WEB渗透测试

web、渗透测试

Web渗透测试基本流程对于web应用的渗透测试，大致可分为三个阶段：信息收集、漏洞发现以及漏洞利用。
何以飘零远·2023-03-31 16:36

web渗透测试培训，如何做信息收集？

系统漏洞->中间件漏洞->web漏洞信息收集分为:主动信息收集和被动信息收集·主动信息收集：主动信息搜集是与目标主机进行直接交互，从而拿到我们的目标信息。·被动信息收集：不与目标主机进行直接交互，通过搜索引擎或者社工等方式间接的获取目标主机的信息。0x02主动信息收集1.服务器和中间件信息服务器信息：系统类型，如Ubuntu。中间件信息：如Apache及其版本号等。(1)工具·whatweb·Nm
wulanlin·2023-03-29 08:08

python web渗透测试工具学习1：Web应用渗透测试简介

Web应用渗透测试简介Web渗透测试流程典型的Web应用工具包测试环境Web渗透测试流程在本节中，我们将了解Web应用程序渗透测试是什么。渗透测试是一种从攻击者的角度评估应用程序安全性的安全性测试。
python测试开发·2023-03-09 00:47

Web应用渗透测试完全指南

Web应用渗透测试完全指南【51CTO.com快译】如果你是Web安全专家、Web渗透测试工程师或Web应用开发者，那么本文就是为你量身定制的。
WLANQY·2023-02-23 15:27

web渗透测试基础

web应用发现nmap扫描看请求响应信息web指纹识别触发报错nmap扫描nmap-Pn-sT-sV-p1-65535xxxxxx可以是ip，ip段，域名等以百度为例，可以发现开放了80,443端口，分别对应http和https，我使用的是-sS，也没有用全端口扫描，-sT会与目标建立三次握手，也会在日志里留下记录，-sS不会完成三次握手，也不会留下记录，但是没有sT准确。2、看请求响应信息可以通
哩白·2023-02-07 00:06

Web渗透测试实战——（1）Web渗透测试简介

Web渗透测试实战——（1）Web渗透测试简介一、什么是渗透测试二、渗透测试类型三、渗透测试阶段1.信息收集与侦查2.枚举3.漏洞评估与分析4.漏洞利用5.报告四、常用的测试方法学五、推荐的测试平台一、
potato_hamm·2023-01-16 10:38

web渗透测试----20、反序列化漏洞--（1）序列化和反序列化

文章目录一、序列化和反序列化1、序列化2、反序列化二、PHP序列化三、Java序列化格式1、JDK类库中序列化和反序列化API2、实现序列化的要求3、实现Java对象序列化与反序列化的方法4、JDK类库中序列化的步骤5、JDK类库中反序列化的步骤6、序列化和反序列化的示例四、什么是反序列化漏洞？五、反序列化漏洞的利用1、修改对象属性2、修改数据类型3、使用应用程序功能4、魔术方法5、注入任意对象6
七天啊·2022-12-09 07:11

Slowloris DoS攻击的原理与简单实现

前言Slowloris攻击是我在李华峰老师的书——《MetasploitWeb渗透测试实战》里面看的，感觉既简单又使用，现在这种攻击是很容易被防护的啦。
xiaoyuer2815·2022-12-09 03:33

学完可入狱：《Web渗透测试-基于Kali Linux》经典黑客入门教程

特别说明此教程为纯技术分享！严禁利用本书所提到的漏洞和技术进行非法攻击，本书的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！前言网络江湖，风起云涌，攻防博弈，从未间断，且愈演愈烈。从架构安全到被动纵深防御，再到主动防御、安全智能，直至进攻反制，皆直指安全的本质——攻防。未知攻，焉知防!每一位网络安全从业者都有仗剑江湖的侠客情怀和维护网络公平正义的初心。渗透
白帽胡子哥·2022-12-07 00:36

WEB渗透测试之任意用户密码重置

培训几天挖了好几个任意密码重置漏洞，现在总结一下以便以后在密码重置这条路走的更顺畅==通用流程任意用户密码一般都是从忘记密码功能点开始，点开后如果发现验证是分步验证的，那么就可以继续搞了，进去后大部分都是第一步进行验证或者发短信验证，成功的话就进入下一步输入新密码的步骤，到这步的话就成功了。第一步输入正确的验证信息或者通过短信验证进入下一步的目的就是为了进入输入新密码的步骤。入口分类一般重置密码漏
壊壊的诱惑你·2022-11-26 19:02

Web渗透测试之HTTP头部注入：Host实现密码重置中毒(一)

文章目录前言通过邮箱进行密码重置的流程密码重置中毒常见攻击方式利用Host漏洞冒充用户发送密码重置请求诱使用户点击虚假的URL题目分析总结前言  本篇将讲解如何在Host存在可注入漏洞的情况下，利用密码重置功能实现最基本的密码重置中毒。通过邮箱进行密码重置的流程  在讲如何进行攻击前，为了把握关键点，先来了解用邮箱进行密码重置的大致流程：1.用户通过提交注册时使用的邮箱告知服务器进行密码重置；2.
VodkaDL·2022-11-26 19:01

2021总结web渗透测试岗位面试题（个人亲身经历的总结）

目录1·拿到一个待检测的站，你觉得应该先做什么？2·xss3·sql注入4·真实ip5.多地ping6·应急响应7·代码注入漏洞8·sql注入如何读写文件，二次注入，防御方式9·csrf和xss区别10·文件上传的后段绕过，防御方式11·中间件漏洞——IIS、Apache、nginx、Lighttpd、Tomcat12·xxe与ssrf13·rce讲一下，php函数eval和systempopen
小羊爱学习.·2022-11-26 19:46

Web渗透测试-Xss跨站脚本攻击(Cross Site Scripting)

Xss跨站脚本攻击Xss通用明文&&表单劫持跨站脚本攻击漏洞概念，漏洞原理和危害，掌握反射型、存储型XSS漏洞利用方法web安全工程师-03-XSS漏洞原理与利用第一章：XSS基础1.1XSS介绍与原理~11.2存储型XSS实战1.3反射型XSS实战1.4DOM型XSS实战1.5XSS辅助测试工具第二章：XSS实战与防御机制绕过2.1存储型XSS多场景实战及Bypass详解2.3反射型XSS多场景
amingMM·2022-11-09 03:30

Web渗透测试之存储型XSS

漏洞描述：由于系统未对用户输入的数据做严格过滤，导致恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。测试方法：在有输入框的提交界面，插入XSS测试语句进行提交，插入">即可发生弹窗。风险分析：存储型跨站脚本攻击最为常见的场景是将跨站脚本写入文本输入域中，如留言板、博客或新闻发布系统的评论框。当用户浏览留言和评论
julielele·2022-11-09 03:51

Kali Linux Web渗透测试手册(第二版) - 3.3 - 使用Burp Suite查看和修改请求

翻译来自：掣雷小组成员信息：thr0cyte，Gr33k，花花，MrTools，R1ght0us，7089bAt，这个公众号，一定要关注哦，慢慢会跟上面老哥们一起分享很多干货哦~~标记红色的部分为今日更新内容。第三章、使用代理、爬行器和爬虫3.0、介绍3.1、使用DirBuster寻找敏感文件和目录3.2、使用ZAP寻找敏感文件和目录3.3、使用BurpSuite查看和修改请求3.4、使用Burp
weixin_30514745·2022-10-31 14:25

Kali Linux Web渗透测试手册(第二版) - 2.4 - 识别Web应用防火墙

翻译来自：掣雷小组成员信息：thr0cyte，Gr33k，花花，MrTools，R1ght0us，7089bAt，这个公众号，一定要关注哦，慢慢会跟上面老哥们一起分享很多干货哦~~标记红色的部分为今日更新内容。第二章：侦察介绍2.1、被动信息收集2.2、使用Recon-ng收集信息2.3、使用Nmap扫描和识别应用服务2.4、识别web应用防火墙2.5、确定HTTPS加密参数2.6、使用浏览器的开
track sun·2022-10-31 14:25

Kali Linux Web渗透测试手册(第二版) - 2.6 - 使用浏览器自带的开发工具来做基本的分析和修改...

翻译来自：掣雷小组成员信息：thr0cyte，Gr33k，花花，MrTools，R1ght0us，7089bAt，这个公众号，一定要关注哦，慢慢会跟上面老哥们一起分享很多干货哦~~第二章：侦察介绍2.1、被动信息收集2.2、使用Recon-ng收集信息2.3、使用Nmap扫描和识别应用服务2.4、识别web应用防火墙2.5、识别HTTPS加密参数2.6、使用浏览器自带的开发工具来做基本的分析和修改
weixin_30950237·2022-10-31 14:25

Kali Linux Web渗透测试手册(第二版) - 2.2 - 使用Recon-ng收集信息

翻译来自：掣雷小组成员信息：thr0cyte，Gr33k，花花，MrTools，R1ght0us，7089bAt，这个公众号，一定要关注哦，慢慢会跟上面老哥们一起分享很多干货哦~~前言：这节的信息收集呢，感觉不太适合国内，毕竟有些地方有些不太如意，关于这个，自己百度一下吧，让终端走你的代理流量，自己配置下吧。现在也在整理一些信息收集方法，等到第二章完结了，来个番外篇，搭配着来吧。另外还有老哥留言说
weixin_30294709·2022-10-31 14:55

Kali Linux Web渗透测试手册(第二版) - 3.1 - 使用DirBuster寻找敏感文件和目录

翻译来自：掣雷小组成员信息：thr0cyte，Gr33k，花花，MrTools，R1ght0us，7089bAt，这个公众号，一定要关注哦，慢慢会跟上面老哥们一起分享很多干货哦~~标记红色的部分为今日更新内容。第三章、使用代理、爬行器和爬虫3.0、介绍3.1、使用DirBuster寻找敏感文件和目录3.2、使用ZAP查找文件和文件夹3.3、使用Burp套件查看和修改请求3.4、使用Burp套件的I
weixin_30471561·2022-10-31 14:55

2018年江苏省职业院校技能大赛高职组“信息安全管理与评估”赛项任务书

赛项信息竞赛阶段任务阶段竞赛任务竞赛时间分值第一阶段平台搭建与安全设备配置防护任务1网络平台搭建9:00-12:00160任务2网络安全设备配置与防护240第二阶段系统安全攻防及运维安全管控任务1文件包含漏洞攻防100任务2Web
旺仔Sec·2022-10-24 17:33

web渗透测试----26、SQL注入漏洞--（1）原理篇

文章目录一、SQL注入原理二、Web应用的工作原理1、三层web架构2、N层应用程序开发范式三、SQL注入的产生原因1、转义字符处理不当2、类型处理不当3、查询语句组装不当4、错误处理不当5、多个提交处理不当6、数据库配置问题一、SQL注入原理SQL注入漏洞主要形成的原因是在数据交互中，前端的数据传入到后台处理时，没有做严格的判断，导致其传入的"数据"拼接到SQL语句中后，被当作SQL语句的一部分
七天啊·2022-09-15 03:20

【python笔记】第十四节 文件操作

博主昵称：摆烂阳博主主页跳转链接‍博主研究方向：web渗透测试、python编程博主寄语：希望本篇文章能给大家带来帮助，有不足的地方，希望友友们给予指导文件操作一、打开二、关闭三、读取四、写入五、二进制文件本章小结操作文件的步骤
摆烂阳·2022-09-09 07:32

【kali】一款黑客们都在使用的操作系统

博主昵称：摆烂阳博主主页跳转链接‍博主研究方向：web渗透测试、python编程博主寄语：希望本篇文章能给大家带来帮助，有不足的地方，希望友友们给予指导目录前言一、kali简介二、kali的功能1、数字取证
摆烂阳·2022-09-09 07:01

不要忽视web渗透测试在项目中起到的重要性

在当前数字化环境中，IT的一个里程碑式增长便是公司组织和企业数字化。为了扩大市场范围和方便业务，许多组织都在转向互联网。这导致了一股新的商业浪潮，它创造了网络空间中的商业环境。通过这种方式，公司和客户的官方或机密文件都可以上传到互联网上，方便用户随时访问。通常情况下，网站会受到保护而免遭黑客攻击，但保存、保护机密文件和知识产权仍需要强大的安全保障。这种安全保障是为了抵御来自黑客的网络攻击或网暴。在
程序员威子·2022-09-08 04:56

Web渗透测试之常见漏洞解析

vwa安装文件+文档资料.zip课时1-课程大纲介绍及学习环境搭建.mp4课时2-SqlInject漏洞解析课程-上.mp4课时3-SqlInject漏洞解析课程-中.mp4课时4-SqlInject漏洞解析课程-下.mp4课时5-暴力破解漏洞解析课程.mp4课时6-XSS(跨站脚本)漏洞解析课程-上.mp4课时7-XSS(跨站脚本)漏洞解析课程-下.mp4课时8-CSRF（跨站请求伪造）漏洞解析
普通网友·2022-09-06 17:46

web渗透测试----11、身份认证漏洞

文章目录一、什么是身份认证？1、身份认证三要素2、身份认证和授权的区别二、身份验证漏洞如何产生？三、身份认证常见的漏洞1、基于密码的登录漏洞2、双因子身份验证中的漏洞3、其他身份验证机制中的漏洞四、身份认证相关漏洞的防御一、什么是身份认证？身份认证是验证给定用户或客户端身份的过程。简单理解就是如何让别人相信你就是你。1、身份认证三要素①、你所知道的信息：比如我们最广泛使用的“用户名+密码”，因为只
七天啊·2022-09-06 17:33

web渗透测试----14、CSRF（跨站请求伪造攻击）

文章目录一、CSRF概述二、CSRF攻击条件1、相关操作2、基于Cookie的会话处理3、没有不可预测的请求参数三、CSRF的防御1、验证请求的Referer值2、CSRFToken3、验证码等验证业务过程的方式四、基于Token的CSRF1、CSRF令牌的验证取决于请求方法2、CSRF令牌的验证取决于令牌是否存在3、CSRF令牌未绑定到用户会话4、CSRF令牌绑定到非会话cookie5、CSRF
七天啊·2022-09-06 17:33

Web渗透测试实战（Metasploit5.0） 一

Web渗透测试实战（Metasploit5.0）一什么是渗透测试渗透测试（penetrationtesting）是对计算机系统的一种授权攻击，旨在评估系统/网络的安全性，执行测试以识别漏洞及其带来的风险
吖烨子·2022-09-06 06:47

基于BurpSuite做web渗透测试

前言：Burpsuite基本可以说是渗透的必备工具，用起来也很简单、方便。通常使用它可以进行一些截包分析，修改包数据、暴力破解、扫描等很多功能，用得最多的应该是开代理截包分析数据和爆破。该工具可以进行http数据的拦截和转发，可以用来测试页面接口，具体可以参考以下。（一）安装（二）配置代理（三）具体使用场景场景一：如果需要测试页面接口的具体字段后端是否做了校验，还是仅前端限制？场景二：平台中部分按
你好，测试·2022-09-02 17:52

超详细渗透测试流程

这是今天找app渗透测试的时候发现一个大佬写的，他把这个文章归类在app渗透测试了，其实下面的内容主要是web渗透测试的，这里他总结了中间件的漏洞和一些框架的漏
内网漫游-网安人的梦·2022-09-02 17:58

【python笔记】第十三节 常用模块

博主昵称：摆烂阳博主主页跳转链接‍博主研究方向：web渗透测试、python编程博主寄语：希望本篇文章能给大家带来帮助，有不足的地方，希望友友们给予指导推荐《牛客网》——找工作神器|笔试题库|>面试经验
摆烂阳·2022-09-02 07:09

【python笔记】第十二节 模块与包

博主昵称：摆烂阳博主主页跳转链接‍博主研究方向：web渗透测试、python编程博主寄语：希望本篇文章能给大家带来帮助，有不足的地方，希望友友们给予指导推荐《牛客网》——找工作神器|笔试题库|>面试经验
摆烂阳·2022-09-02 07:09

【web渗透】文件包含漏洞入门级超详细讲解

type=blog‍博主研究方向：web渗透测试博主寄语：希望本篇文章能给大家带来帮助，有不足的地方，希望友友们给予指导————————————————目录前言一、原理二、文件包含的分类1、本地文件包含
摆烂阳·2022-09-02 07:08

【web渗透】CSRF漏洞详细讲解

type=blog‍博主研究方向：web渗透测试博主寄语：希望本篇文章能给大家带来帮助，有不足的地方，希望友友们给予指导CSRF一、认识CSRF漏洞1、什么是CSRF2、CSRF漏洞的原理3、CSRF漏洞的危害
摆烂阳·2022-09-02 07:08

【python笔记】第十一节 生成器和迭代器

博主昵称：摆烂阳博主主页跳转链接‍博主研究方向：web渗透测试、python编程博主寄语：希望本篇文章能给大家带来帮助，有不足的地方，希望友友们给予指导推荐《牛客网》——找工作神器|笔试题库|>面试经验
摆烂阳·2022-09-02 07:38

【python笔记】第二节 变量和数据类型

博主昵称：摆烂阳点击跳转到博主主页‍博主研究方向：web渗透测试、python编程博主寄语：希望本篇文章能给大家带来帮助，有不足的地方，希望友友们给予指导目录一、注释1、单行注释2、多行注释二、变量2.1
摆烂阳·2022-09-02 07:38

【python笔记】第一节--环境搭建

博主昵称：摆烂阳点击跳转到博主主页链接‍博主研究方向：web渗透测试、python编程博主寄语：希望本篇文章能给大家带来帮助，有不足的地方，希望友友们给予指导————————————————人生苦短，我用
摆烂阳·2022-09-02 07:37

【web渗透】XSS跨站请求攻击

博主昵称：摆烂阳博主主页跳转链接‍博主研究方向：web渗透测试、python编程博主寄语：希望本篇文章能给大家带来帮助，有不足的地方，希望友友们给予指导————————————————目录一、原理二、出现的原因三
摆烂阳·2022-08-24 15:37

web渗透测试----23、XML外部实体注入--（1）XXE原理

文章目录一、XML基础1、什么是XML2、基本语法3、XML语法特性4、文档定义类型5、XML自定义实体6、什么是XML外部实体？二、XXE1、原理2、危害三、攻击类型（有回显）1、文件读取2、利用XXE执行SSRF攻击3、拒绝服务攻击四、盲带外XEE（BlindOOBXXE）1、RCE2、XInclude3、端口扫描4、通过修改内容类型进行XXE攻击5、通过DTD进行文件渗透五、XXE漏洞的防御
七天啊·2022-08-20 18:53

Web渗透测试实战：基于Metasploit 5.0

在当今快速发展的技术世界中，信息安全行业正以惊人的速度变化，与此同时，针对组织的网络攻击数量也在迅速增加。为了保护自己免受这些来自真实世界的攻击，许多组织在其流程管理中引入了安全审计以及风险和漏洞评估机制，旨在评估与其业务资产有关的风险。为了保护IT资产，许多组织聘请信息安全专业人员，以识别组织的应用程序和网络中可能存在的风险、漏洞和威胁。对于信息安全专业人员来说，掌握并提高自己的专业技能以及熟悉
hzbooks·2022-08-05 13:20

web渗透测试----22、业务逻辑漏洞--（2）任意用户密码重置

文章目录一、验证码设计缺陷1、验证码不失效1.1、检测方法1.2、修复方法2、仅判断验证码是否正确2.1、检测方法2.2、修复方法3、验证码在响应中返回3.1、检测方法3.2、修复方法二、绕过验证方式1、无任何验证1.1、检测方法1.2、修复方法2、修改返回包，绕过验证2.1、检测方法2.2、修复方法3、直接访问设置密码界面3.1、检测方法3.2、修复方法4、邮箱中密码重置连接可fuzzing4.
七天啊·2022-07-31 21:40

pikachu靶场搭建以及搭建问题

前言pikachu是一个适合Web渗透测试学习的小白们进行训练的本地靶场，并且已经在github上开源了。
逼疯了的代码·2022-07-27 11:02

Web渗透测试学习路线图

全文转载于知乎—作者：向生李—《Web渗透测试学习路线图》文章源地址：https://www.zhihu.com/question/21914899/answer/393444351.Web安全相关概念熟悉基本概念
ploto_cs·2022-07-27 11:08

web渗透测试学习路线

web渗透学习路线文章目录*web渗透学习路线*前言一、web渗透测试是什么？
爱睡觉的扬扬·2022-07-27 11:52

web渗透测试----26、SQL注入漏洞--（2）SQL注入漏洞的挖掘（白盒）

文章目录一、SQL注入代码检测1、静态代码分析：2、动态代码分析：二、危险的编码行为1、动态构造SQL语句2、将数据作为参数传递给存储过程三、不同语言中的常见处理1、PHP2、JAVA3、C#四、危险函数1、PHP2、JAVA3、C#一、SQL注入代码检测1、静态代码分析：指在分析源代码的时候并不真正执行代码。手动静态代码分析是指对源代码逐行进行复查以发现潜在的漏洞，对于大型系统，逐行复查并不现实
七天啊·2022-07-09 13:41

Web渗透测试-实战 方法 思路 总结

尽可能的搜集目标的信息端口信息DNS信息员工邮箱信息搜集的分类1、主动式信息搜集（可获取到的信息较多，但易被目标发现）2、通过直接发起与被测目标网络之间的互动来获取相关信息，如通过Nmap扫描目标系统。3、被动式信息搜集（搜集到的信息较少，但不易被发现）4、通过第三方服务来获取目标网络相关信息。如通过搜索引擎方式来搜集信息。搜索引擎Googlehacking常用搜索语法：intitle:KEYWO
普通网友·2022-05-20 22:47

Web渗透测试流程

文章目录什么是渗透测试WEB渗透测试流程1.明确目标2.分析风险，获得授权3.信息收集4.漏洞探测（手动&自动）5.漏洞验证6.信息分析7.利用漏洞，获取数据8.信息整理9.形成报告补充信息收集漏洞探测漏洞利用内网转发内网渗透痕迹清除撰写渗透测试保告什么是渗透测试渗透测试就是利用我们所掌握的渗透知识
小常吃不下了·2022-04-17 13:42

kali linux web渗透测试中常用工具

常使用的工具有如下10种：nmap，metasploit，johntheripper，thchydra，owaspzed，wireshark，Aircrack-Ng，Maltego，Cain和AbelHackingTool，Nikto网站漏洞扫描器。1.Aircrack-NGLinux网络渗透如何使用Aircrack-ng系列工具进行WPA/WPA2的监听和破解，这篇文章比较详细的介绍了Aircr
早餐有蛋·2022-04-17 13:40

2019年赣州市赛任务四利用python脚本进行web渗透测试

任务四：利用python脚本进行web渗透测试任务环境说明：服务器场景名称：W-WebServ2008服务器场景操作系统：MicrosoftWindows2008Server服务器场景用户名：administrator
搞安全的藤原拓海·2022-04-17 10:33

web渗透测试之攻破登录页面

web渗透测试之攻破登录页面当我们在做渗透测试时，无论厂商项目还是src众测项目，都会遇到给一堆登录系统的URL，然后让我们自己去测，能不能进去全看天的状况，本文将讲一下怎么突破这种封闭的web系统，从而进行更深层次的渗透
Internet_xx·2022-03-11 21:34
上一页 1 2 3 4 5 6 7 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他