D-river博客

sqlmap 是一款开源的渗透测试工具，可以自动化进行SQL注入的检测、利用，并能接管数据库服务器。它具有功能强大的检测引擎,为渗透测试人员提供了许多专业的功能并且可以进行组合，其中包括数据库指纹识别、数据读取和访问底层文件系统，甚至可以通过带外数据连接的方式执行系统命令。

序列化是将复杂的数据结构（如对象及其字段）转换为可以作为顺序字节流发送和接收的“更丝滑”格式的过程。将复杂数据写入进程间内存、文件或数据库例如，通过网络、在应用程序的不同组件之间或在API调用中发送复杂数据至关重要的是，当序列化一个对象时，它的状态也会被持久化。换句话说，对象的属性及其指定的值都会被保留。不安全的反序列化是指用户可控的数据被网站认证。这可能使攻击者能够操纵序列化对象，以便将有害数据传递到应用程序代码中。甚至可以用完全不同类的对象替换序列化对象。

文档对象模型（DOM）是网页上元素的Web浏览器分层表示。网站可以使用JavaScript来操作DOM的节点和对象，以及它们的属性。DOM操作本身不是问题。事实上，它是现代网站工作方式的一个组成部分。但是，不安全地处理数据的JavaScript可能会导致各种攻击。当网站包含JavaScript时，就会出现基于DOM的漏洞，该JavaScript接受攻击者可控制的值（称为源source），并将其传递到危险的函数（称为接收器sink要利用或缓解这些漏洞，首先熟悉源和汇之间的污染流的基础知识是很重要的。

在本文中，将解释如何操作WebSocket消息和连接，描述WebSocket可能出现的安全漏洞类型，并给出一些利用WebSocket漏洞的示例。WebSockets在现代Web应用程序中被广泛使用。它们通过HTTP发起，并在两个方向上提供具有异步通信的长期连接。WebSockets用于各种目的，包括执行用户操作和传输敏感信息。实际上，常规HTTP中出现的任何Web安全漏洞也可能与WebSockets通信有关。

API（应用程序编程接口）使软件系统和应用程序能够通信和共享数据。API测试非常重要，因为API中的漏洞可能会破坏网站机密性、完整性和可用性的核心方面。所有的动态网站都是由API组成的，所以像SQL注入这样的经典Web漏洞可以归类为API测试。在本主题中，我们将教您如何测试网站前端未完全使用的API，重点是RESTful和JSON API。还将教你如何测试可能影响内部API的服务器端参数污染漏洞。

NoSQL注入是指攻击者能够干扰应用程序对NoSQL数据库的查询的操作。NoSQL绕过身份验证或保护机制。提取或编辑数据。造成拒绝服务。在服务器上执行代码。NoSQL数据库以不同于传统SQL关系表的格式存储和检索数据。它们使用广泛的查询语言，而不是像SQL这样的通用标准，并且具有更少的关系约束。

信息泄露，是指网站无意中向用户泄露敏感信息。有关其他用户的数据，如用户名或财务信息敏感的商业或业务数据关于网站及其基础设施的技术细节泄露敏感的用户或业务数据的危险是相当明显的，但披露技术信息有时也同样严重。虽然其中一些信息的用途有限，但它可能是暴露其他攻击面的起点，这些攻击面可能包含其他有趣的漏洞。您能够收集的知识甚至可以在尝试构建复杂的高严重性攻击时提供拼图的缺失部分。有时，敏感信息可能会不小心泄露给只是以正常方式浏览网站的用户。

操作系统命令注入也称为shell注入。它允许攻击者在运行应用程序的服务器上执行操作系统（OS）命令，通常会完全危及应用程序及其数据。通常，攻击者可以利用操作系统命令注入漏洞来危害托管基础架构的其他部分，并利用信任关系将攻击转移到组织内的其他系统。

路径遍历也称为目录遍历。这些漏洞使攻击者能够读取运行应用程序的服务器上的任意文件。应用程序代码和数据。后端系统的凭据。敏感的操作系统文件。在某些情况下，攻击者可能能够写入服务器上的任意文件，从而允许他们修改应用程序数据或行为，并最终完全控制服务器。