sigali-CSDN博客

原创 8、弱口令漏洞复现

8、弱口令漏洞复现弱口令(weak password) 没有严格和准确的定义，通常认为容易被别人（他们有可能对你很了解）猜测到或被破解工具破解的口令均为弱口令。弱口令指的是仅包含简单数字和字母的口令，例如“123”、“abc”等，因为这样的口令很容易被别人破解，从而使用户的互联网账号受到他人控制，因此不推荐用户使用。我们使用DVWA靶场进行测试。安全等级：LOW在Brute Force模块进行测试弱口令：用户名和密码随便填写一个，然后使用burp抓包。，然后发送到Intruder模块。进入到

2021-03-17 15:57:23 1126

原创 7、csrf漏洞复现

7、csrf漏洞复现csrf全名为跨站请求伪造，是一种对网站的恶意利用，虽然听起来和xss很像，但是它们俩还是有很大的区别的。xss窃取了用户的cookie身份认证信息，而csrf没有窃取登录凭证，仅仅是“冒用”。例如：一个有csrf漏洞的A网站，网站B是攻击者构造的一个恶意网站，当用户没有退出A网站，或者用户登陆A网站的cookie没有过期，只要在同一个浏览器中打开这个网站B，攻击者就可以利用用户的身份进行用户才能进行的操作了。这里我们用DVWA的靶场：LOW等级抓包后，去掉Referer字段

2021-03-17 15:24:10 1269

原创 6、未经授权访问漏洞

6、未经授权访问漏洞复现在XSS学习过程中都有一个cookie来判断是否登录。未授权访问漏洞就是，在不登陆的情况下也能访问。分两种类型：一、完全未授权访问完全没有判断。要找这种漏洞，必须的获得后台名称，用御剑扫描、inurl找、burp中放php字典爆破页面信息（index.php之类的）二、条件型未授权访问后端程序未判断某个参数，造成逻辑上的错误，从而可以访问。漏洞复现：一、完全未授权访问http://www.fsnmmaterials.com/admin/1、点进页面，看

2021-03-16 22:27:36 1493

原创 5、越权访问漏洞

5、越权访问漏洞①越权访问漏洞分为平行越权和垂直越权两种平行越权就是同等级的用户之间权限的利用，比如user1对user2的某个权限进行不正当的利用，就可以做到user2才能做到的事情，比如登录user2的账户。垂直越权就是两个不同等级之间权限的利用，比如user用户找到了admin管理员的一个权限漏洞，那么利用这个漏洞就可以做到只有admin才能做到的事。②网站的权限划分user用户组：普通用户组，用户可以运行经过验证的应用程序，Users组是最安全的组，因为分配给该组的默认权限

2021-03-16 14:00:02 786

原创 4、文件上传漏洞复现

4、文件上传漏洞复现4.1、实验步骤1）部署网站2）文件上传功能测试3）上传漏洞攻击(1) 设置代理(2) MIME上传漏洞攻击(3) 0x00截断路径上传漏洞攻击

2021-03-16 13:43:43 244

原创 3、文件包含漏洞

3、文件包含漏洞3.1、文件包含漏洞简介文件包含函数的参数没有经过过滤或者严格的定义，并且参数可以被用户控制，如果文件中存在恶意代码，无论文件是什么类型，文件内的恶意代码都会被解析并执行。3.2、文件包含漏洞常见函数PHP中的文件包含函数有以下4中：（1）include()（2）include_once()（3）require()（4）require_once()3.3、无限制本地文件包含漏洞无限制本地文件包含漏洞是指代码中没有包含文件指定的前缀或者.php、.html等扩展名，因此

2021-03-16 13:31:45 199

原创 2、文件上传漏洞

2、文件上传漏洞文件上传漏洞产生的原因是：应用程序中存在上传功能，但是对上传的文件没有经过严格的检验，导致攻击者可以上传木马文件到服务器。2.1、文件名过滤绕过JS验证代码通过黑名单的方式判断文件上传的类型，我们可以上传黑名单之外的文件类型绕过文件上传验证。文件名过滤绕过的过程如下：（1）将木马文件1.php的扩展名改为phP,进行上传（2）test.phP上传成功。（3）test.phP可以正常解析。2.2、Content-Type过滤绕过我们以DVWA靶场中文件上传为

2021-03-16 12:06:55 184

原创 1、SQL注入漏洞

1、SQL注入漏洞1.1、SQL注入漏洞产生原因及危害SQL注入漏洞是指攻击者通过浏览器或者其他客户端将恶意SQL语句插入到网站参数中，而网站应用程序未对其进行过滤，将恶意SQL语句带入数据库使恶意SQL语句得以执行，从而使攻击者通过数据库获取敏感信息或者执行其他恶意操作。SQL注入漏洞可能会造成服务器的数据库信息泄露、数据被窃取、网页被篡改等！！二级标题三级标题四级标题五级标题六级标题。...

2021-03-14 13:49:13 2954

sigali的博客