Web 应用常见漏洞利用与防护

最新推荐文章于 2024-06-23 15:38:04 发布
最新推荐文章于 2024-06-23 15:38:04 发布
阅读量922 收藏
点赞数
文章标签： 安全 网络 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zzxl212333/article/details/129704147
版权

web应用漏洞

web安全漏洞：

  • 输入输出验证不充分
  • 设计缺陷
  • 环境缺陷

web通用型漏洞包括︰

SQL注入漏洞、XSs漏洞、文件上传漏洞、任意文件读取/下载漏洞、代码执行漏洞、命
令执行漏洞、CSRF漏洞、逻辑漏洞等等。。。

WebShell

WebShell原理：

        webShell，简称网页后门。简单的来说它是运行在web应用之上的远程控制程序。webShell其实就是一张网页，由PHP、JSP、ASP、ASP.NET等这类web应用程序语言开发，webShell一般会具备文件管理、端口扫描、提权、获取系统信息等功能。

        拥有较完整功能的webShell，我们一般称为大马。功能简易的webshell称为小马。除此之外还存在一句话木马、脱库马等等的名词，是对于webShell功能或者特性的简称。
                                   <?php @eval($_POST['403']);?>   （一句话木马原理）

WebShell管理工具

webshell利用思路

  • 手动构造数据包利用 
  • 自动化工具利用

手动构造数据包利用的思路是提交命令执行、文件处理等函数代码实现控制服务器;

自动化工具利用的思路是使用中国菜刀和蚁剑等工具实现对服务器的控制；

蚁剑是一款专业的网站管理软件，用途广泛，使用方便，小巧实用。只要支持动态脚本的网站，都可以用蚁剑来#行管理!利用上传到服务器的一句话脚本再通过一些添加配置就可以工作了。

文件上传漏洞原理及利用方式

文件上传漏洞场景：后台弱口令+后台任意文件上传

文件上传漏洞与危害与防御
危害∶
如果恶意文件如PHP，ASP等执行文件绕过web应用，并顺利执行，相当于黑客直接拿到了webshell，就可以拿到web应用的数据，对文件系统删除，增加，修改，甚至本地提权，进一步拿下整个服务器甚至内网渗透。
防御∶
1、文件类型/大小/后缀检测，前端通过JavaScript验证，文件扩展，文件大小，后端检测MIME类型等，白名单过滤，文件重命名，文件大小。
2、最小权限运行web服务
3、上传文件目录修改权限，不给上传文件执行权限，即使上传了木马也无法执行，读写权限分离4、安装wAF进入深度检测，安全狗，阿里云盾等

什么是任意文件下载漏洞
        许多网站都具备文件下载功能，某些文件下载功能实现过程是根据参数filename的值，获得该文件在网站上的绝对路径，读取文件内容，发送给客户端进行下载。
         文件下载漏洞是指文件下载功能没有对下载的文件类型、目录做合理严谨的过滤，导致用户可以下载服务器上的任意文件。
 

任意文件下载漏洞危害
危害:

  • 下载站点源码(黑盒->白盒)
  • 下载应用、系统配置文件(ssh、apache2、mysql)
  • 注∶对于该漏洞的利用是为了信息收集，为下一步挖掘服务器漏洞而入侵。

防御︰

  • 下载路径不可控，而是程序自动生成后保存在数据库中
  • 根据ID进行下载
  • 对参数做严格的过滤，不能进行目录遍历(穿越)

 数据库简介

数据库基本单位
 

  • 数据库服务器∶是指用来运行数据库服务的一台电脑。
  • 数据库:(一个数据库服务器里面有可以有多个数据库。
  • 数据表∶例如在游戏数据库中，用来区分游戏不同的数据。
  • 数据字段∶也叫数据列。就是我们日常所见表格里面的列。
  • 数据行∶真正的数据存在每一个表的行里面。

sql简介

常用的SQL语句

添加:  insert into <表名>[列名] values <列值>insert into zgyz(姓名,理论,windows实操,Linux实操) values）values('邹楠','80','100','100')

更新:  update <表名> set<列名=更新值>[where <更新条件>]update zgyz set理论=100 where 姓名='邹楠'

查询: select<列名> from<表名>[where <查询条件表达式>]SELECT “Linux实操`from zgyz where 姓名='邹楠'

删除:  DELETE FROM<表名>[where <删除条件>]DELETE FROM zgyz where 姓名='邹楠'
QL注入原理及漏洞利用方式

SQL注入原理及漏洞利用方式

SQL注入的概念
SQL注入(英语:SQL injection )是发生于应用程序与数据库层的安全漏洞。简而言之，是在输入的字符串之中注入SQL指令，在设计不良的程序当中忽略了字符检查，那么这些注入进去的恶意指令就会被数据库服务器误认为是正常的SQL指令而运行，因此遭到破坏或是入侵。

SQL注入场景
场景∶这是一个成绩查询页面，但是服务端没有对用户提交的参数进行严格的过滤，导致可以将SQL语句插入到可控参数中，改变原有的sQL语义结构，从而执行攻击者所预期的结果。


SQL注入漏洞的利用—[联合注入]
MySQL 5.0版本以上，MySQL数据库在安装完成后,有一个自带的数据库:information_schema这个数据库存放了该MySQL数据库的所有数据库和数据表的元信息。

information_schema数据库表说明:

  • SCHEMATA表:提供当前数据库服务器中所有数据库的信息。
  • TABLES表:提供当前数据库服务器中所有数据表的信息。
  • COLUMNS表:提供当前数据库服务器中所有数据表字段的信息。

SQLMap工具的使用

  •  sqlmap是一个开源渗透测试工具，它可以自动检测和利用SQL注入漏洞并接管数据库服务器。
  • 支持五种SQL注入技术∶联合注入，布尔盲注，时间盲注，报错注入，堆叠注入。
  • 支持枚举用户，密码哈希，特权，角色，数据库，表和列。

SqlMap工具使用
检查注入点:
sqlmap  -u http: //xxx.xxx.xxx/chaxun.php?student_name=1

爆所有数据库信息︰
sqlmap  -u http: //xxx.xxx.xxx/chaxun.php?student_name=1  --dbs

爆当前数据库信息︰
sqlmap -u http: //xxx.xxx.xxx/chaxun.php?student_name=1  --current-db

指定库名列出所有表
sqlmap -u http: //xxx.xxx.xxx/chaxun.php?student_name=1 - D test  --tables'test’为指定数据库名称
指定库名表名列出所有字段
sqlmap -u http://xxx.xxx.xxx/chaxun.php?student_name=1  - D test  - T  zgyz  --columns'zgyz’为指定表名称
指定库名表名字段dump出指定字段
sqlmap -u http://xxx.xxx.xxx/chaxun.php?student_name=1  - D test -T zgyz -C      student_name,lilun,windows,Linux  --dump
‘姓名,理论’为指定字段名称

SQL注入的危害

  • 获取数据(拖库)
  • 写入webShell
  • 读取敏感系统文件
  • 命令执行
  • ......

SQL注入防御

  • SQL语句预编译
  • 使用足够严格的过滤和安全防御

XSS漏洞原理及利用方式


什么是JavaScript
HTML、CSS、JavaScript简介及简单分工:

  1. HTML是用来描述网页的一种语言人定义网页的结构)文字/图片/链接..]。
  2. CSS样式定义如何显示HTML元素，可以理解为美化网页[排版/文字样式..]。
  3. JavaScript是一种脚本语言，可以使网页拥有交互的能力，对一些网页操作故出反应.

什么是XSS漏洞
      XSS全称跨站脚本(Cross Site Scripting)，为了不和层叠样式表(CSS)混淆，故缩写为XSS，比较合适的方式应该叫做跨站脚本攻击。
     跨站脚本攻击是一种常见的web安全漏洞，它主要是指攻击者可以在页面中插入恶意脚本代码(Javascript代码)，当受害者访问这些页面时，浏览器会解析并执行这些恶意代码，从而达到窃取用户身份/钓鱼/传播恶意代码等行为。

XSS漏洞原理
        与SQL注入类似，XSS的本质也是一种注入，XSS的本质其实是一种“HTML”注入，用户的输入被当做HTML代码执行，从而混淆了原本的语义，产生了新的语义。

XSS漏洞的分类
第一种∶反射型XSS
        反射型xSs是最简单的XSS，即输入XSs脚本或输入XSs脚本点击按钮即可完成xss攻击，同时也称作非持久型xss.漏洞主要存在于URL地址栏，搜索框等。
第二种:存储型xss
        存储型xss主要是将用户输入的“数据”存储在服务器端，该类型的攻击比较稳定，只要用户访问该数据就会被攻击，所以存储型xss也叫做持久型XSS。该类型的漏洞主要存在于发帖，回帖评论等模块，以及用户注册等模块。
第三种:DOM Based xss
       通过修改页面的DOM节点来进行xSS。

XSS漏洞的危害

  • 钓鱼（伪造登录框，页面)
  • cookie盗取
  • 获取IP段
  • 站点重定向
  • 获取客户端页面信息，例如邮件内容窃取
  • XSS蠕虫....

CSRF漏洞原理及利用方式


什么是CSRF漏洞


        CSRF ( Cross-Site Request Forgery )中文名跨站请求伪造漏洞。
        CSRF攻击原理(利用未失效的会话信息（ cookie、会话等），伪装目标用户发起请求执行目标网站接口。在受害者毫不知情的情况下以受害者名义伪造请求发送给受攻击站点。


原理:
攻击者盗用了你的身份，以你的名义发送恶意请求
CSRF能够做的事情有∶
以你的名义发送邮件、发消息、盗取你的账号，甚至于购买商品，虚拟货币转账

CSRF漏洞原理及利用

CSRF漏洞危害：

  • 以受害者名义发送邮件，发消息，盗取受害者的账号，甚至购买商品，虚拟货币转账，修改受害者的网络配置（比如修改路由器DNS、重置路由器密码)等等。。
  • 造成的问题包括:个人隐私泄露、机密资料泄露、用户甚至企业的财产安全


CSRF漏洞防御︰

  • Samesite Cookie
  • 验证HTTP Referer字段
  • 增加Token验证

逻辑漏洞简介


什么是逻辑漏洞
       逻辑漏洞是指由于程序逻辑不严谨导致一些逻辑分支处理错误造成的漏洞。
在实际开发中，因为开发者水平不一，没有安全意识，而且业务发展迅速内部测试没有及时到位，所以常常会出现类似的漏洞。
       逻辑漏洞挖掘一直是安全测试中“经久不衰”的话题,常见的逻辑漏洞包括︰支付漏洞、密码修改、越权修改、越权查询等。

逻辑漏洞危害

  1. 大量敏感数据泄露，越权访问，越权重置口令
  2. 商品低价支付经济损失，商品/产品金额、数量篡改等
  3. 活动被恶意刷取，卡/券重复领取，条件竞争等
  4. 支付接口、短信/邮件接收

RCE漏洞简介

什么是RCE漏洞
远程命令/代码执行漏洞，简称RCE漏洞，可以让攻击者直接向后台服务器远程注入操作系统命令或者代码)从而控制后台系统。

常见命令执行漏洞利用
Struts2系列远程代码执行漏洞                                  ThinkPHP5远程代码执行漏洞
Struts2-Scan工具                                                      Thinkphp-GUI工具

Web中间件漏洞简介


常见的web中间件包括Apache、IIS、Nginx、Tomcat、webLogic、JBoss、webShere等。存在的安全漏洞主要包括:

  • Apache ( Apache Httpd多后缀解析漏洞、Apache sSI 远程命令执行漏洞、
  • Apache Httpd换行解析漏洞[CVE-2017-15715]等)
  •  IIS（目录解析漏洞、写权限漏洞等)
  • Nginx ( Nginx解析漏洞、CVE-2013-4547文件名逻辑漏洞等)
  • Tomcat ( Tomcat7+弱密码&后端Getshell漏洞、本地提权漏洞CVE-2016-1240等)
  •  webLogic ( CVE-2017-10271反序列化漏洞等)

Apache常见漏洞

Apache Httpd多后缀解析漏洞∶
        Apache Httpd支持一个文件拥有多个后缀,不同的后缀执行不同的命令,也就是说当我们上传的文件中只要后缀名含有php,该文件就可以被解析成php文件,利用Apache httpd这个特性,就可以绕过上传文件的白名单。该漏洞和apache版本和php版本无关，属于用户配置不当造成的解析漏洞。

Nginx常见漏洞

Nginx解析漏洞︰

  • Nginx是一款轻量级的web服务器、反向代理服务器，由于它的内存占用少，启动极快，高并发能力强，在互联网项目中广泛应用。

  • Nginx解析漏洞与nginx、php版本无关,属于用户配置不当造成的解析漏洞。

Nginx解析漏洞原理︰

1、首先构造并访币http://ip/uploadfiles(test.png'xxxxxxxx.php(xxxxxxx.php文件不存在)，其
中test.png是我们上传的包含PHP代码的照片文件。
2、nginx.conf的默认配置会导致nginx把以’.php’结尾的文件交给fastcgi处理

3、fastcgi在处理.php文件时发现文件并不存在，这时php.ini配置文件中
cgi.fix_pathinfo=1发挥作用，这项配置用于修复路径，如果当前路径不存在则采用上层路径。于是这里交由fastcgi处理的文件就变成了’/test.png'。(默认cgi.fix_pathinfo=0)
4、最重要的一点是php-fpm. conf中的security.limit_extensions配置项限制了fastcgi解析文件的类型(即指定什么类型的文件当做代码解析)，此项设置为空的时候允许fastcgi将 .png 等文件当做代码解析。该配置项允许使用其他扩展名运行php代码。（默认值:.php/3/4/5/7)

Tomca常见漏洞

Tomcat后台弱密码&后台Getshell :
        Tomcat有一个管理上后台，其用户名和密码在Tomcat安装目录下的conf\tomcat-users.xml文件中
配置，不少管理员为了方便，经常采用弱口令。Tomcat支持在后台部署war包，可以直接将webshell部署到web目录下，如果tomcat后台管理用户存在弱口令，这很容易被利用传webshell。

Weblogic常见漏洞

Weblogic < 10.3.6‘wls-wsat’ XMLDecoder反序列化漏洞(CVE-2017-10271) ∶
        weblogic的MLS Security组件对外提供webservice服务，其中使用了XNLDecoder来解析用户传入的XML数据，在解析的过程中出现反序列化漏洞，导致可执行任意命令。



 

 

zzxl212333
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
web中间件常见漏洞总结.pdf
12-14
Web中间件是构建Web应用程序的关键组件，它负责处理HTTP请求，提供动态内容，管理会话，以及处理其他与网络交互相关的任务。然而，由于其复杂性和广泛的使用，Web中间件也成为了攻击者的目标，存在多种可能的安全...
Web系统常见的几种漏洞及防护方案
2301_76161259的博客
03-28 1296
利用漏洞对计算机进行攻击渗透,前提是服务器能正常通信。服务器提供各种服务给客户端进行使用的。它是依靠端口来进行通信，黑客也是根据端口来进行入侵的。那么也不排除一些物理攻击的方式，例如社会工程学①等。
什么是漏洞利用/java反序列化漏洞利用-0基础渗透入门教程
最新发布
2401_84915584的博客
06-23 360
2019年9月，禅道项目管理软件爆出全版本的RCE漏洞。于是便好奇漏洞的成因，在阅读作者的文章及自己复现分析后，发现漏洞其实算是一种越权调用，普通权限（用户组为1-
十二个常见的Web安全漏洞总结及防范措施
A_991128a的博客
07-05 1181
本篇文章部分摘要自《OWASP Top 10 2017》。OWASP，开放式Web应用程序安全项目（Open Web Application Security Project）是一个组织，它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。其目的是协助个人、企业和机构来发现和使用可信赖软件。
常见web安全漏洞_web漏洞
A_991128a的博客
07-04 594
​ “暴力破解”是一攻击具手段，在web攻击中，一般会使用这种手段对应用系统的认证信息进行获取。其过程就是使用大量的认证信息在认证接口进行尝试登录，直到得到正确的结果。为了提高效率，暴力破解一般会使用带有字典的工具来进行自动化操作。理论上来说，大多数系统都是可以被暴力破解的，只要攻击者有足够强大的计算能力和时间，所以断定一个系统是否存在暴力破解漏洞，其条件也不是绝对的。
web渗透-------WEB漏洞（文件上传）
hhhjjjllll的博客
05-12 1146
文件上传漏洞是指 Web 服务器允许用户将文件上传至其文件系统，但这些文件可能并没有经过充分的验证，如文件名称、类型、内容或大小等。未能正确执行这些限制就意味着即使最基本的图像上传功能也可能用于上传任意具有潜在危险的文件，里面甚至包括远程代码执行的服务器端脚本文件。在某些情况下，上传文件的行为本身就足以造成损害，其他攻击对该文件后续 HTTP 的请求，通常是为了触发服务器执行该文件。
Web应用常见漏洞修复方案
12-01
Web 应用常见漏洞修复方案 在 Web 应用程序中，安全漏洞是非常普遍的存在，而 SQL 注入攻击、跨站脚本攻击和跨站请求伪造是最常见的三种漏洞，本篇文章将详细介绍这三种漏洞的成因、危害和防护措施。 一、SQL 注入...
常见WEB漏洞原理分析及防护
08-22
常见 WEB 漏洞原理分析及防护 在当今互联网时代，Web 应用程序已经融入到日常生活中的各个方面，如网上购物、网络银行应用、证券股票交易、政府行政审批等等。然而，Web 应用程序的安全问题却层出不穷。本文将对...
Web编程常见漏洞与检测
05-16
【Web编程常见漏洞与检测】 Web编程中的安全问题一直是开发者和系统管理员关注的重点。随着互联网技术的发展，Web应用越来越复杂，安全漏洞也随之多样化。本文将深入探讨几种常见的Web漏洞及其检测方法，帮助Web...
web攻击技术与防护
01-26
跨站脚本攻击是Web应用程序常见的安全威胁之一，它利用网站的安全漏洞，让攻击者能够在用户的浏览器中注入并执行恶意的HTML标签或JavaScript代码。攻击者通常通过创建含有恶意脚本的网页内容，诱导用户访问，从而在...
Web漏洞利用
Z_nannan的博客
05-07 468
一、SQL注入 SQL注入攻击是通过操作输入来修改SQL语句，用以达到执行代码对Web服务器进行攻击的方法。 1、打开SQL Injection界面，该界面的功能是通过输入User ID查询Username。输入1提交，将正常返回查询结果。输入1’提交，将返回一个错误。 2、猜测使用的sql语句可能是：select First name and Surname from 表名 where id='输入的id'。 输入1' union select 1,database()#提交，得到数据库名
Web漏洞概述
尽欢的博客
05-29 413
什么是漏洞？、什么是Web漏洞？、TOP10漏洞
常见漏洞类型汇总
qq_53058639的博客
10-19 165
SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。（1）表单提交，主要是POST请求，也包括GET请求；（2）URL参数提交，主要为GET请求参数；（3）Cookie参数提交；
Web 常见十大漏洞原理及利用方式
weixin_45947267的博客
04-18 2036
文件包含一个文件调用另外一个文件，被包含的文件无论什么格式都可以被执行。序列化serialize()：序列化说通俗点就是把一个对象变成可以传输的字符串反序列化unserialize()：就是把被序列化的字符串还原为对象,然后在接下来的代码中继续使用。序列化和反序列化本身没有问题,但是如果反序列化的内容是用户可以控制的,且后台不正当的使用了PHP中的魔法函数,就会导致安全问题常见的几个魔法函数:__construct()当一个对象创建时被调用__destruct()当一个对象销毁时被调用。
Web安全常见漏洞攻防
qq_55839239的博客
08-01 190
1.1 简介SQL注入是一种代码注入技术，用于攻击数据驱动的应用程序。在应用程序中，如果没有做恰当的过滤，则可能使得恶意的SQL语句被插入输入字段中执行（例如将数据库内容转储给攻击者）。1.2 示例及应对根据使用的技巧，SQL注入类型可分为盲注布尔盲注：只能从应用返回中推断语句执行后的布尔值正常查询：SELECT * FROM users WHERE username = '输入的用户名' AND password = '输入的密码';
CGI漏洞速查三
|独自望海。。。
09-28 1408
建议： 建议审核cgi-bin目录，避免有不必要的程序存在。解决方法：建议升级该cgi程序,或者删除该文件。 28. whois.cgi 描述：在多个WebServer中带有的Whois.cgi存在溢出漏洞。它们包 括： Whois Internic Lookup - version: 1.02 CC Whois - Version: 1.0 Matt?s Whois -
web服务器攻击的八种方式
2301_76161259的博客
03-29 3148
随着互联网的高速发展，网络走进了千家万户，同时也有很大一部分人架设起了自己的网站。继而不安分的黑客们，又将目光对准了服务器攻击这个方式，从而破坏或取得服务器的管理权限。本文将主要讲述针对web服务器攻击的八种方式。这种是ASP+ACCESS的网站入侵方式，通过注入点列出数据库里面管理员的帐号和密码信息，然后猜解出网站的后台地址，然后用帐号和密码登录进去找到文件上传的地方，把ASP木马上传上去，获得一个网站的WEBSHELL，从而达到服务器攻击的目的。
cve 漏洞利用 sqlmap
07-31
回答: SQLMap是一款常用的自动化SQL注入工具，可以用于检测和利用Web应用程序中的SQL注入漏洞。通过使用SQLMap，可以轻松地发现和利用漏洞，获取数据库信息等。[1]对于Zabbix的jsrpc.php页面存在的SQL漏洞，可以使用SQLMap来进行利用。通过发送特定的请求包，可以执行SQL命令并获取数据库信息。[2]例如，可以使用以下命令来执行SQL注入攻击并获取用户名和密码：sqlmap -u "http://192.168.25.130:8080/jsrpc.php?type=0&mode=1&method=screen.get&profileIdx=web.item.graph&resourcetype=17&profileIdx2=1" -D zabbix -T users -C name,passwd --dump。[3]这将利用SQLMap来检测并利用CVE漏洞，获取Zabbix数据库中的用户名和密码信息。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值