNS Lookup(DNS 查找)。

（7）在"Hostname/IP"字段中，输入前面的有效内容并单击"Look DNS"(查找 DNS)按钮：

三、总结 

 Web信息的爆炸性增长，给我们带来了获取更多信息的机会，同时，也增加了在纷繁复杂的Web信息库中准确地获取信息的困难。例如，使用搜索引擎搜
索信息时，返回信息成千上万，其中包含大量无用甚至是错误的信息，进行人工挑选要耗费时间和精力。另外，由于网页的编写方式，编写风格各种各样，使得所搜集的信息也不适于结构化存储。本文提出了一种基于DOM[1]的Web信息提取方法，利用DOM提取信息，并进行相关信息源的搜索，实现信息的精确定位。
将信息从Web网页中抽取出来。主要是由包装器(Wrapper)来完成。所谓包装器其实是一个软件程序，这个程序是由已经制定好的一系列信息抽取规则和使用这些规则的程序构成。对于用户特定信息源的查询请求，从Web页面的信息源找出相关有用的数据抽取出来，并转换为用规定的格式描述的数据，返回给用户。一个包装器一般针对某一种特定的信息源中的一类页面。从多个不同信息源中抽取数据，需要一套的分装器程序库。
Web抓取常用模块
webbrower：打开浏览器获取指定页面。
requests：从网上下载文件和网页。
Beautiful Soup：解析HTML，即网页编写的格式。
Selenium：启动并控制浏览器，可以模拟鼠标在这个网页上点击。