常见WEB漏洞简介

♥这里就是菜咩总结了一些常见的web漏洞一点点学习啦♥

常见的：

SQL注入、文件上传、XSS跨站、文件包含、反序列化、代码执行、逻辑安全、未授权访问

稍微少一点的

CSRF、SSRF、目录遍历、文件读取、文件下载、命令执行、XXE漏洞

1、SQL注入：

可以获取到网站数据库里面的权限、数据。有的漏洞可以直接获取想要的东西，有的则是间接获取

2、文件上传漏洞：

大部分的网站和应用系统都有上传功能，而程序员在开发文件上传功能时，并未考虑文件格式后缀的合法性校验或者是否只在前端通过js进行后缀检验。从而直接获取网站权限。
webshell：是web和shell两者的集合，可以理解为web应用管理工具。
web：万维网，是建立在Internet上的一种网络服务。
shell：俗称壳（区别于核），是指“提供使用者使用界面”的软件（命令解析器）
webshell常见分类：web渗透经常会用到webshell，小马拉大马到现在的一句话木马

3、XSS跨站：

一般影响的是网站的cookie，获取网站的后台权限。
Cookie：（Cookies）类型为“小型文本文件”，为了某些网站辨别用户身份，进行Session（会话）跟踪（通常是加密存储在用户本地终端上）。用户客户端（暂时/永久）保存，

4、文件包含漏洞：

被包含的文件设置为变量进行动态调用，但是文件包含函数加载的参数没有经过过滤或者严格的定义而被用户控制包含其他恶意文件，导致了执行非预期的代码。
什么是文件包含：程序开发人员一般会把重复使用的函数写到单个文件中，需要使用某个函数时直接调用此文件，而无需再次编写，这种文件调用的过程一般被称为文件包含。

5、反序列化漏洞：

当程序在进行反序列化时，会自动调用一些函数，但是如果传入函数的参数可以被用户控制的话，用户可以输入一些恶意代码到函数中，从而导致反序列化漏洞。
PHP序列化：将对象转化为字符串，包含了对象的所有数据信息。
反序列化：根据数据信息还原对象。

6、代码执行漏洞：

用户输入的数据被当成后端代码来执行。

7、逻辑安全漏洞：

是业务/功能的设计缺陷，一般在密码、支付金额等出现
1、越权漏洞：（1）水平越权 （2）垂直越权
2、验证码漏洞：通过Burp的Intruder设置payload对验证字段进行爆破，根据返回长度，看哪个爆破成功。
3、业务逻辑漏洞：比如修改支付金额，还是通过BP抓包

8、未授权访问：

需要安全配置或权限认证的地址、授权页面存在缺陷导致其他用户可以直接访问从而引发重要权限可被操作、数据库或网站目录等敏感信息泄露。
常见的未授权漏洞：
（1）MongDB未授权访问漏洞
（2）Redis未授权访问漏洞
（3）Memcached 未授权访问漏洞CVE-2013-7239
（4）JBOSS 未授权访问漏洞
（5）VNC 未授权访问漏洞
（6）Docker 未授权访问漏洞
（7）ZooKeeper 未授权访问漏洞
（8）Rsync 未授权访问漏洞
（9）Hadoop未授权访问漏洞
（10）Jenkins未授权访问
（11）Elasticsearch未授权访问
（12）CouchDB未授权访问

9、CSRF（Cross Site Request Forgery，跨站域请求伪造）：

网络通过cookie来实现登录。而cookie只要存在浏览器中，浏览器在访问这个cookie服务器时，就会自动携带cookie信息到服务器上去。网站可以在网页源代码中插入js代码，使用js代码给其他服务器发送请求。

10、SSRF（Server-Side Request Forgery：服务器端请求伪造）：

是一种由攻击者构造形成由服务端发起请求的安全漏洞。一般情况下攻击的目标是内网（正是因为他是由服务端发起的，所以它能够请求到与他相连与外网隔离的内部系统）
SSRF 形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制.

11、目录遍历：（也称文件路径遍历）

允许攻击者读取运行应用程序的服务器上的任意文件。

12、文件读取：

通过一些口令，例如：/etc/issue 可以确认 Linux 主机的发行版等来尝试读取敏感文件获取尽可能多的信息，主要读取的文件是服务器的各种配置文件、文件形式存储的密钥、服务器信息（包括正在执行的进程信息）、历史命令、网络信息、应用源码以及二进制程序。

13、文件下载：

用户查看或下载的文件不做限制，那么恶意用户就能够查看或下载任意文件包括源代码文件、敏感文件等。
检测方法：
（1）查找系统中下载功能处；
（2）通过burp进行拦截请求；
（3）若存在文件名称之类的参数则可以使用burp中intruder功能，利用文件遍历字典进行暴破；
（4）检查请求响应，若能读出服务器文件存在漏洞。

14、命令执行：

服务器端没有对客户端用户输入的命令进行过滤，导致用户可以通过任意系统命令，使服务器成功执行任意系统命令。

15、XXE漏洞：（XML Externel Entity Injection）XML外部实体漏洞

服务端接收并解析了来自用户端的XML数据，而又没有做严格的安全控制，从而导致XML外部实体注入。

祝大家安全学的好，熬夜不秃头♥