web安全|渗透测试|网络安全 漏洞挖掘的重点环节及基础知识

举报
黑色地带(崛起) 发表于 2023/02/15 22:55:52 2023/02/15
【摘要】 web安全|渗透测试|网络安全 漏洞挖掘的重点环节及基础知识

web安全|渗透测试|网络安全 漏洞挖掘的重点环节及基础知识

 编辑


重点:


找到漏洞的成功几率很大一部分取决于信息搜集,搜集的有用信息越多,成功几率越高



方向:


CTF:文件上传、SQL注入、反序列化、代码执行

SRC:逻辑安全为主,其余都有(看看补天上面的钱,就能够有很大的学习动力)

红蓝对抗:SQL注入、文件上传、文件包含、代码执行、命令执行


漏洞危害程度决定漏洞等级


高危漏洞:SQL注入、文件上传、文件包含、代码执行、未授权访问、命令执行
影响:直接影响到网站权限和数据库权限,能够获取数据或者网站的敏感文件。涉及到数据安全和权限的丢失都为高危漏洞
中危漏洞:反序列化、逻辑安全
低危漏洞:XSS跨站、目录遍历、文件读取
影响:网站的源码,网站部分账号密码


危害:


注入:通过前端操作,能够获取获取后端数据库中的数据,能达到破坏网站,破坏数据库的效果

文件上传:代码没有严格校验上传文件的后缀和文件类型,上传webshell、病毒文件、后门文件,达到获取控制权限,提权。

xss(跨站和存储型):往Web页面 里插入恶意JS代码,当用户浏览该页之时,嵌入其中Web里面的JS代码会被执行,从而 达到恶意的特殊目的。主要用来获取cookie,拿到后台的权限

文件包含:web服务器的文件被外界浏览导致信息泄露。脚本被任意执行导致篡改网站,执行非法操作等。

反序列化:序列化一个包含恶意代码的实例对象(通常是Runtime.exec来执行后台命令),然后得到对象的字节数据,并将其通过接口发送到被攻击的服务器,服务器在反序列化出对象的过程中就会触发触发恶意代码执行,从而达到攻击的目的,反序列化能在服务器上执行任意命令,间接掌握了服务器。

命令和代码执行:执行任意代码,网站被写入webshell,控制整个网站甚至服务器。

逻辑安全: 利用业务/功能上的设计缺陷,获取敏感信息或破坏业务的完整性,大多出现在密码修改,确权访问,密码找回,交易支付金额等功能处。并非是向程序添加破坏内容,而是利用逻辑处理不严密或者代码问题或不足。逻辑漏洞是多样性的,挖掘它们需要从不同的角度思考问题,设法了解设计者和开发者做出的各种假设,然后考虑如何攻击。



【版权声明】本文为华为云社区用户原创内容,转载时必须标注文章的来源(华为云社区)、文章链接、文章作者等基本信息, 否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容,欢迎发送邮件进行举报,并提供相关证据,一经查实,本社区将立刻删除涉嫌侵权内容,举报邮箱: cloudbbs@huaweicloud.com
  • 点赞
  • 收藏
  • 关注作者

评论(0

0/1000
抱歉,系统识别当前为高风险访问,暂不支持该操作

全部回复

上滑加载中

设置昵称

在此一键设置昵称,即可参与社区互动!

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。