欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页

记一次网易课程学习

程序员文章站 2022-07-15 13:05:20
...

前一段时间看了网易的web白帽子入门课程,讲师真的是很nice,附上链接 https://www.bilibili.com/video/BV1Rb411G7Pb

这里放上自己的笔记,有点粗糙,但是为了记录一下嘛

URL组成

记一次网易课程学习

referer

Referer 是 HTTP 请求header 的一部分,当浏览器(或者模拟浏览器行为)向web 服务器发送请求的时候,头信息里有包含 Referer 。
就比如我访问www.baidu.com 那么referer头里面就会是http://www.baidu.com
记一次网易课程学习
如果在baidu里面点击Google的链接,referer里面将还会是baidu,所以referer有一作用:防盗链
比如我只允许我的ip地址访问我的服务器,那么就可以进行referer验证,如果是就可以成功访问,如果不是就拦截
这样就可以有效的拦截一部分的CSRF

DOM和BOM

DOM操作HTML,BOM操作浏览器

搜索引擎语法:

intitle:keyword 标题中含有关键词的网页
intext:keyword 正文中含有关键词的网页
site:domain 在某个域名和子域名下的网页

点击劫持

定义:通过覆盖不可见的框架误导受害者点击而进行的攻击行为
特点:隐蔽性高、骗取用户操作、“UI-覆盖攻击”、利用iframe或者其他标签的属性
URL跳转漏洞
定义:借助未验证的URL跳转,将应用程序引导到不安全的第三方区域
实现:header头、JS、META标签跳转
记一次网易课程学习
记一次网易课程学习

命令注入

命令拼接&,一次执行拼接命令
管道符|,前面命令的输出作为后面命令的输入
记一次网易课程学习

记一次网易课程学习
Windows中url链接的&应用%26代替,因为他会被认为是一个分隔符

文件操作

文件操作包括很多东西,如文件上传、下载,这些地方都有可能存在漏洞
记一次网易课程学习

敏感文件探测

猜测文件名,然后根据返回的http状态码判断文件是否存在 如/login.php
工具(御剑等)扫描
漏洞文件扫描
AWVS APPSCAN等
浏览器搜索
记一次网易课程学习
网络空间搜索引擎FOFA

命令注入

命令拼接符的区别
记一次网易课程学习
命令注入可以使用白名单避免
如果不显示结果可以使用延时注入

CSRF

修复方法:

验证码
随机token
检验referer

SQL注入

万能密码登录

admin’–
'-- 分别闭合和注释

写webshell
?id=1' union select 1,<?php%20eval($_POST[cmd]);?>INTO OUTFILE ‘D:\\phpstudy\\dvwa\\cmd.php’%#

XSS

攻击思路
记一次网易课程学习
结束~