2015年11月_whackw

转载 Page Object Model (Selenium, Python)

We have come a long way since our post on implementing the Page Object Model- Implementing the Page Object Model (Selenium + Python)While the above post is useful and we rank high on Google,

2015-11-29 22:05:17 1053

转载渗透测试中常用的命令总结

转载的：原文地址：http://www.lenhook.com/post-121.htmlping 域名/ip 测试本机到远端主机是否联通。dig 域名/ip 查看域名解析的详细信息。host -l 域名 dns服务器传输zone。扫描nmap:-sS 半开扫描TCP和SYN扫描。-sT 完全TCP连接扫描。-sU UDP扫描

2015-11-25 23:20:55 1059

转载利用arpspoof和urlsnarf 进行ARP嗅探

地址解析协议 (ARP, Address Resolution Protocol) 是如何将网络设备的MAC地址和其IP地址关联起来的，这样在同一个局域网内的设备就能相互知道彼此的存在。ARP基本上就是一种网络上的点名。ARP，一个十分简单的协议，仅仅只包含了4种消息类型：1. ARP请求。计算机A询问整个局域网，“Who has this IP address?” (“谁的IP

2015-11-25 23:19:12 4964

转载 Scrapy throws ImportError: cannot import name xmlrpc_client

I've just fixed this issue on my OS X.Please backup your files first.sudo rm -rf /Library/Python/2.7/site-packages/six*sudo rm -rf /System/Library/Frameworks/Python.framework/Versions/2.7/E

2015-11-25 12:53:38 909

转载 Tcp 断开连接(重要)

这篇还不错的文章附上地址：http://www.cppblog.com/toMyself/archive/2010/08/11/123072.htmlTCP状态转移要点 TCP协议规定，对于已经建立的连接，网络双方要进行四次握手才能成功断开连接，如果缺少了其中某个步骤，将会使连接处于假死状态，连接本身占用的资源不会被释放。网络服务器程序要同时管理大量连接，所以很有必要保证

2015-11-24 20:54:52 790

转载 Python实现SYN Flood攻击

0×00 背景SYN Flood是当前最流行的DoS（拒绝服务攻击）与DDoS（分布式拒绝服务攻击）的方式之一，这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，从而使得被攻击方资源耗尽（CPU满负荷或内存不足）的攻击方式。0×01 Code本文章的目是介绍使用python构造packet的方法。使用raw socket来发送packets。该程序只适用于Li

2015-11-24 20:47:38 6496

转载 TCP洪水攻击（SYN Flood）的诊断和处理

攻击原理：SYN Flood是当前最流行的DoS（拒绝服务攻击）与DDoS（分布式拒绝服务攻击）的方式之一，这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，常用假冒的IP或IP号段发来海量的请求连接的第一个握手包（SYN包），被攻击服务器回应第二个握手包（SYN+ACK包），因为对方是假冒IP，对方永远收不到包且不会回应第三个握手包。导致被攻击服务器保持大量SYN_RECV状态的

2015-11-24 20:39:19 559

转载 SSL构建单双向https认证！https部署及注意事项！

1. SSL基本介绍我们常常在使用网上银行时看到的连接都是以“https”开始的，那么这个https是什么呢？这其实是表示目前连接使用了SSL进加密，能保证客户端到服务器端的通信都在被保护起来，那么浏览器是如果实现的呢？下面让我们来介绍一下SSL基本的实现方法。首先我们有两种基本的加解密算法类型：对称加密，非对称加密（公私钥加密），现在介绍一下这两种加密算法的特点：对称加密：密钥只有

2015-11-24 20:16:47 534

转载简单分析一个通过 js 劫持进行案例

http://lcx.cc/?i=2851某年、某月、某日，某事、某刻、某分、某秒，某人、某站、某代码的分析……起因如下，在某时某刻，某人发过来一站及一段代码，然后求分析……目标地址：http://upangu.com/目标代码：某人提出疑问：这段代码查看源代码是不存在的，但是在chrome的审查元素下能查到，为啥啊？查看源文件，不存在该

2015-11-19 10:59:54 947

转载 Burp Suite使用介绍

Getting StartedBurp Suite 是用于攻击web 应用程序的集成平台。它包含了许多工具，并为这些工具设计了许多接口，以促进加快攻击应用程序的过程。所有的工具都共享一个能处理并显示HTTP 消息，持久性，认证，代理，日志，警报的一个强大的可扩展的框架。本文主要介绍它的以下特点：1.Target(目标)——显示目标目录结构的的一个功能2.Proxy(代理)——拦截

2015-11-18 09:26:03 1802

转载 Burpsuite sqlmap插件

之前用过sqlmap-GUI感觉还行，今天无意中看到这个分享出来。和sqlmap-GUI差不多。插件下载地址：http://code.google.com/p/gason/downloads/list测试环境：bt启动方法:java -classpath gason-0.9.5.jar:burpsuite_free_v1.5.jar burp.StartBurp

2015-11-18 09:24:22 1581 1

转载内网渗透一：利用Xss漏洞进入内网

0x01:科普Beef目前欧美最流行的WEB框架攻击平台，全称：The Browser Exploitation Framework Project. Beef利用简单的XSS漏洞，通过一段编写好的JavaScript（hook.js）控制目标主机的浏览器，通过目标主机浏览器获得该主机的详细信息，并进一步扫描内网，配合metasploit绝对是内网渗透一大杀器。 0x02安装

2015-11-17 23:49:53 5254

转载 HTTP GET packet sniffer in Scapy

#!/usr/bin/pythonfrom scapy.all import *def http_header(packet): http_packet=str(packet) if http_packet.find('GET'): return GET_print(packet)def GET_print(packet1)

2015-11-12 23:05:33 1448

转载 Install and Run Scapy on Mac OS X 10.10 (Yosemite)

http://iict-space.heig-vd.ch/ars/2014/12/17/install-and-run-scapy-on-mac-os-x-10-10-yosemite/Scapy on YosemiteThere seems to be quite a few people trying to get Scapy installed and running

2015-11-12 15:42:21 1737

转载 Robotframework+ride中test template的用法

这个作用就是实现将关键字驱动变为数据驱动，具体看看他的用法吧。首先，你可以先建1个自定义的关键字，如下图这里注意：这个关键字肯定是必须有1个或者多个参数的。这就是一个模板然后在test case里面使用这个模板如上图所示：用例中如果使用了这个template，那么用例步骤里面就只用填写传递的参数就可以了

2015-11-12 13:31:24 3425

转载 Robot FrameworkResource及关键字的使用

举个例子，我们对baidu搜索进行兼容性测试时，我们的业务逻辑是[打开浏览器] - [输入搜索内容] - [点击搜索按钮] - [截图保存] - [关闭浏览器]而对应的业务数据，就是我们所输入的“搜索内容”。在后续的测试中，我们应该将这一逻辑封装为一个关键字（这里可以理解为一个自定义函数，并将搜索内容作为输入变量）。每次测试时，只需要改变“搜索内容”这一变量即可。1.建立资源在导航树

2015-11-12 13:28:29 4116

转载 Robot Framework使用For循环

1.普通的For循环在一个普通的For循环中，循环开始的关键字是：FOR ，其中的：用于与一般关键字做区分，对于循环结构体内的每一行，使用 \ 作为改行的行首关键字。对于循环中的变量，可以在 IN 关键字后给出所有变量，也可以从一个列表中进行赋值，每次循环从列表中取出一个值。例如：1）给出所有变量2）从列表中进行赋值执行测试用例，输出结果为：2.嵌套循环Robot Framew

2015-11-12 13:26:39 8234

转载 [python网络编程]使用scapy修改源IP发送请求

今天同事想测试WAF的页面统计功能，所以需要模拟多个IP向多个域名发送请求，也就是需要修改源IP地址。这个如果使用socket库就比较麻烦了，需要使用raw socket，相当麻烦。还好咱有scapy，轻松搞定。DOMAIN是我随机构造的域名库，SOURCE也是随机构造的源IP地址。[python] view plaincopy

2015-11-12 00:35:06 2184

转载 EVE 居然是用 python 写的！！太不可思议了

大多数熟悉EVE的人都知道，它是用Python语言编写的，如果要说得更具体点，那就是Stackless Python。Stackless是在Python基础上编写的一套微线程框架，它能在不产生大量Python自身额外开销的情况下同时容纳数百万条的线程。但话还是要说回来，它毕竟还是Python，因此摆脱不了“解释器全局锁”（Global Interpreter Lock，下文将其简称为GIL）。

2015-11-06 13:34:04 9972

转载使用远程接口库进一步扩展Robot Framework的测试能力

使用原因：①　测试需要跨越多个物理机器，且有的测试库也必须部署在被测系统上。比如：客户端需要在两台系统分别为windows和linux的服务器下，执行测试环境的初始化及清理工作。②　一个测试要使用多个库，但是有的只能用jybot运行，有的只能用pybot运行(这种情况很常见)。远程库接口的原理：　　为了解决上述两个难题，Robot Framework提供了远程库接口

2015-11-05 11:49:15 1680

转载 Locust一个分布式负载测试工具

Locust简介Locust是一个简单易用的分布式负载测试工具，主要用来对网站进行负载压力测试。Locust特性使用Python编写模拟用户行为的代码，无需繁琐的配置分布式可扩展，能够支持上百万用户自带Web界面不仅能测试web系统，也可以测试其它系统Locust思想在测试过程中，一群用户将访问你的网站。每个用户的行为由你编写的Python代码定义，同时可以从Web

2015-11-04 09:40:57 4657 4

转载 PhantomJS2.0+ CasperJS1.0.4 mac

修改vi bootstrap.jsif (!phantom) { console.error('CasperJS needs to be executed in a PhantomJS environment http://phantomjs.org/');}else {if (phantom.version.major === 2) {//setting o

2015-11-03 23:24:16 825

转载 Python+Requests抓取中文乱码改进方案

前两天更新了下网址缩短这个项目的requests版本后抓取要缩短的网址title时候乱码的比例大幅上升。但有不想靠降级版本来解决。之前最早开始用Requests做抓取内容工具时候也碰到过一些中文乱码的情况，最后搜索到的Python中文乱码的最常见的解决方案就是重置页面编码import sysreload(sys)sys.setdefaultencoding('utf-8')同样

2015-11-03 13:31:24 1240

转载 Python爬虫入门八之Beautiful Soup的用法

1. Beautiful Soup的简介简单来说，Beautiful Soup是python的一个库，最主要的功能是从网页抓取数据。官方解释如下：Beautiful Soup提供一些简单的、python式的函数用来处理导航、搜索、修改分析树等功能。它是一个工具箱，通过解析文档为用户提供需要抓取的数据，因为简单，所以不需要多少代码就可以写出一个完整的应用程序。Beauti

2015-11-03 11:12:22 946

转载 google hack - 简介

google hacking的简单实现　　记得以前看见过一篇文章写的就是简单的通过用www.google.com来搜索dvbbs6.mdb或conn.inc来获得一些站点的敏感信息.其实使用google中的一些语法可以提供给我们更多的信息(当然也提供给那些习惯攻击的人更多他们所想要的.),下面就来介绍一些常用的语法.intext:这个就是把网页中的正文内容中的某个字符做为搜索条

2015-11-03 09:30:45 918

转载 PhantomRobot

PhantomRobot is a Robot Framework test library that uses the popular PhantomJS-browser, the headless WebKit-browser, for running acceptance tests in the background. PhantomRobot is written in and is

2015-11-02 23:03:03 1216

转载 phantomjs使用说明

phantomjs实现了一个无界面的webkit浏览器。虽然没有界面，但dom渲染、js运行、网络访问、canvas/svg绘制等功能都很完备，在页面抓取、页面输出、自动化测试等方面有广泛的应用。安装下载phantomjs（官方下载，下载失败请访问另一个下载点）。解压到任意目录，并将包含phantomjs.exe的目录添加到系统路径。如果要借助phantomjs进行无头测试

2015-11-02 22:47:18 1017

转载 PhantomJS快速入门教程

PhantomJS 是一个基于 WebKit 的服务器端 JavaScript API。它全面支持web而不需浏览器支持，其快速，原生支持各种Web标准： DOM 处理, CSS 选择器, JSON, Canvas, 和 SVG。 PhantomJS 可以用于页面自动化，网络监测，网页截屏，以及无界面测试等。一、安装安装包下载地址： http://phantom

2015-11-02 22:45:00 488

WHACKW的专栏