weixin_45130489的博客

windows系统日志windows系统日志：命令eventvwr.exe查看日志缺失的危害不记录可审计的事件，例如登录、失败登录和高价值交易。警告和错误不会生成、不充分或不清楚的日志消息。不会监控应用程序和API的日志是否存在可疑活动。日志仅存储在本地。适当的警报阈值和响应升级流程没有到位或有效。动态应用程序安全测试工具（例如OWASP ZAP）的渗透测试和扫描不会触发警报。应用程序无法实时或接近实时地检测、升级或警告主动攻击。Apache日志服务器Apache日志记录服务：日志在

注入漏洞产生的原因：可控变量，带入数据库查询，变量未存在过滤或过滤不严谨。怎么挖掘：通过输入sql语句，尝试输入，然后发现页面的回显。怎么利用：确认有漏洞之后，通过sql语句获得数据库的版本，数据库的用户名，库名，表名，字段名，最后获得数据。难点：1.如何去判断一个网站是否存在注入漏洞，什么反应又代表不存在漏洞？2.在网站配备了防火墙的情况下，怎么绕过？方法是什么？注入流程：1.判断注入2.猜解列名数量（字段数） order by 用枚举法，试出错误与正常的临界值 ,假如判断出字段数量

OWASP之不安全的设计漏洞产生的原因：在开发软件时，在关键身份验证、访问控制、业务逻辑和关键流部位没有进行安全的设计。怎么发掘？业务逻辑的显性体现：1.支付逻辑 2.密码找回 3.验证码暴力破解 4.验证码的重复使用 5.验证码客户端回显6.验证码绕过 7.验证码自动识别怎么利用？发现这些漏洞之后，或者是可以获得管理员的账号密码或者是私密用户的账号密码或者是造成对网站的业务上的损害。1.支付逻辑漏洞：所有涉及购买、支付等方面的功能处就有可能存在支付漏洞。三个重要因素：用户、商品、商家

常见的加密方式Md5规律：0到9，a到z的随即组合SHA，后面数字越大密文越长，也是0-9，a-z的组合方式时间戳，时间加密完是一串数字URL编码：百分号加两位数字Base64：0-9，a-z,A-Z的编码组合，区分大小写，一般后面会跟等于号Escape：百分号后边是u开头的4位数字AES：输出base64或者16进制两种方式，并且可以设置密码，偏移量，数据块，填充4个模块的参数，是一种比较安全的加密方式。以为是base64但是解密出来时乱码，说明可能是AES如果想解密，必须知道密码和偏移

损坏的访问控制：访问控制强制执行策略，使用户不能在其预期权限之外采取行动。故障通常会导致未经授权的信息泄露、修改或破坏所有数据或执行超出用户限制的业务功能。用表现在网站上的效果区分，可以分为以下几种漏洞类型：越权，未授权访问，跨站请求伪造，敏感信息泄露，xss。1.未授权访问产生的原理：在攻击者没有获取到登录权限或未授权的情况下，不需要输入密码，即可通过输入网站控制台主页面地址或者不允许查看的连接便可进行访问，同时进行操作。怎么发掘？通过抓包工具（burpsuite、fiddler等），将抓取到