cracer第一期 第一课 渗透测试基础(上午)

脚踏实地
1.脚本(asp,php,jsp)
2.html(css,js,html) 设计网站样式 三个组合在一起
3.http协议 网络通信遵守的协议
4.CMS(B/S)
5.MD5 一种加密方式

肉鸡:被黑客入侵并被长期驻扎的计算机或服务器
抓鸡:利用使用量大的程序的漏洞,使用自动化方式获取肉鸡的行为
webshell:通过web入侵的一种脚本工具,可以据此对网站服务进行一定程度的控制 要控制他的电脑

一句话木马 通过向服务端提交一句简短的代码,配合本地客户端实现webshell功能的木马
提权 操作系统低权限的账户将自己提升为管理员权限使用的方法
后门 黑客为了对主机进行长期的控制，在机器上种植的一段程序或留下的一个“入口”
跳板 使用肉鸡IP来实施攻击其他目标，以便更好的隐藏自己的身份信息
旁站入侵:即同服务器下的网站入侵，入侵之后可以通过提权跨目录等手段拿到目标网站的权限。常见的旁站查询工具有：webrobot，御剑，明小子和web在线查询等 ps:如果一台服务器很好的话,要运行多个网站,若该网站无漏洞则找其他网站的漏洞,成功实现入侵
c段入侵:即同c段下服务器入侵。如目标ip为192.168.1.253
入侵192.168.1.*的任意一台机器，然后利用一些黑客工具嗅探获取在网络上传输的各种信息。常用工具有：在windows下有Cain，在UNIX环境下有Sniffit,Snoop,Tcpdump,Dsniff等
ps:c段即为ip地址中A,B,C,D段中的c段,(还是有点不懂得再看看)
渗透测试
黑盒测试:在未授权的情况下,模拟黑客的攻击方法和思维方式 ,来评估计算机网络系统可能存在的安全风险
黑盒测试不同于黑客,但不等于黑站.黑盒测试考研的是综合的能力(OS、Database、Script、code、思路、社工)
思路与经验积累往往决定成败。
三个臭皮匠赛过诸葛亮
APT攻击:Advanced Persistent Threat

虚拟机的知识
安装虚拟机的过程不再重复，因为之前也操作过
记录一些有趣的功能
快照： 拍摄快照，如果虚拟机玩崩了点一下快照就会返回拍摄快照时的状态
导出ovf
unity模式可以将虚拟机中的框给分离出来
在可移动设备里可以设置使虚拟机能读取u盘
如何使两个虚拟机连接起来 留个坑，有空再来补。。还没安装虚拟机。。

网站篇
http协议
http头讲解
200响应码
date 日期
content-type 类型
Accept-Charset:浏览器可接受的字符集. utf-8是Windows和Linux都支持的中文编码方式
Content-Length:表示请求消息正文的长度.
Cookie:这是最重要的请求头信息之一
无论是静态网站还是动态网站都要走http协议
静态网站
html
动态网站
asp,jsp,php,aspx等语言编写
Q1:如何判断该网站由什么语言编写?
在网址后面添加index.html,如果正常运行则是html,同理可测试其他
Q2:如何判断该服务器是什么类型?
Windows系统对于大小写不敏感,将文件名某个字母的大小写对换,看是否报错,若不报错则为Windows系统,Linux系统反之
伪静态
看起来是html 实际上是php,
把它的后缀啥的改成原来的格式运行一下即可,看是否正常

之后学习了如何搭建一个网站…
安装windows 2003 sever后进行一些操作,今天学习的是如何搭建asp/access,在百度上搜索asp源码下载一个放在根目录即可..

个人感觉这个课程讲的很棒,基础很多,适合我这种小白..那么就开始下午的课程了…