网站渗透测试之常见漏洞排行

我们SINE安全在进行Web渗透测试中网站漏洞利用率最高的前五个漏洞。常见漏洞包括注入漏洞、文件上传漏洞、文件包含漏洞、命令执行漏洞、代码执行漏洞、跨站点脚本(XSS)漏洞、SSRF漏洞、XML外部实体(XXE)漏洞、反序列化漏洞、解析漏洞等。，因为这些安全漏洞可能被黑客利用，从而影响业务。以下每一条路线都是一种安全风险。黑客可以通过一系列的攻击手段发现目标的安全弱点。如果安全漏洞被成功利用，目标将被黑客控制，威胁目标资产或正常功能的使用，最终导致业务受到影响。

常见的WebTOP5漏洞描述如下。

1.注入漏洞。由于其普遍性和严重性，注入漏洞在WebTOP10漏洞中始终排在第一位。常见的注入漏洞包括SQL、LDAP、OS命令、ORM和OGNL。用户可以通过任何输入点输入构建的恶意代码。如果应用程序没有严格过滤用户的输入，一旦输入的恶意代码作为命令或查询的一部分被发送到解析器，就可能导致注入漏洞。以SQL注入为例，是因为攻击者通过浏览器或其他客户端向网站参数中插入恶意SQL语句，而网站应用程序直接将恶意SQL语句带入数据库并执行而不进行过滤，最终导致通过数据库获取敏感信息或其他恶意操作。

2.跨站脚本(XSS)漏洞。XSS漏洞的全称是跨站点脚本漏洞。为了不与级联样式表(CSS)的缩写混淆，跨站点脚本漏洞缩写为XSS。XSS漏洞是网络应用程序中常见的安全漏洞，它允许用户将恶意代码植入网页。当其他用户访问此页面时，植入的恶意脚本将在其他用户的客户端执行。

XSS泄漏的危害很多，客户端用户的信息可以通过XSS漏洞获取，比如用户登录的Cookie信息；信息可以通过XSS蜗牛传播:木马可以植入客户端；您可以结合其他漏洞攻击服务器，并在服务器中植入特洛伊木马。具有上传功能的应用程序存在文件上传漏洞。如果应用程序在用户上传的文件中没有控制或缺陷，攻击者可以利用应用程序上传功能中的缺陷将木马、病毒等有害文件上传到服务器，然后控制服务器。实战中最常见的就是XSS跨站攻击，如果想要对网站进行漏洞检测的话还得靠人工去审计和渗透测试，建议向网站安全公司寻求安全服务，国内做的比较好的如SINESAFE,鹰盾安全，绿盟，启明星辰等等。

3.文件上传漏洞。造成文件上传漏洞的主要原因是应用程序中有上传功能，但上传的文件没有通过严格的合法性检查或者检查功能有缺陷，导致木马文件上传到服务器。文件上传漏洞危害极大，因为恶意代码可以直接上传到服务器，可能造成服务器网页修改、网站暂停、服务器远程控制、后门安装等严重后果。文件上传的漏洞主要是通过前端JS旁路、文件名旁路和Content-Type旁路上传恶意代码。

4.文件包含漏洞。文件包含函数中包含的文件参数没有过滤或严格定义，参数可以由用户控制，可能包含意外文件。如果文件中存在恶意代码，无论文件是什么后缀类型，文件中的恶意代码都会被解析执行，导致文件包含漏洞。文件中包含的漏洞可能会造成网页修改、网站暂停、服务器远程控制、后门安装等危害。

5.命令执行的漏洞。应用程序的某些函数需要调用可以执行系统命令的函数。如果这些功能或者功能的参数可以被用户控制，那么恶意的命令就有可能通过命令连接器拼接成正常的功能，从而可以随意执行系统命令。这就是命令执行漏洞，这是高风险漏洞之一。

网站渗透测试之常见漏洞排行相关推荐

渗透测试常见漏洞描述及修复建议
弱口令漏洞描述由于系统中存在有弱口令,导致攻击者通过弱口令可轻松登录系统中,从而进行下一步的攻击,如上传webshell,获取敏感数据! 另外攻击者利用弱口令登录网站管理后台,可任意增删改等操作, ...
一般网站有哪些常见漏洞？
Web应用是指采用B/S架构.通过HTTP/HTTPS协议提供服务的统称.随着互联网的广泛使用,Web应用已经融入到日常生活中的各个方面:网上购物.网络银行应用.证券股票交易.政府行政审批等等.在这些 ...
渗透测试常见漏洞描述以及修复建议
1.Apache样例文件泄漏漏洞描述 apache一些样例文件没有删除,可能存在cookie.session伪造,进行后台登录操作修复建议 1.删除样例文件 2.对apache中web.xml进行 ...
html编辑器渗透,渗透测试之编辑器漏洞与旁注、跨目录、跨库、CDN绕过
常用的编辑器常见的编辑器有Ewebeditor fckeditor CKeditor kindeditor 1.Ewebeditor 测试环境用的是eWebEditor_v216_Free版本 ...
Web渗透测试之逻辑漏洞挖掘
1.逻辑漏洞特点:简单.复杂 1.1.利用工具简单: 数据包抓取工具(Burpsuit.fiddler等) 1.2.思路复杂: 核心:绕过真实用户身份或正常业务流程达到预期目的. 1.2.1.用户身份 ...
【愚公系列】2023年05月 Web渗透测试之SSRF漏洞分析与实践
文章目录前言一.SSRF简介二.ssrf漏洞验证三.通过dict协议获取服务器端口运行的服务四.通过file协议访问计算机中的任意文件五.sftp及tftp协议在SSRF中的作用前言 S ...
2021-08-26 网安实验-Windows系统渗透测试之EternalBlue漏洞利用复现
Metasploit :是一款开源的安全漏洞检测工具. fb工具目录:Shadow Brokers 公布的NSA方程式组织黑客工具包Windows部分工具,里面包含了IIS6.0.445端口.3389 ...
tomcat temp 大量 upload 文件_渗透测试之文件上传漏洞总结
文末下载上传环境源码客户端 js检查一般都是在网页上写一段javascript脚本,校验上传文件的后缀名,有白名单形式也有黑名单形式. 查看源代码可以看到有如下代码对上传文件类型进行了限制: 我们 ...
渗透测试之后台查找，如何查找网站后台
渗透测试之后台查找,如何查找网站后台 1.当前页面信息浏览查看图片的相关属性查看网站底部管理入口和版权信息 robots文件故意请求不存在的页面 2.当前页面后台猜解 CMS指纹识别猜解常见后 ...

网站渗透测试之常见漏洞排行

网站渗透测试之常见漏洞排行相关推荐

最新文章

热门文章