Burp Suite基础

基础

Burp Suite是用于攻击Web应用程序的集成平台。它包含了许多工具，并为这些工具设计了许多接口，以促进加快攻击程序的过程。

所有的工具都共享一个能快速处理并显示HTTP消息，持久性，认证，代理，日志，警报的一个强大的可扩展框架。

Burp Suite所有功能的核心就是“HTTP代理”。他可以对HTTP流量进行个各种分析，从而方便我们挖掘Web漏洞。

官网：https://portswigger.net

OWASP

开放式Web应用程序安全项目(OWASP，Open Web Application Security Project)是以一个组织，它提供有关计算机和互联网应用程序的公正，实际，有成本效益的信息。其目的是协助个人，企业和机构来发现和使用可信赖软件。

OWASP每隔四年会发布一版十大最严重的Web应用安全威胁，即OWASP Top10

威胁细分

注入类威胁

注入类威胁产生的原因是Web应用程序没有将程序代码和用户提交的数据严格区分开来，将恶意用户提交的数据当做了一部分代码解析执行。注入类威胁轻则泄漏各种敏感信息，严重的将直接导致整个网站服务器被控制。

分类：SQL注入，XSS漏洞，文件上传，文件包含，文件下载，OS命令注入

SQL注入

原理

恶意用户提交的数据被Web应用程序当做数据库查询代码解析执行

危害

用户敏感信息，如账号密码，家庭住址，联系方式等泄露

XSS漏洞

原理

恶意用户提交的数据被Web应用程序当做HTML标签和JavaScript代码返回给浏览器解析执行。XSS又叫CSS（Cross Site Script），跨站脚本攻击。(存储型)

危害

窃取cookie，网站钓鱼，网站挂马

文件上传漏洞

原理

恶意用户上传的文件被Web应用程序当做脚本执行代码解析执行。

危害

置入WebShell，控制整个网站

文件包含漏洞

原理

Web应用程序执行的过程中，往往需要调用多个文件。恶意用户提交的数据被Web应用程序当做正常的需要调用的文件，从而造成文件包含漏洞。

危害

直入WebShell，控制整个网站，窃取网站敏感信息

任意文件下载漏洞

原理

Web应用程序往往会提供文件下载的功能，如果被下载的文件时黑客可以任意修改的，那么就会造成任意文件下载漏洞。

危害

窃取网站敏感信息

os命令注入

原理

Web应用程序会提供一些系统命令的接口，如果网站对用户提交的参数过滤不严格，那么就会把恶意用户提交的参数当成系统命令执行，从而造成命令执行漏洞。

危害

执行系统命令，网站被控制

信息泄露类威胁

信息泄露类威胁主要是由于Web应用组建（Web服务器，Web中间件，Web应用程序）配置错误或者设计缺陷造成的。通过这类问题，恶意攻击者能够获得目标服务器的各种敏感信息，进而为下一步的攻击埋下伏笔

分类：目录信息泄露，敏感文件泄露，弱口令漏洞，未授权访问泄露，敏感路径泄露

目录信息泄露

原理

Web应用中间件配置错误时，如果用户访问不存在索引文件(index.html,index.php等)的目录，就会直接显示该目录下所有的文件以及子目录。

危害

泄露网站路径，文件名等敏感信息

敏感文件泄露

原理

发布网站时，管理员往往会忘记删除网站开发是留下的包含网站敏感信息的各种文件，如网站源码压缩文件，.git，.bak，.svn等文件

危害

泄露网站源代码等敏感信息

弱口令漏洞

原理

弱口令简单来说就是容易被黑客猜解出来的口令，网站后台的登陆口令如果过于简单，就会被黑客猜解出来，从而造成弱口令漏洞

危害

网站敏感信息泄露，某些情况下可导致Web服务器被控制

未授权访问漏洞

原理

Web应用系统对管理后台，敏感API等没有进行有效的权限控制，从而造成未授权用户能够任意访问。

危害

网站敏感信息泄露

敏感路径泄露漏洞

原理

Web应用程序的管理后台，编辑器后台等敏感路径设置的过于简单，就会被黑客猜解出来从而造成敏感路径泄露漏洞

危害

网站敏感信息泄露

业务逻辑类漏洞

业务逻辑类威胁本质上属于业务设计缺陷，表现为设计者或开发者在思考过程中做出的业务流程存在明显或隐含的错误。恶意攻击者利用这些业务设计缺陷，通过篡改业务流程和数据，往往能达到是人员“意料之外”的效果

分类：订单金额任意修改，验证码判断缺陷，接口无限制枚举，cookie设计缺陷，密码找回设计缺陷

订单金额任意修改

原理

网站商品的订单处理的业务逻辑，信任了前端传入的金额参数，没有在服务端进行验证，导致恶意用户可以任意修改订单的金额

危害

任意修改商品订单

验证码判断缺陷

原理

用户在找回面，认证注册时，网站发送的验证按可以被恶意攻击者直接获取或者重复提交

危害

绕过验证码，任意修改密码

接口无限制枚举

原理

玩这个韩敏感接口，如登陆接口，验证码校验，优惠券校验等，没有做验证或者其他防止枚举的机制，容易遭到枚举攻击

危害

暴力破解账号密码，暴力枚举验证码

cookie设计缺陷

Web应用在设计用户登陆cookie时，没有严格遵循随机化的机制，而是采用了可预测的随机数或者直接使用账号，昵称等信息作为cookie，从而造成恶意用户可以伪造任意用户cookie

危害

登陆任意账号，泄露用户敏感信息

密码找回设计缺陷

原理

Web应用系统在设计密码找回时存在设计缺陷，比如没有采用安全的随机数作为密码找回凭证，导致该凭证可以被恶意用户预测，从而造成任意密码重置

危害

任意修改密码