第4篇：基础入门~Web源码拓展

最新推荐文章于 2024-05-29 10:35:46 发布
最新推荐文章于 2024-05-29 10:35:46 发布
阅读量663 收藏 1
点赞数 1
分类专栏： 小迪安全 文章标签： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_42438245/article/details/119830081
版权

目录

前言

  WEB 源码在安全测试中是非常重要的信息来源，可以用来代码审计漏洞也可以用来做信息突破口，其中 WEB 源码有很多技术需要简明分析。比如：获取某 ASP 源码后可以采用默认数据库下载为突破，获取某其他脚本源码漏洞可以进行代码审计挖掘或分析其业务逻辑等，总之源码的获取将为后期的安全测试提供了更多的思路。

知识点

  • 关于 WEB 源码目录结构
  • 关于 WEB 源码脚本类型
  • 关于 WEB 源码应用分类，源码是干什么用的
  • 关于 WEB 源码其他说明

正文

  • 数据库配置文件、后台目录、模版目录、数据库目录等
    • 根据源码文件判断目录功能，template模板文件、数据库配置文件/data/config，有账号密码哦（很重要的文件）
      在这里插入图片描述
  • ASP、PHP、ASPX、JSP、JAVAWEB 等脚本类型源码安全问题
  • 代码代码在编写网站时，容易存在的问题。典型的漏洞参考网站：这是一个url，以后一一讲解
  • 社交、论坛、门户、第三方、博客等不同的代码机制对应漏洞
    • 源码在实现功能时使用的函数不同，书写的代码都不一样，出现的漏洞也都不一样，需要面对的目标的应用方向，着重针对漏洞的方向
  • 开源/未开源问题、框架非框架问题、关于 CMS 识别问题及后续等
    • 开源则可以查阅他人分享的漏洞分析等，不开源或者非框架则进行常规测试，使用框架则寻找框架的漏洞，CMS识别可以手动找、平台分析、工具解等
  • 关于源码获取的相关途径
    • 搜索，咸鱼淘宝，第三方源码站。各种行业使用源码的渠道各式。网上查找、二手网站售卖、第三方网站（灰色）、知情圈内人分享

总结：

  关注应用分类及脚本类型估摸出可能存在的漏洞（其中框架类例外（框架开发的，寻找框架的漏洞）），在获取源码后可进行本地安全测试（不接触代码）或代码审计，也可以分析其目录工作原理（数据库备份，bak 文件等（通过特有的工作机制，即，自带的苯分子功能将数据库文件备份在一个固定的文件夹，名字也不变等）），未获取到的源码采用各种方法想办法获取

需要做到：看到一条程序之后，心里有数，大致知道可能有什么漏洞，用该着重漏洞的发掘
WEB源码
目录结构
脚本类型
应用分类
其他补充
后台目录
模板目录
数据库目录
数据库配置文件
......
了解框架便于理解
ASP
PHP
ASPX
JSP
JAVAWEB
Python
......
数据库存储/解释或 编译型/语言安全
门户
综合类漏洞
电商
业务逻辑突出
论坛
xss/逻辑突出
博客
漏洞较少
第三方
据功能决定
其他
源码功能决定漏洞类型
框架或非框架
框架漏洞即开源或无框架漏洞
CMS识别
人工or工具or平台识别
开源或内部
开源则直接找漏洞或审计
源码获取
备份获取orCMS识别后获取or特定源码特定渠道
内部则常规渗透测试
......

目录结构：了解架构标语后便理解，四个目录要认清
脚本类型：先分辨
  不同的脚本写的源码的数据库的储存不一样
  脚本语言的解释和编译
  不同的脚本类型写出的源码，对应的安全问题不一样，安全漏洞也不一样。
应用分类：
  第三方：查询网站等
  源码的功能决定漏洞的类型
其他：
  CMS识别：判断网站采用什么程序搭建：可以自己研究或者借助他人分析分享的结果
  开源：知道源码，寻找资料
  内部程序则按部就班的测试（黑盒测试）

演示案例

案例1：ASP,PHP 等源码下安全测试

平台识别-某 CMS 无漏洞-默认数据库
平台识别-某 CMS 有漏洞-漏洞利用

内容管理系统（content management system，CMS）是一种位于WEB 前端（Web服务器）和后端办公系统或流程（内容创作、编辑）之间的软件系统。

源码漏洞演示：配置win2008服务器时远程连接

  • 演示XYCMS的查找漏洞的方式：网络上下载xycms的源码–>分析文件目录结构–>找到数据库文件目录–>/域名/xydata/xucms.mdb 下载文件 -->下载漏洞网站的数据库文件（前提是幸运的漏洞网站没有修改目录）–>再翻到管理入口登陆
  • metinfo建站系统，漏洞直接网络查找

cms识别

  • 使用工具。工具需要长期的更新和维护。工具原理：cms源码有特有的文件，通过扫描特有的文件判定是哪种cms。手动时，根据字典（迪师傅字典）中需要查询的文件下载，命令查看md5值对应的类别，可持续添加更新字典。
  • 使用网络平台识别：聚名、云悉指纹。可能收费、可能查不出来 草

操作XYCMS：

首先，下载源码文件- ->查看目录- ->找到了相关数据存储的目录：
在这里插入图片描述
听说是因为防火墙的缘故，其他端口不能随意访问，这里使用win2008下IIS7构建配置都为80端口
申请目录数据。iis7限定禁止访问.mdb的数据，只能看到它，不给下载
在这里插入图片描述
访问管理员登陆界面，登陆
在这里插入图片描述

metinfo：

在这里插入图片描述
这俩都妥妥的告知自己是cms

字典识别CMS

  • 使用工具工具需要长期的更新和维护
  • cms源码有特有的文件，通过扫描特有的文件判定是那种cms，小迪吧的字典根据字典中需要查询的文件下载，命令查看md5值

 使用命令：“ certutil -hashfile 文件名称.文件类型 MD5 ” 查看文件MD5值，比对指纹字典值查看是不是相应的

指纹字典仅供了解，个版本更新不一

案例2：源码应用分类下的针对漏洞

niushop 电商类关注漏洞点-业务逻辑（支付）

🌰：明显通过抓包看得到网站如何与后台提交数据，修改数据包购买量为-1。（找不到能用的niushop源码）

胡乱搜索查看到网站框架
在这里插入图片描述

案例3：简要目标从识别到源码获取

本地演示个人博客-手工发现其 CMS-漏洞搜索或下载分析
http://weipan.1016sangshen.cn/ 内部搭建的靶场
人工爆框架-搜索特定 url-获取其他相符站点-漏洞测试
借助特定行业源码或咸鱼进行搜索获取-本地搭建-代码审计或其他

在这里插入图片描述

  1. 然后再去百度，这种方法其实需要基础得有嗅觉，以前我也不知道zblogphp也是cms，我甚至都不知道cms
  2. 分析特有文件、扫描、平台等。网址出错看到报错里面说thinkPHP框架，即寻找框架漏洞

首先使用工具
在这里插入图片描述
搜索网站信息（这招较难）
在这里插入图片描述
菜鸟源码，付费的源码，但是或许真的有人用（币圈、微盘）

涉及资源

https://cnmmm.com
https://github.com/Lucifer1993/cmsprint
https://github.com/M4tir/Github-Monitor

廖一语山
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
菜鸟看源码之LinkedBlockingQueue
leilifengxingmw的博客
03-15 489
首先扯点别的：已经不记得上次是什么时候做仰卧起坐的了，现在重新开始锻炼起来，腹肌还是得保持的。但是刚做了两天就感觉小腹酸疼。做20个都得咬牙坚持。明天继续做。 今天分析一下LinkedBlockingQueue的源码。LinkedBlockingQueue 是基于链表的阻塞队列，按照先进先出的顺序来排列元素。默认长度可以达到Integer.MAX_VALUE 。也可以指定LinkedBlocki...
大二学生web期末大作业 在线电影网站 HTML+CSS+JS
HTML网页设计 专注大学生网页设计
09-18 6万+
📔网站布局方面：计划采用目前主流的、能兼容各大主流浏览器、显示效果稳定的浮动网页布局结构。📓网站程序方面：计划采用最新的网页编程语言HTML5+CSS3+JS程序语言完成网站的功能设计。并确保网站代码兼容目前市面上所有的主流浏览器，已达到打开后就能即时看到网站的效果。📘网站素材方面：计划收集各大平台好看的图片素材，并精挑细选适合网页风格的图片，然后使用PS做出适合网页尺寸的图片。📒网站文件方面：网站系统文件种类包含：html网页结构文件、css网页样式文件、js网页特效文件、images网页图片文件
web前端 基于html实现花店购物网站源码(HTML+CSS+JavaScript) 企业网站制作
最新发布
HTML网页设计 专注大学生网页设计
05-29 730
🌹 鲜花网页设计 、🌷鲜花商城网页制作、🌼在线花店网站、💐盆栽网、花卉网等网站的设计与制作。🏷️HTML鲜花网页设计，采用DIV+CSS布局，共有多个页面，排版整洁，内容丰富，主题鲜明，首页使用CSS排版比较丰富，色彩鲜明有活力。顶部导航及底部区域背景色为100%宽度，主体内容区域宽度🏅 一套优质的💯网页设计应该包含 (具体可根据个人要求而定)📔网站布局方面：计划采用目前主流的、能兼容各大主流浏览器、显示效果稳定的浮动网页布局结构。📓网站程序方面：计划采用最新的网页编程语言HTML5+CS
因泄露源代码被罚20万，判刑半年。
androidstudyroom的博客
05-09 2822
B站源码泄露事件刚被平息，又一类似事件被证实。 先来看看事情的大概经过: 2017年安全研究员在大疆的网络安全方面发现了一个严重的漏洞。这个漏洞能让攻击者获取到SSL证书的私钥，并允许他们访问存储在大疆服务器上的客户敏感信息，从而可能导致大疆服务器上的用户信息、飞行日志等私密信息能被下载。经过大疆公司的调查，这个漏洞是大疆的一名前员工通过一个计算机指令，将含有公司农业无人机的管理平台和农机喷洒...
Web实训项目--网页设计（附源码）
qq_64314976的博客
08-24 4万+
我们要使用这些知识实现一个简单的网页设计，利用HTML的a标签做文本内容跳转以及超链接的应用，CSS设计内容样式和图片、动画、视频的大小位置格式，JavaScript实现轮播图效果等。学习如何设计网页中的轮播图和动画效果，并掌握a标签文本内容跳转、超链接的应用、播放音乐与视频等操作。通过对Web知识内容的了解，我们掌握了HTML、CSS和JavaScript的基本知识以及利用它们实现一些简单的应用。1、使用Web知识实现一个简单的网页设计，利用HTML的a标签做文本内容跳转以及超链接的应用。
36个精美完整网站网页完整源码HTML+CSS+JS
叶绿体不忘呼吸
07-13 4万+
如果有搭建网站的需要，可以考虑使用云产品，而云产品现在比较推荐腾讯的，感兴趣的可以看看，现在有很多优惠https://curl.qcloud.com/CURGxRiw微信公众号：创享日记 发送：36 获取全部完整源码（打开.html文件均即可用） 以下列举前9个效果图，源码详见微信公众号下载①效果图 ②效果图 ③效果图 ④效果图 ⑤效果图 ⑥效果图 ⑦效果图 ⑧效果图 ⑨效果图
Java web的旅游网站（源码+文档）
liqz666的博客
06-08 3163
本系统采用Eclipse开发，仅支持Eclipse运行，不支持MyEclipse和IDEA运行，因为三者骨架不一致，强行导入运行可能会导致未知错误，若需要其他开发工具的可以联系我们
大学生静态HTML鲜花网页设计作品 DIV布局网上鲜花介绍网页模板代码 DW花店网站制作成品 web网页制作与实现
HTML网页设计
08-08 3978
🌹 鲜花网页设计 、🌷鲜花商城网页制作、🌼在线花店网站、💐盆栽网、花卉网等网站的设计与制作。🏷️HTML鲜花网页设计，采用DIV+CSS布局，共有多个页面，排版整洁，内容丰富，主题鲜明，首页使用CSS排版比较丰富，色彩鲜明有活力。顶部导航及底部区域背景色为100%宽度，主体内容区域宽度🏅 一套优质的💯网页设计应该包含 (具体可根据个人要求而定)📔网站布局方面：计划采用目前主流的、能兼容各大主流浏览器、显示效果稳定的浮动网页布局结构。📓网站程序方面：计划采用最新的网页编程语言HTML5+CS......
web源码获取
qq_58970968的博客
07-10 1819
一、知识点： ●关于WEB源码目录结构 ●关于WEB源码脚本类型 ●关于WEB源码应用分类 ●关于WEB源码其他说明 1.数据库配置文件，后台目录，模版目录，数据库目录等 2.ASP,PHP,ASPX,JSP,JAVAWEB等脚本类型源码安全问题 语言与框架（还包含内网渗透等web安全知识）：5. 语言与框架 — Web安全学习笔记 1.0 文档 (如果能得到源码，可以查看config.php，一般这个文件会有用户名和密码，找到后台管理登录界面后。。。。你懂得) 3.社交，论坛，门户，第三方，博客等不同
简单的Java web项目代码(8个）
liqz666的博客
11-01 2万+
引言：Java web项目主要采用mvc的的设计思想，系统主要采用java+jsp+servlet+mysql+eclipse实现，具有登陆、分页、导出excel，增删改查等功能,适合初学者，满足基本的实训需求，以下是推荐的几款，总有适合你的java web源码，用于学习非常好！
渗透测试-基础入门-web源码拓展_4
weixin_51446936的博客
06-27 953
一如既往的学习，一如既往的整理，一如既往的分享 一、前言 web源码在安全测试中是非常重要的信息来源，可以用来代码审计漏洞也可以用来做信息突破口，其中WEB源码有很多技术需要简明分析。 比如：获取ASP源码后可以采用默认数据库下载为突破，获取某其他脚本源码漏洞可以进行代码审计挖掘或分析其业务逻辑等，总之源码的获取将为后期的安全测试提供了更多的思路 二、知识点 2.1 关于WEB源码目录结构 注：这里以“BEESCMS企业网站管理系统”的源码为例 • admin---------------------
HTML5七夕情人节表白结婚邀请函网页制作(HTML+CSS+JavaScript)
HTML网页设计 专注大学生网页设计
09-25 6588
📒网站文件方面：html网页结构文件、css网页样式文件、js网页特效文件、images网页图片文件；📙网页编辑方面等任意html编辑软件进行运行及修改编辑等操作）。其中：（1）📜html文件包含：其中index.html是首页、其他html为二级页面；（2）📑 css文件包含：css全部页面样式,3D动态效果,雪花飘落等等（3）📄 js文件包含：页面炫酷效果实现。
源码学习：web server althttpd
weixin_43172531的博客
01-18 1024
轻量级 web 服务器，设计宗旨是追求简洁、安全和低资源占用。
大二Web期末作业课程设计（网页源码）——美食网站设计与实现（HTML+CSS+JavaScript）
网页设计与制作
03-29 4072
👨‍🎓静态网站的编写主要是用HTML DIV+CSS JS等来完成页面的排版设计👩‍🎓,常用的网页设计软件有Dreamweaver、EditPlus、HBuilderX、VScode 、Webstorm、Animate等等，用的最多的还是DW，当然不同软件写出的前端Html5代码都是一致的，本网页适合修改成为各种类型的产品展示网页，比如美食、旅游、摄影、电影、音乐等等多种主题，希望对大家有所帮助。 🎀 精彩专栏推荐👇🏻👇🏻👇🏻 🧡 【作者主页——🔥获取更多优质源码】 🧡 【web前端期末大作业—
webserver关键部分源码
weixin_46422747的博客
05-19 228
【代码】webserver关键部分源码。
分享两个完整javaweb项目源码
CKJCKJCHEN的博客
03-06 1万+
免费分享两个javaweb项目源码 获取链接：免费分享两个完整javaweb项目源码 需要自取 1.博客网站 这是一个类似于CSDN的博客网站，用户可以发表博客，智能检索博客，同时还带有文件上传与下载、在线预览等功能，方便大家实现资源共享；部分系统截图如下： 2.基于javaweb的众筹网 这个网站是帮同学做的一个毕业设计，参考的是目前主流的众筹网站，包括发起众筹项目、赞助某个项目、资金管理、智能检索等功能，部分截图如下图： ......
大学生网页设计制作作业实例代码 (全网最全,建议收藏) HTML+CSS+JS
热门推荐
HTML网页设计
10-03 24万+
临近期末，大一新生的各种考试和专业结课作业纷至沓来。web实训大作业、网页期末作业、web课程与设计、网页设计等，简直让人头大。你还在为网页设计老师的作业要求感到头大？网页作业无从下手？网页要求的总数量太多？没有合适的模板？等等一系列问题。你想要解决的问题，在这篇博文中基本都能满足你的需求, 废话不多说，直接看效果。📔网站布局方面：计划采用目前主流的、能兼容各大主流浏览器、显示效果稳定的浮动网页布局结构。📓网站程序方面：计划采用最新的网页编程语言HTML5+CSS3+JS程序语言完成网站的功能设计。并确
web期末作业网页设计html——我的家乡（网页源码）
网页设计与制作
03-18 4182
1网页简介：此作品为学生个人主页网页设计题材，HTML+CSS 布局制作,web前端期末大作业,大学生网页设计作业源码，这是一个不错的网页制作，画面精明，代码为简单学生水平, 非常适合初学者学习使用。2.网页编辑等任意html编辑软件进行运行及修改编辑等操作）。3.知识应用：技术方面主要应用了网页知识中的: Div+CSS、鼠标滑过特效、Table、导航栏效果、Banner、表单、二级三级页面等，视频、 音频元素 、Flash，同时设计了Logo（源文件）所需的知识点。
1000套web前端期末大作业 HTML+CSS+JavaScript网页设计实例 企业网站制作【建议收藏】
HTML网页设计
07-27 4万+
1.网页作品简介方面HTML期末学生结课大作业作品(HTML+CSS+JS)，响应式布局网站源码！兼容pc以及移动端，内涵js交互，ui交互，页面质量高非常适合，2.网页作品编辑方面此作品为学生个人主页网页设计题材，代码为A+学生水平所有编辑器均可使用）3.网页作品布局方面网页布局整体为LOGO、导航、主体内容布局。子页面多种布局，兴趣爱好内容使用图片列表布局，成绩页面插入了表格，联系我们使用图片对齐方式设置了左对齐。4.网页作品技术方面。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值