乌鲁瓦提建设管理局网站,咚咚抢网站怎么做的,模具设计培训,网站开发怎么去接单20179214 《网络攻防实践》第五周学习 web应用程序体系结构及其安全威胁 web应用程序体系结构 浏览器 标准的web客户端#xff0c;Web服务器 通常被简单的描述为http守护程序#xff0c;接受web客户端对资源的请求。Web应用程序 是处于服务器端的业务逻辑#xff0c;最普遍的…20179214 《网络攻防实践》第五周学习 web应用程序体系结构及其安全威胁 web应用程序体系结构 浏览器 标准的web客户端Web服务器 通常被简单的描述为http守护程序接受web客户端对资源的请求。Web应用程序 是处于服务器端的业务逻辑最普遍的是三层表示层业务逻辑层数据层组成数据库 是存储数据的地方。传输协议 采用的http/https的协议 Web应用安全威胁针对浏览器和终端用户的Web浏览安全威胁针对传输网络的网络协议安全威胁系统层安全威胁Web服务器软件安全威胁Web应用程序安全威胁Web数据安全威胁 Web应用安全攻防技术概述 Web应用的信息收集 包括服务器地址ip地址和虚拟地址。手工审查Web应用程序结构和源代码(1) 静态和动态生成的页面 (2)目录结构 (3)辅助性文件 (4)输入表单 (5)查询参数字符串 自动下载与镜像web站点页面 Linux下的工具有lynxwget。windows下也有Teleport Pro等工具使用googlehacking技术审查与探测Web应用程序。web应用程序安全评估与漏洞探测 浏览器插件 免费工具集 漏洞扫描器 攻击web服务器软件数据驱动的远程代码执行安全漏洞缓冲区溢出不安全指针格式化字符串等一系列数据驱动安全漏洞的远程渗透攻击。服务器功能扩展模块漏洞样本文件安全漏洞源代码泄露资源解析攻击 攻击WEB应用程序web应用程序攻击角度 1针对认证机制的攻击 2授权机制的攻击 3客户端攻击 4命令执行攻击 5信息暴漏 6逻辑攻击攻击web数据(1) 安全敏感数据泄露 (2) 网站篡改 (3) 不良信息内容上传 web应用安全防范手册(1) web站点网络传输安全设防措施 (2) web站点操作系统及服务安全设防措 (3) web应用程序安全设防措施 (4) web站点数据安全设防措施 SQL注入 SQL注入攻击原理 利用web应用程序数据层存在的输入验证不完善型安全漏洞实施的一类代码注入攻击技术。是由于用户输入没有被正确的过滤以消除SQL语言中的字符串转义字符。 原理是向web应用程序提供的用户输入接口输入一段惊心构造的SQL查询命令攻击和利用不完善的输入验证机制使得输入代码得以执行完成非预期的攻击操作行为。 SQL注入攻击步骤 1 发现SQL注入点 2 判断后台数据库类型 3 后台数据库中管理员用户口令字猜解猜解表名猜解字段名 4 上传ASP后门得到默认账户权限 5 本地权限提升 6 利用数据库扩展存储过程执行Shell命令 SQL 注入攻击工具 Wposion 能在动态web文档中找出SQL注入漏洞 wieliekoek.pl 以网站镜像工具生成的输入为输出对表单页面注入字符串修改 SPIKE Proxy 对待注入的字符串进行定制 SPI Toolkit工具包 Web浏览器安全攻防 XSS跨脚本攻击 XSS跨站脚本攻击的最终目标不是提供服务的web应用程序而是使用web应用程序的用户。 1、XSS攻击技术原理 XSS攻击的根源同样是web应用程序对用户输入内容的安全验证与过滤不够完善一旦web应用程序对输入的合法性进行有效检查与过滤就很有可能让这些恶意代码逻辑包含在服务器动态产生或更新的网页中。 2、XSS攻击类型 持久性XSS漏洞--持久性XSS攻击。 最为严重的XSS漏洞又称为存储性XSS漏洞。 非持久性XSS漏洞--非持久性XSS 攻击 最为普遍的类型由于缺乏恰当的请求数据安全验证与过滤 3、XSS攻击实例 (1)测试XSS漏洞 (2)显示用户的会话Cookie (3)窃取用户的会话Cookie (4)利用Cookie信息假冒其他用户发表与修改帖子 (5)编写实现XSS蠕虫 4、XSS攻击防范措施 (1)服务器端防范措施 输入验证 输出净化 消除危险的输入点 (2)客服端防范措施 提高浏览器访问非受信网站时的安全等级、关闭Cookie功能或设置Cookie只读。 软件安全困境三要素复杂性、可扩展性、连通性。浏览器软件面临着严重的威胁。 Web浏览器的渗透攻击威胁 网页木马网页木马存在的技术基础Web浏览端安全漏洞。网页木马的本质核心——浏览器渗透攻击。网页挂马机制最主要的有如下四类策略内嵌HTML标签、恶意Script脚本、内嵌对象连接、ARP欺骗挂马。网页木马的检测与分析方法基于特征码匹配的传统检测方法、基于统计与机器学习的静态分析方法、基于动态行为结果判定的检测分析方法、基于模拟浏览器环境的动态分析检测方法、网页木马检测分析技术综合对比。 kali视频学习 Kali数据库评估的漏洞 BBQSQL BBQSQL是半自动工具允许许多难以触发的SQL注入变得用户化。 DBPwAudit ./dbpwaudit -s IP -d master数据库名称 -D mssql数据库类型 -U username -P password HexorBase jSQL jSQL是一款Java开发的轻量级远程服务器数据库注入漏洞测试工具且免费、开源、跨平台 (Windows, Linux, Mac OS X, Solaris)。将存在注入漏洞的URL贴进去即可进行响应的漏洞利用。使用效果需要改善 MDBTools MDB-Export以及MDB-Dumpmdb-parsecsvmdb-sqlmdb-tables Oracle Scanner SIDGuesser 针对Oracle的SID进行暴力枚举的工具。 SID为Oracle实例名Oracle连接字符串通过实例名用户密码连接。当用户希望远程连接Oracle数据库时则需要知道SID、用户名、密码及服务器的IP地址。 Kali数据库评估工具 Sqlsus 首先使用sqlsus -g test.conf生成一个配置文件。修改our $url_start “ ”引号里写入输入注入点使用sqlsus test.conf命令加载该文件实施渗透测试。 sqlninja 一款Perl编写的一个专门针对microsoft SQL server的SQL注入工具和市面上其他的注入工具不同sqlninja没有将精力用在跑数据库上而是侧重于获得一个shell。 Sqlmap 漏洞分析之Web应用代理 OwaspZAP paros proxy WebScarab Vega Burpsuite使用 可以进行重放攻击等一系列操作转载于:https://www.cnblogs.com/blankicefire/p/8716986.html
