Day04 基础入门-WEB源码扩展

Day04 基础入门-WEB源码扩展

声明：本文章仅仅是个人学习笔记,仅供交流学习使用，请勿用于非法用途

——小迪web安全渗透培训视频笔记

前言

WEB 源码在安全测试中是非常重要的信息来源，可以用来代码审计漏洞也可以用来做信息突破口，其中 WEB 源码有很多技术需要简明分析。比如：获取某 ASP 源码后可以采用默认数据库下载为突破，获取某其他脚本源码漏洞可以进行代码审计挖掘或分析其业务逻辑等，总之源码的获取将为后期的安全测试提供了更多的思路。

内容

• 关于WEB源码目录结构
• 关于WEB源码脚本类型
• 关于WEB源码应用分类
• 关于WEB源码其它说明

#数据库配置文件，后台目录，模板目录，数据库目录等

#ASP,PHP,ASPX,JSP,JAVAWEB等脚本类型源码安全问题

#社交，论坛，门户，第三方，博客等不同的代码机制对应漏洞

#开源，未开源问题，框架非框架问题，关于CMS识别问题及后续等

#关于源码获取的相关途径：搜索，咸鱼淘宝，第三方源码站，各种行业对应

CMS识别方法

网站标识

工具识别

在线CMS识别平台

特殊文件比对md5值

• 手工识别

  在网站上有 CMS 详细信息（类型以及版本号等）

• 工具识别

  利用一些CMS工具进行识别

• 在线CMS识别平台

  https://www.yunsee.cn

  http://whatweb.bugscaner.com

• 特殊文件比对md5值